The Spectrum Strikes Back: Infrared POV Attacks on Traffic Sign Classification

기술 요약: 스펙트럼의 역습: 교통 표지판 분류에 대한 적외선 POV 공격

문제 정의
자율주행 차량은 교통 표지판 분류와 같은 중요한 작업을 위해 카메라 기반 인지에 크게 의존합니다. 이러한 시스템에 대한 물리적 적대적 공격(adversarial attacks)은 잘 문서화되어 있으나, 기존 방식들은 효과성, 은밀성, 그리고 적응성 사이에서 상당한 트레이드오프(trade-off)를 마주하고 있습니다. 인쇄된 스티커나 정적인 패치와 같은 전통적인 공격은 인간에게 매우 눈에 띕니다. 반대로, 인간의 가시광선 영역 밖(예: 적외선)에서 작동하는 광 기반 공격은 높은 은밀성을 제공하지만, 정적인 섭동(perturbation)에 국한되거나, 연속적인 빛 방출을 요구하거나, 동적인 재구성 및 원격 트리거링 능력이 부족한 고출력 레이저를 필요로 하는 경우가 많습니다. 따라서 고출력 레이저에 의존하지 않으면서도, 현대적인 적대적 예제의 특성인 동적 재구성 및 원격 트리거링 능력을 결합한 적외선의 은밀성을 갖춘 공격 벡터가 필요합니다.

방법론
저자들은 근적외선 잔상(Persistence-of-Vision, POV) 디스플레이를 활용한 새로운 물리적 적대적 공격을 제안합니다. 방법론은 다음과 같은 세 가지 핵심 단계로 구성됩니다.

1. 하드웨어 구현: 이 공격은 상용 근적외선(860nm) LED를 장착한 맞춤형 회전 디스플레이를 사용합니다. 레이저를 사용하는 이전의 적외선 공격과 달리, 이 설정은 저출력 LED를 사용합니다. 디스플레이는 고속으로 회전하며 잔상 효과(persistence-of-vision effect)를 이용합니다. 카메라의 노출 시간($t_{exp}$)이 회전 주파수의 역수($1/f_{rot}$)보다 크거나 같을 때, 카메라는 전체 패턴을 포착하는 반면, 인간의 눈은 회전하는 날개를 투명하거나 보이지 않는 것으로 인식합니다.
2. 디지털 시뮬레이션 및 최적화: 실제 환경에서의 높은 공격 성공률을 보장하기 위해, 저자들은 디지털 시뮬레이션 파이프라인을 개발했습니다. 이 과정은 다음을 포함합니다:
   • 양호한(benign) 교통 표지판 이미지와 회전하는 POV 디스플레이의 이미지 시퀀스 캡처.
   • 교통 표지판 상의 최적 배치 위치를 식별하기 위한 그리드 기반 탐색 적용.
   • 다양한 환경적 변환(밝기, 크기, 투영, 눈부심)을 시뮬레이션하고 다양한 회전 섹터 형태(예: 전체 원, 두 개의 섹터)를 표지판 위에 중첩.
   • 생성된 합성 적대적 이미지를 대상 머신러닝(ML) 모델에 실행하여 오분류를 유발하는 데 가장 효과적인 배치 위치를 나타내는 히트맵 생성.
3. 실제 배포: 시뮬레이션 결과를 바탕으로, 최적의 위치에 물리적 POV 디스플레이를 교통 표지판에 설치합니다. 공격은 디스플레이가 계속 회전하는 동안 적외선 LED를 활성화함으로써 원격으로 트리거됩니다. 이 공격은 (인간에게는) 은밀하고(stealthy), 동적이며(dynamic), 선택적(selective)으로 설계되었습니다(장치를 제거하지 않고도 켜고 끌 수 있음).

주요 기여

• 재구성 가능한 적외선 공격: 동적으로 재구성 가능하고 원격 트리거링이 가능한 근적외선 POV 디스플레이를 사용하는 물리적 적대적 공격을 도입했습니다. 이를 통해 교통 표지판의 외관을 영구적으로 변경하지 않고도 특정 대상을 대상으로 선택적 활성화가 가능합니다.
• 시뮬레이션 기반 배치: 물리적 조건과 모델 아키텍처를 고려하여 POV 디스플레이의 최적 배치 위치를 식별하는 디지털 시뮬레이션 프레임워크를 구축하여 견고성을 극대화했습니다.
• 광범적인 실세계 평가: 두 가지 교통 표지판(정지 표지판 및 30km/h 속도 제한 표지판), 12개의 서로 다른 ML 모델(ResNet, ConvNeXt, ViT, YOLO 계열 포함), 다양한 거리(최대 20미터) 및 조명 조건(주간 vs 야간)을 포함한 종합적인 물리적 테스트를 수행했습니다.
• 방어 제안: 두 가지 방어 메커니즘, 즉 하드웨어 기반 근적외선 차단 필터와 센서 특유의 스펙트럼 아티팩트(녹색 대비 적색/청색 픽셀 포화도의 이상 현상)를 이용한 소프트웨어 기반 탐지 알고리즘을 평가했습니다.

결과
평가는 여러 시나리오에서 높은 효과성을 입증했습니다:

• 공격 성공률 (ASR): 공격은 대부분의 테스트 시나리오에서 높은 ASR을 달축했습니다. 30cm POV 디스플레이를 장착한 정지 표지판의 경우, ResNet-50에 대해 모든 거리에서 ASR이 최대 100%에 도달했습니다. 30km/h 표지판의 경우, 모델과 형태(예: ConvNeXt small은 5m에서 낮은 ASR을 보임)에 따라 성능 차이는 있었으나, 일반적으로 10m 이상의 거리에서 높은 ASR을 보였습니다.
• 전이성 (Transferability): 공격은 다양한 모델 아키텍처와 훈련 데이터셋(GTSRB, ImageNet, COCO)에 대해 강력한 전이성을 보여주었습니다. 타겟 표지판에 대해 특별히 훈련되지 않은 모델조차도 공격에 노출되었을 때 상당한 오분류율을 보였습니다.
• 크기 및 은밀성: 더 작고 휴대 가능한 POV 디스플레이(10cm, 15cm, 20cm) 또한 특히 10m 이상의 거리에서 효과적이었으며, 이는 더 작고 은밀한 장치로도 인지 시스템을 무력화할 수 있음을 증명했습니다.
• 환경 요인: 공격은 카메라 노출 시간이 길어져 POV 효과를 위한 타이밍 제약 조건을 충족하는 밤이나 저조도 환경에서 가장 효과적이었습니다. 밝은 낮에는 카메라의 짧은 노출 시간 때문에 매우 높은 회전 속도 없이는 공격을 수행하기 어려웠습니다.
• 방어 효능:
  • 하드웨어: 근적외선 차단 필터를 추가하면 공격이 완전히 무력화되어 높은 신뢰도로 올바른 분류가 복구되었습니다.
  • 소프트웨어: 제안된 탐지 알고리즘은 높은 True Negative율(양호한 이미지에 대해 최대 100%)과 디스플레이 크기 및 조건에 따라 약 55%에서 98%에 이르는 True Positive율을 달성하여, 스펙트럼 이상 현상을 기반으로 공격의 존재를 효과적으로 식별했습니다.

의의 및 주장
본 논문은 근적열 POV 디스플레이가 자율주행 차량의 카메라 기반 인지 시스템에 실질적이고 유연한 위협이 될 수 있다고 주장합니다. 그 의의는 이 공격이 높은 은밀성(인간에게 보이지 않음), 동적 적응성(원격 트리거 및 재구성 가능), 그리고 실용적 배치 가능성(저비용, 저전력 부품 사용)을 결합했다는 점에 있습니다.

저자들은 이 공격이 적외선 민감 카메라와 특정 조명 조건에 제한적이지만, 기존 적외선 공격의 정적인 한계를 극복했다고 강조합니다. 또한, POV 개념이 적외선 스펙트럼에 국한되지 않고 가시광선 RGB LED를 사용한 프로토타입에서도 효과적임을 보여줌으로써, 인간의 은밀성은 다소 감소하더라도 인지 시스템에 대한 더 넓은 위협이 될 수 있음을 시사합니다. 이 연구는 자율주행 인지 스택의 보안 평가 시 동적인 광 기반 공격을 반드시 고려해야 함을 강조합니다.