💻 computer science

GLST: Defending Confidence-Driven V2X Collaborative Perception Against Stealthy Multi-Attacker Feature Injection

본 논문은 기존의 단일 신호 방어 기법이 실패하는 지점에서 신뢰할 수 없는 협력자를 강력하게 식별하고 억제하기 위해 전역적, 지역적, 구조적 일관성 신호를 융합함으로써 은밀한 다중 공격자 특징 주입 공격으로부터 신뢰 기반 V2X 협력 인지(V2X collaborative perception)를 보호하는 경량 방어 메커니즘인 전역-지역 구조적 신뢰(Global-Local Structural Trust, GLST)를 소개한다.

원저자: Ji He, Ying Wang, Lijie Zheng, Xinghui Zhu, Yulong Shen, Xiaohong Jiang

게시일 2026-07-28

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Ji He, Ying Wang, Lijie Zheng, Xinghui Zhu, Yulong Shen, Xiaohong Jiang

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

자율주행 자동차 한 대 한 대가 고립된 섬이 아니라, 서로의 눈과 귀를 공유하며 수다를 떠는 팀처럼 고속도로를 달리는 모습을 상상해 보십시오. 이것이 바로 **협력적 인지(Collaborative Perception, CP)**의 세계입니다. 자동차들은 단순히 자신의 카메라와 센서에만 의존하는 대신, V2X(Vehicle-to-Everything) 통신을 통해 서로 대화하며 자신이 보고 있는 것의 디지털 "스냅샷"을 교환합니다. 이를 통해 트럭 뒤에 숨겨진 차량이나 사각지대 주변의 차량을 포착할 수 있어, 도로에 대한 초강력하고 공유된 시야를 갖게 됩니다.

하지만 여기 문제가 있습니다. 대화를 빠르게 유지하고 인터넷 비용을 낮추기 위해, 이 자동차들은 모든 것을 보내지는 않습니다. 이들은 **신뢰도 기반 통로(confidence-driven communication)**라는 스마트한 필터를 사용합니다. 마치 그룹 채팅에서 모두가 자신이 가장 확신하는 이야기만을 타이핑하는 것과 같습니다. 만약 어떤 차가 보행자를 보고 있다는 확신이 99%라면 크게 외칩니다. 하지만 확신이 50%뿐이라면, 대역폭을 아끼기 위해 침묵합니다. 이는 효율성 측면에서는 훌륭하지만, 교활한 허점을 만듭니다. 만약 나쁜 의도를 가진 존재가 채팅에 참여하여, 실제로는 존재하지 않는 것에 대해 매우 확신하는 척한다면 어떻게 될까요? 혹은 더 최악으로, 모두가 이미 불확실해하고 있는 바로 그 지점에 거짓말을 속삭인다면 어떨까요? 이것이 바로 이 논문이 다루는 보안 퍼즐입니다. 즉, 통신을 효율적으로 만들기 위해 설계된 시스템이 어떻게 거짓을 증폭시키도록 속일 수 있는가 하는 문제입니다.

교활한 "가짜 양성(Pretend Benign)" 공격

이 논문의 저자들은 Where2comm이라는 유명한 프레임워크를 사용하여 이 "수다스러운 자동차" 시스템의 안전성을 테스트하기로 했습니다. 그들은 아주 고약한 취약점을 발견했습니다. 바로 시스템이 "높은 신뢰도"를 가진 영역을 신뢰한다는 점이 무기화될 수 있다는 것입니다.

가짜 양성(Pretend Benign, PB) 공격이 등장합니다. 해커가 단순히 붐비는 방에서 "불이야!"라고 소리치는 것(이는 너무 눈에 띄어 무시될 것입니다)이 아니라, 이미 눈을 가늘게 뜨고 확신하지 못하고 있는 사람의 귀에 매우 설득력 있고 약간 혼란스러운 이야기를 속삭인다고 상상해 보십시오. PB 공격은 "스텔스 특징 주입(stealthy feature injection)"입니다. 이는 자동차의 센서를 직접 파괴하려 하지 않습니다. 대신 시스템의 필터에 완벽하게 정상적이고 "양성(benign)"인 것처럼 보이는 악의적인 디지털 데이터를 주입합니다.

공격자는 자동차들이 불확실함을 느끼는 바로 그 지점을 목표로 삼습니다. 시스템은 이 불확실하지만 중요한 구역으로부터 오는 정보를 우선시하도록 설계되었기 때문에, 악의적인 데이터를 보고 "오, 이거 정말 도움이 되겠는데!"라며 기꺼이 받아들입니다. 결과는 어떠할까요? 자동차의 두뇌는 혼란에 빠져 실제 차량을 놓치거나 유령을 보게 되며, 그 와중에도 공격자의 데이터는 표준 보안 검사에는 아무런 이상이 없는 것처럼 보입니다.

다수 공격자의 함정

논문은 또한 우리가 이러한 해커들을 방어하는 일반적인 방식에 결함이 있다고 지적합니다. 대부분의 현재 방어 체계는 숙제를 검사하는 선생님과 같습니다. 즉, 학급 평균과 일치하지 않는 학생 한 명을 찾아내는 식입니다. 만약 학생 한 명이 거짓말을 하고 있다면, 선생님은 그를 잡아낼 수 있습니다.

하지만 만약 세 명의 학생이 비밀을 공유하고 있다면 어떨까요? 저자들은 여러 명의 공격자가 협력할 때(심지어 서로 대화하지 않더라도) **의사 합의(pseudo-consensus)**를 만들어낼 수 있다는 것을 발견했습니다. 그들은 모두 비슷한 거짓말을 속삭입니다. 단일 이상치를 찾는 방어 시스템에게 이 거짓말쟁이들은 갑자기 다수인 것처럼 보이게 됩니다. 방어 체계는 "음, 세 사람이 동의하니 그들이 맞겠지"라고 생각하며 실수로 공격자들의 신뢰 점수를 높여버립니다. 논문은 단일 "일관성 검사"에 의존하는 것은 마치 한 사람이 어떤 뉴스 기사와 동의하는지만 확인하여 가짜 뉴스를 판별하려는 것과 같다고 주장합니다. 만약 집단 전체가 동의한다면, 그 검사는 실패하게 됩니다.

해결책: GLST (Global-Local-Structural Trust)

이를 해결하기 위해 연구팀은 GLST(Global-Local-Structural Trust)라는 새로운 방어 프레임워크를 제안했습니다. 단순히 "이 데이터가 평균과 일치하는가?"라고 묻는 대신, GLST는 마치 세 가지 다른 단서를 사용하는 탐정처럼 세 가지 질문을 던집니다.

전역 일관성 (Global Consistency): 이 자동차의 전체적인 데이터가 일반적인 군중과 일치하는가? ("큰 그림" 체크)
지역 잔차 (Local Residuals): 공격이 발생한 특정 불확실한 지점을 확대했을 때, 그 데이터가 "안전한" 합의 모델과 비교하여 이상하게 다르지는 않은가? ("현미경" 체크)
구조적 일관성 (Structural Consistency): 데이터의 형태와 패턴이 "자기 자신(ego vehicle)"의 관점과 일치하는가? ("지문" 체크)

GLST는 이 세 가지 각도를 결합하여 각 자동차에 "신뢰 점수"를 부여합니다. 만약 어떤 차가 전역적으로는 괜찮지만 지역적으로 이상하거나, 군중과는 일치하지만 내부 구조가 이상하다면 GLST는 이를 감지합니다. 그런 다음 그 자동차의 그룹 채팅 내 "볼륨"을 낮추어, 그들의 거짓말이 진실을 압도하지 못하게 합니다.

숫자가 말해주는 것

연구팀은 이 시스템을 OPV2V라는 거대한 시뮬레이션 주행 시나리오 데이터셋에서 테스트했습니다. 그들은 GLST를 "가짜 양성(Pretend Benign)" 공격 및 PGD, BIM과 같은 알려진 다른 공격들과 맞붙였습니다.

나쁜 소식: 방어 체계가 없다면, "가짜 양성" 공격은 치명적이었습니다. 네 명의 공격자가 채팅에 참여했을 때, 객체 탐지 능력(AP@0.5)은 건강한 0.92에서 처참한 0.09로 폭락했습니다.
기존 방어 체계: 단일 일관성 검사에 의존하는 LUCIA와 같은 기존 방식은 공격자가 한 명일 때는 잘 작동했지만(0.85), 네 명의 공격자를 마주하자 0.11로 무너졌습니다. 이들은 "의사 합의" 함정에 빠졌습니다 머.
GLST의 승리: GLST는 선을 지켜냈습니다. 네 명의 공격자가 있음에도 불구하고, 탐지 점수(AP@0.5)를 견고한 0.67로, AP@0.7을 0.50으로 유지했습니다. GLST는 조율된 거짓말쟁이들을 성공적으로 무시하면서도 정직한 자동차들의 목소리를 뚜렷하게 유지했습니다.

저자들은 이러한 다층적 접근 방식이 필수적이라고 제안합니다. 비록 이 결과가 아직 실세계 도로 테스트가 아닌 시뮬레이션에 기반하고 있지만, 데이터는 강력하게 시사합니다. 미래의 자율주행 차량 군단을 안전하게 유지하려면, 단순히 머릿수를 세는 것이 아니라 전체적인 그림, 미세한 디테일, 그리고 근본적인 구조를 동시에 살펴보는 방어 체계가 필요하다는 것을 말입니다.

기술 요약: GLST – 스텔스형 다중 공격자 특징 주입에 대한 신뢰 기반 V2X 협력적 인지 방어

1. 문제 정의

협력적 인지(Collaborative Perception, CP)는 연결된 차량(CAV)이 차량-사물 간(V2X) 통신을 통해 중간 특징(intermediate features)을 교환함으로써 자율 주행을 향상시킵니다. Where2comm과 같은 최근의 패러다임은 대역폭 효율성을 높이기 위해 **신뢰 기반 희소 통신(confidence-driven sparse communication)**을 활용합니다. 이러한 시스템은 "인지적으로 중요한(perception-critical)" 공간 영역(고신뢰 영역)만을 전송합니다.

그러나 이 설계는 치명적인 보안 취약점을 유발합니다:

적대적 특징의 증폭: 협력 차량이 해킹될 경우, 고신뢰 영역이나 자차(ego) 불확실성 영역에 주입된 악성 특징들이 우선적으로 선택되어 특징 융합 과정에서 증폭됩니다.
공격의 은밀성: 기존의 스텔스 공격, 특히 Pretend Benign (PB) 공격은 적대적 특징을 양호한(benign) 분포와 유사하게 최적화합니다. 이들은 탐지를 피하면서도 미탐지(missed detections) 또는 오탐(false positives)을 유발하기 위해 불확실한 영역을 표적으로 삼으며, 양호한 특징 특성을 유지합니다.
단일 신호 방어 체계의 실패: 기존의 방어 기제(예: ROBOSAC, LUCIA)는 대개 단일 일관성 신호(예: 전역 특징 거리 또는 쌍별 유사도)에 의존합니다. 다중 공격자 시나리오에서 악성 에이전트들은 특징 공간 내에서 **의사 합의(pseudo-consensus)**를 형성할 수 있습니다. 이러한 상호 일관성은 신뢰도 추정을 편향시켜, 방어 체계가 조정된 공격자들에게 높은 신뢰도를 부여하게 만들고 결과적으로 오염된 융합을 억제하는 데 실패하게 합니다.

2. 방법론: GLST 프레임워크

이러한 취약점을 해결하기 위해 저자들은 특징 융합 전 세 가지 보완적인 관점에서 협력자의 신뢰도를 평가하는 경량 방어 프레임워크인 **Global-Local Structural Trust (GLST)**를 제안합니다.

A. 전역 특징 일관성 (Global Feature Consistency - 거친 입자의 사전 정보)

메커니즘: 각 에이전트의 다운샘플링 및 정규화된 특징 맵과 모든 에이전트의 집합적 분포 사이의 쌍별 $\ell_1$ 거리를 계산합니다.
기능: 다수 분포에서 크게 벗어나는 에이전트는 낮은 신뢰 점수를 받습니다. 자차(ego vehicle)는 이상치로 간주되어 불이익을 받지 않도록 명시적으로 보호됩니다.
해결된 한계: 고립된 이상치에는 효과적이지만, 서로 유사성을 유지하는 조정된 공격자들에 대해서는 전역 일관성만으로 충분하지 않습니다.

B. 국소 강건 합의 잔차 (Local Robust Consensus Residual - 미세한 입자의 이상 탐지)

메커니즘:
1. 임계 영역 선택: 자차의 특징 맵을 사용하여 불확실성(낮은 탐지 신뢰도)과 의미론적 활성도(높은 특징 응답)가 모두 높은 공간 영역을 식별합니다.
2. 다중 스케일 잔차: 여러 공간 스케일에 걸쳐, 이 임계 영역 내에서 각 에이전트의 특징과 강건 합의 중심(전역 신뢰 점수에 의해 가중치가 부여됨) 사이의 잔차를 계산합니다.
3. 점수 산출: 일반적인 불일치와 극단적인 국소 편차를 모두 포착하기 위해 평균 잔차와 90백분위수 잔차를 결합합니다.
기능: 전역 통계가 놓칠 수 있는 특정 의미론적 영역에 집중된 스텔스형 섭동(perturbations)을 탐지합니다.

C. 구조적 일관성 (Structural Consistency - 의미론적 토폴로지)

메커니즘: 에이전트의 특징 맵 내부의 공간적 의미 구조가 자차의 참조 모델과 일치하는지 평가합니다. 이를 위해 에이전트와 자차의 플래튼(flattened) 및 마스킹된 특징 임베딩 간의 코사인 유사도를 사용합니다.
기능: 전역 통계와 국소 크기는 모방하되, 근본적인 공간 활성화 패턴(예: 에지 구조 또는 객체 상관관계)을 왜곡하는 공격을 잡아냅니다.

D. 신뢰 기반 융합 (Trust-Aware Fusion)

집계: 세 가지 신뢰 점수( $t_{global}$ , $t_{local}$ , $t_{struct}$ )는 단일 브랜치의 불안정함이 전체 신뢰도 붕괴를 일으키는 것을 방지하기 위해 가중 합산(곱셈이 아님) 방식으로 결합됩니다.
적용: 도출된 통합 신뢰 점수는 특징 융합 시 어텐션 메커니즘의 가중치를 재조정하는 데 사용됩니다. 의심스러운 에이전트는 완전히 제거되는 대신 부드럽게 억제(가중치 감소)되며, 이를 통해 부분적으로 신뢰할 수 있는 에이전트로부터 유용한 정보를 보존합니다.

3. 주요 기여

취약성 분석: 본 논문은 신뢰 기반 희소 통신가 의도치 않게 적대적 특징 전파를 증폭시킨다는 것을 실증적으로 보여줍니다. 또한 PB 공격이 인지적으로 중요한 영역에 섭동을 주입함으로써 스텔스성을 유지하면서도 3D 객체 탐지 성능을 심각하게 저하시키는 방식을 입증했습니다.
다중 공격자 약점 식별: 저자들은 기존의 일관성 기반 방어 체계가 다중 공격자 시나리오에 취약함을 밝혀냈습니다. 조정된 공격자들은 의사 합의를 형성하여 단일 신호 기반의 신뢰 추정을 편향시키고 표준 방어 체계를 무력화할 수 있습니다.
GLST 프레임워크: 복잡한 재구성이나 추가적인 통신 오버헤드 없이도 전역, 국적, 구조적 관점의 다층적 신뢰 모델링을 제안합니다. 이는 특징 수준에서 신뢰도가 낮은 협력자를 효과적으로 억제합니다.
포괄적 평가: OPV2V 데이터셋을 통한 광범적인 실험을 통해 단일 공격자 및 다중 공격자 PB 공격, 그리고 그래디언트 기반 공격(PGD)에 대한 프레임워크의 유효성을 검증했습니다.

4. 실험 결과

실험은 OPV2V 데이터셋에서 PointPillars를 백본으로 사용하는 Where2comm 프레임워크를 사용하여 수행되었습니다.

공격 효과:
- PB 공격: 단일 공격자 환경에서 PB 공격은 AP@0.5를 0.91(공격 없음)에서 0.37로 낮추었습니다. 4명의 공격자가 있을 때는 0.09까지 떨어졌습니다. 결정적으로, PB 공격은 PGD/BIM과 같은 공격적인 공격(수백 개의 오탐을 생성함)과 달리 높은 스텔스성(예: 4명 공격 시 ~6.04 FPIoU0.5)을 유지했습니다.
방어 성능 (단일 공격자):
- GLST는 경쟁력 있는 성능을 달야, PB 공격 하에서도 AP@0.5를 0.82까지 회복하여 LUCIA(0.85)와 대등하거나 약간 상회하는 성능을 보였으며, 방어 체계가 없는 경우(0.37)보다 훨씬 뛰어난 결과를 보였습니다.
방어 성능 (다중 공격자):
- LUCIA의 실패: 쌍별 거리에 의존하는 LUCIA는 다중 공격자 설정에서 의사 합의 편향으로 인해 성능이 붕ạch되었습니다(4명 공격 시 AP@0.5가 0.11로 급락).
- GLST의 강건성: GLST는 4명의 공격자가 있는 상황에서도 0.67 AP@0.5 및 0.69 AP@0.3를 달성하며 견고한 성능을 유지했습니다. 이는 다중 공격자 시나리오에서 LUCIA와 ROBOSAC을 크게 앞선 결과입니다.
- 일반화 능력: GLST는 다중 공격자 PGD 공격에 대해서도 강력한 강건성을 입증하여, LUCIA가 완전히 실패한 것과 달리 4명의 공격자 상황에서도 0.68 AP@0.5를 유지했습니다.
신뢰 점수 판별력:
- 2명의 공격자 시나리오에서 LUCIA는 양호한 에이전트와 악성 에이전트의 신뢰 점수가 겹치는 현상을 보였습니다(평균: 0.67 vs 0.61). 반면 GLST는 명확한 분리(평균: 0.31 vs 0.02)를 제공하여, 조정된 공격자를 구별하는 탁월한 능력을 확인시켜 주었습니다.
절제 연구 (Ablation Study):
- 전역, 국적, 구조 중 어느 하나의 브랜치라도 제거하면 성능 저하가 발생했으며, 특히 다중 공격자 설정에서 두드라졌습니다. 국적(Local) 브랜치가 임계 영역 내의 미세한 섭동을 탐지하는 데 가장 핵심적인 것으로 나타났습니다.

5. 의의 및 주장

본 논문은 다층적 신뢰 모델링이 신뢰 기반 협력적 인지의 보안을 위해 필수적이라고 주장합니다.

단일 신호 방어를 넘어: 저자들은 현대의 CP 시스템, 특히 스텔스형 조정 다중 공격자 위협에 직면했을 때 단일 일관성 신호에 의존하는 것은 불충분하다고 주장합니다.
효율성과 보안의 균형: GLST는 복잡한 재구성이나 반복적인 샘플링을 요구하지 않고 기존 융합 파이프라인에 직접 통합되는 경량 솔루션을 제공하여 실시간 V2X 애플리케이션에 적합합니다.
조정된 공격에 대한 강건성: 전역, 국적, 구조적 관점을 결합함으로써 GLST는 기존의 최첨단 방어 체계가 해결하지 못한, 조정된 공격자들이 형성하는 "의사 합의"를 효과적으로 깨뜨립니다.

저자들은 이러한 연구 결과가 적대적인 V2X 환경에서 자율 주행 인지의 신뢰성을 보장하기 위해 단일 신호 기반 신뢰 추정에서 총체적인 다각도 신뢰 프레임워크로 전환해야 할 필요성을 입증한다고 결론짓습니다.