기술 요약: 차량 협력 지각에서의 적대적 신뢰 중독

1. 문제 제기

협력 지각 (Collaborative Perception, CP) 은 연결된 자율 주행 차량 (Connected and Autonomous Vehicles, CAV) 이 환경 이해를 향상시키기 위해 센서 데이터 (예: 원시 LiDAR 점, 중간 특징, 또는 탐지 출력) 를 공유할 수 있게 합니다. 악의적인 행위자가 잘못된 정보를 주입하는 데이터 위조 공격에 대항하기 위해 기존 CP 시스템은 일관성 기반 방어에 의존합니다. 이러한 방어는 위조된 데이터가 대부분의 정당한 관측과 충돌할 것이라고 가정하여, 시스템이 신뢰할 수 없는 차량을 식별하고 제재할 수 있도록 합니다.

본 논문은 이러한 가정에 치명적인 취약점이 있음을 지적합니다: 적대적 신뢰 중독 (Adversarial Trust Poisoning). 저자들은 일관성 기반 방어가 교차 뷰 불일치가 악의적인 차량에 의한 거짓 데이터 주입에서 비롯된 것인지, 아니면 정당한 차량들 간의 진정한 불일치를 초래하는 외부 물리적 효과에서 비롯된 것인지 구분할 수 없음을 보여줍니다. 이러한 모호성을 악용하여 공격자는 피해 차량의 온보드 시스템이나 V2X 통신을 침해한 적 없이도, 방어 메커니즘 자체를 무기로 삼아 표적 정당한 차량 (피해자) 을 억제할 수 있습니다.

2. 방법론: TrustFlip

본 논문은 단일 물리적으로 배치된 적대적 객체를 사용하여 적대적 신뢰 중독을 실현하는 새로운 공격인 TrustFlip을 소개합니다. 디지털 스푸핑이나 재밍과 달리 TrustFlip 은 뷰에 의존하는 LiDAR 관측을 유도하도록 최적화된 수동적이고 지속적인 물리 객체에 의존합니다.

A. 공격 메커니즘

이 공격은 뷰 조건부 지각 비대칭 (view-conditioned perception asymmetry) 원리에 작동합니다:

1. 목표: 공격자는 특정 취약 각도에서 바라볼 때 피해 차량이 객체를 탐지하지 못하도록 물리 객체를 배치하는 반면, 다른 각도에서 바라보는 비피해 정당한 차량들은 성공적으로 탐지하도록 합니다.
2. 결과: 피해자의 공유된 지각 데이터 (예: 바운딩 박스 또는 특징 맵) 가 다수 합의와 충돌합니다.
3. 방어 악용: 일관성 기반 방어가 이러한 불일치를 피해자에게 귀속시켜 악의적인 것으로 표시합니다. 결과적으로 피해자의 데이터는 가중치가 낮아지거나 융합 과정에서 제외되어 전체 협력 지각 능력이 저하되고, 중요한 객체를 놓치는 등 안전에 치명적인 실패가 발생할 수 있습니다.

B. 설계 및 최적화

이 공격을 실현하려면 상충되는 최적화 목표를 극복해야 합니다: 객체는 피해자의 시야에서 사라져야 하지만 다른 이들에게는 여전히 보여야 합니다. TrustFlip 은 이를 해결하기 위해 2 단계 파이프라인을 사용합니다:

• 오프라인 형태 최적화:

  • 형태 사전: "숨기기"와 "보이기" 목표 간의 기울기 충돌을 해결하기 위해 저자들은 물리적으로 동기화된 세 가지 초기화를 제안합니다:
    • FROMREAL: 현실적인 차량 메쉬를 교란시켜 후면 표면에 집중하여 뒤쪽에서의 탐지를 억제합니다.
    • ATTACHED: 호스트 차량에 작은 평면 차폐물을 장착하여 피해자에게는 후면 실루엣을 왜곡시키지만, 다른 이들에게는 측면/전면이 보이도록 합니다.
    • HOLLOW: LiDAR 빔이 피해자의 각도에서는 바닥을 통과하게 하고 (투과), 측면 보드에서는 반사되도록 하는 독립적인 중공 구조 (두 개의 평행한 보드) 입니다.
  • 방어 인식 손실: 최적화 과정은 특정 방어 메커니즘 (예: LUCIA 의 특징 일관성, MADE 의 재구성 손실, 또는 MATE 의 트랙 가시성) 의 미분 가능 대리 모델을 포함하여 피해자의 신뢰 점수를 비피해자 대비 직접적으로 최소화합니다.
  • 제약 조건: 기하학적 제약 (정점 마스크, 변위 경계) 과 라플라시안 평활화는 결과 형태가 물리적으로 실현 가능하고 LiDAR 샘플링에 강건하도록 보장합니다.

• 온라인 배치:

  • 공격자는 교통 시나리오를 평가하여 피해자의 "고유 감지 커버리지"를 최대화 (제외로 인한 최대 유틸리티 손실 보장) 하고 취약 각도에 대한 기하학적 조건이 충족되도록 피해자와 객체 포즈를 선택합니다.
  • 객체는 필요한 상대 기하학을 유지하도록 물리적으로 배치됩니다 (예: 견인 또는 장착).

3. 완화: TrustReflect

초기 완화책으로 저자들은 경량의 자기 반성 메커니즘인 TrustReflect를 제안합니다.

• 개념: 각 정당한 차량은 자신의 지각 출력에 대해 배포된 일관성 기반 방어를 로컬에서 재실행합니다.
• 행동: 로컬 방어가 특정 영역을 일관성이 없는 것으로 표시하면 (차량 자체가 오류의 원인일 수 있음을 시사), 해당 차량은 해당 영역을 "불확실"로 표시하고 공유 데이터에 신뢰 마스크를 첨부합니다.
• 효과: 하류 소비자는 신뢰 점수 또는 융합 가중치를 계산할 때 이러한 마스크된 영역을 제외합니다. 이는 시스템이 전체 관측에 대해 피해자를 제재하는 것을 방지하여, 공격자가 피해자의 전역 신뢰 점수를 낮추는 능력을 효과적으로 무력화합니다.
• 구현: TrustReflect 는 모델 재학습이 필요 없으며 V2X 메시지에 단일 필드만 추가하여 기존 방어 논리를 재사용합니다.

4. 실험 결과

저자들은 네 가지 CP 백본 (PIXOR, PointPillars, Attentive Fusion, Where2Comm) 과 네 가지 최첨단 방어 (CAD, MATE, LUCIA, MADE) 에 걸쳐 OPV2V 벤치마크에서 TrustFlip 과 TrustReflect 를 평가했습니다.

• 공격 성공:
  • TrustFlip 은 최대 **87.7%**의 시나리오에서 표적 정당한 차량을 협력에서 성공적으로 제거합니다.
  • 이 공격은 평균 정밀도 (AP) 를 최대 **13%**까지 감소시킵니다.
  • 이 공격은 후기 융합 및 중간 융합 아키텍처 모두에서 효과적입니다.
• 방어 민감도:
  • 국소적 불일치에 반응하는 방어 (예: MATE, CAD, MADE) 는 매우 취약합니다.
  • 국소적 불일치를 완화하는 방어 (예: 높은 압축 비율을 가진 LUCIA) 는 덜 영향을 받지만, 실제 단일 객체 불일치도 놓칠 수 있어 "민감도 - 귀속 딜레마"를 강조합니다.
• 완화 성능:
  • TrustReflect 는 다양한 구성에서 공격 성공률 (ASR) 을 35–100% 감소시킵니다.
  • 피해자 데이터의 잘못된 배제를 방지함으로써 AP 를 효과적으로 복원합니다.
• 물리 검증:
  • 저자들은 HOLLOW와 ATTACHED 형태의 프로토타입을 제작하여 실제 Velodyne VLP-32C LiDAR 를 사용하여 검증했습니다.
  • 결과는 물리 객체가 실제 세계 센서 데이터에서 의도된 뷰 조건부 비대칭 (후면에서는 보이지 않음, 측면에서는 보임) 을 유도함을 확인했습니다.

5. 중요성 및 주장

본 논문은 CP 시스템에 대한 새로운 유형의 물리 세계 공격으로 적대적 신뢰 중독을 식별하고 형식화했다고 주장합니다. 그 중요성은 다음과 같습니다:

1. 공격 표면의 이동: 디지털 데이터 위조를 넘어 물리 객체가 정당한 차량에 부여된 신뢰를 조작하여 방어 메커니즘을 그 자체에 대항하도록 전환할 수 있음을 보여줍니다.
2. 실용성: 이 공격은 디지털 침입, V2X 가로채기, 또는 차량 침해가 필요하지 않아 저비용 고탄도 위협 벡터가 됩니다.
3. 민감도 - 귀속 딜레마: 이 작업은 CP 보안의 근본적인 트레이드오프를 강조합니다: 국소적 물리적 불일치를 탐지할 만큼 민감한 방제는 불일치의 원인을 올바르게 귀속하지 않는 한 신뢰 중독에 취약합니다.
4. 방어 호환성: 제안된 TrustReflect 는 재학습 없이 기존 방어 위에 계층화할 수 있는 실용적이고 모델과 무관한 완화책을 제공합니다.

저자들은 TrustReflect 가 공격 표면을 줄이지만, 적대적 신뢰 중독을 완전히 무력화하는 것은 여전히 열린 과제로 남아 있으며, 악의적인 데이터 위조와 외부에 의해 유도된 물리적 불일치를 구분할 수 있는 강력한 귀속 메커니즘에 대한 향후 연구가 필요하다고 결론지었습니다.