기술 요약: 적대적 공격 하의 자율 시스템 실시간 평가

문제 정의

적대적 테스트가 자율 주행 시뮬레이션에서 표준이 되었지만, 순수 가상 평가는 실제 데이터에 내재된 구조적 불일치, 감독 제약, 상태 표현 효과를 포착하지 못합니다. 이러한 요소들은 정책의 견고성을 근본적으로 형성하지만, 시뮬레이션에서는 종종 추상화되어 배제됩니다. 또한, 강화 학습의 견고성 취약점이 분석되었음에도 불구하고, 구조화된 실제 세계 궤적 데이터셋에 대한 통제된 평가는 여전히 제한적입니다. 기존 물리적 세계 공격은 주로 상류 감지 파이프라인 (예: 카메라, 라이다) 을 표적으로 하는 반면, 본 연구는 감지 계층이 우회되거나 침해되었다고 가정하고 저차원 상태 벡터 자체의 취약성을 다룹니다.

방법론

실험 프레임워크

저자들은 독일 잉골슈타트의 실제 교차로 주행 데이터에 기반한 오프라인 궤적 학습 및 적대적 견고성 평가 프레임워크를 제안합니다. 평가는 라이다, 카메라, GNSS/IMU 등 다중 센서 스택과 Autoware 기반 소프트웨어 프레임워크가 장착된 풀스케일 아우디 Q8 테스트 차량에서 오픈-루프 (open-loop) 모드로 수행됩니다. 학습된 정책은 실시간 차량 데이터에 대해 추론을 수행하지만 차량 제어에는 영향을 미치지 않아, 실제 감지 및 동기화 조건 하에서 안전성을 보장하면서도 현실적인 견고성 평가를 가능하게 합니다.

데이터 및 상태 구성

본 연구는 독일 잉골슈타트의 세 가지 서로 다른 교차로 시나리오에 초점을 맞춘 단일 자차 (ego) 궤적 학습을 위해 UrbanIng-V2X 데이터셋을 활용합니다.

• 상태 표현 ($s_t$): 각 타임스탬프마다 구조화된 97 차원 벡터가 구성되며, 다음을 포함합니다:
  • 자차 동역학 (4D): 속도, 가속도, 요율 (yaw rate), 헤딩.
  • 차선 상대 기하학 (3D): 횡방향 변위, 헤딩 오차, 곡률.
  • 주변 객체 (80D): $K=10$개의 가장 가까운 교통 참여자에 대한 특징 (위치, 속도, 치수, 클래스, 거리).
  • 유효성 마스크 (10D): 객체 존재에 대한 이진 지표.
• 목표: $(\Delta x, \Delta y, \Delta \psi, v)$를 나타내는 20 단계 미래 궤적 ($\tau_t$).

평가된 모델

동일한 상태 및 감독 계약 하에서 세 가지 궤적 학습 패러다임을 비교합니다:

1. BC-MLP: 행동 복제 (Behavior Cloning) 를 수행하는 피드포워드 멀티레이어 퍼셉트론 (은닉층 2 개, 512 유닛).
2. BC-Transformer: 자차, 차선, 10 개의 객체 토큰을 사용하는 객체 토큰화 기반 Transformer 모델로, 전역 집계를 위한 분류 토큰을 포함합니다.
3. IRL-GAIL: 정책 네트워크가 BC-MLP 아키텍처를 공유하는 생성적 적대적 모방 학습 (GAIL) 미니맥스 게임으로 공식화된 역강화 학습 (Inverse Reinforcement Learning) 접근법.

적대적 공격 프로토콜

추론 시간 견고성은 구조화된 상태 벡터 $s_t$에 그래디언트 기반 교란을 적용하여 평가합니다:

• FGSM (Fast Gradient Sign Method): 단일 단계 교란.
• PGD (Projected Gradient Descent): 10 단계 반복 교란.
• 제약 조건: 모든 상태 차원에 적용되며 특징별 정규화는 없는 $\ell_\infty$ 예산 ($\epsilon = 0.05$) 으로 교란이 제한됩니다.
• 지표: 실제 궤적에 대해 평균 변위 오차 (ADE) 와 최종 변위 오차 (FDE) 를 계산합니다.

주요 기여

1. 실제 세계 오프라인 파이프라인: 순수 시뮬레이션 적대적 테스트를 넘어 실제 교차로 데이터에 기반한 구조화된 오프라인 궤적 학습 파이프라인 구축.
2. 통제된 패러다임 비교: 동일한 상태 표현 및 감독 계약 하에서 BC(MLP), BC(Transformer), 오프라인 GAIL 스타일 IRL 의 체계적 비교.
3. 체계적 견고성 평가: 모델 계열, 공격 유형 (Clean, FGSM, PGD), 교차로 시나리오 (3 개 교차로), 주간 및 야간 조건을 변형한 구조화된 평가 매트릭스.
4. 경험적 견고성 분석: 비교 가능한 명목 궤적 정확도가 실질적으로 다른 적대적 견고성 프로필을 숨길 수 있음을 입증.

결과

명목 성능

청정 (비적대적) 조건 하에서 모든 모델은 낮은 예측 오차를 달성했으며, 모든 교차로에서 ADE 및 FDE 값이 일관되게 0.08 미만으로 유지되었습니다. 이는 공격 하에서 관찰된 차이가 과소적합이나 아키텍처 용량 한계 때문이 아니라 학습된 입력 - 출력 매핑의 민감성 때문임을 확인시켜 줍니다.

적대적 열화

• FGSM 공격: ADE 를 약 1.0–1.5 미터, FDE 를 1.8–2.9 미터 증가시켜 상당한 열화를 초래했습니다. BC-MLP 와 BC-Transformer 는 유사한 취약성을 보였으며, 이는 아키텍처 표현력 증가 (어텐션 메커니즘) 가 단일 단계 그래디언트 공격에 대한 취약성을 본질적으로 감소시키지 않음을 시사합니다.
• PGD 공격: 훨씬 더 큰 오차를 초래했습니다. FDE 열화는 종종 5.0 미터를 초과하여 복잡한 교차로에서는 거의 8.0 미터에 달했습니다.
  • BC-MLP는 특히 고곡률 시나리오에서 가장 큰 열화를 보였으며, 이는 반복적 증폭에 대한 민감성을 나타냅니다.
  • BC-Transformer는 일부 구성에서 modest 한 개선을 보였으나 전반적으로 여전히 매우 취약했습니다.
  • IRL-GAIL은 일관된 견고성 이점을 보여주지 못했으며, 여러 경우 BC 기반 모델과 유사하거나 더 나쁜 열화를 보였습니다.

실패 모드

정성적 분석 (그림 3) 은 적대적으로 교란된 궤적이 종종 운동학적으로 매끄럽지만 의미론적으로 잘못되어 차선 준수나 교차로 규칙을 위반함을 드러냈습니다. 오차는 예측 구간 동안 누적되어 큰 종단 변위 오차 ($\Delta$ADE 대비 높은 $\Delta$FDE) 로 이어졌습니다.

중요성 및 주장

본 논문은 명목 궤적 예측 정확도가 적대적 견고성을 나타내지 않는다고 주장합니다. 본 연구는 다음을 확립합니다:

• 아키텍처 유도 편향의 중요성: 상태 구조 설계 및 아키텍처 선택이 적대적 안정성에 결정적으로 영향을 미치며, 유사한 청정 성능에도 불구하고 현저히 다른 견고성 프로필을 초래합니다.
• 학습 목표가 견고성을 보장하지 않음: 적대적 모방 목표 (GAIL) 와 모델 복잡도 증가가 상태 교란에 대한 추론 시간 견고성을 본질적으로 부여하지 않습니다.
• 시나리오 인식 평가의 필요성: 견고성은 모델 아키텍처와 지역 상태 기하학 (예: 곡률, 합류 교통) 에 의해 공동으로 결정되므로, 집계 지표만으로는 시나리오 인식 평가가 필요합니다.

제안된 프레임워크는 실제 자율 주행 환경에서 오프라인 궤적 학습 및 적대적 견고성을 연구하기 위한 확장 가능하고 재현 가능한 벤치마크 역할을 하며, 청정 조건 정확도와 공격 하의 안전 관련 행동 간의 격차를 강조합니다.