Technische Samenvatting: GLST – Verdediging van Vertrouwensgestuurde V2X Collaboratieve Perceptie tegen Stealthy Multi-Attacker Feature Injection

1. Probleemstelling

Collaboratieve Perceptie (CP) verbetert autonoom rijden door verbonden voertuigen (CAV's) in staat te stellen intermediaire kenmerken (features) uit te wisselen via Vehicle-to-Everything (V2X) communicatie. Recente paradigma's, zoals Where2comm, maken gebruik van vertrouwensgestuurde ijle communicatie (confidence-driven sparse communication) om de efficiëntie te verbeteren. Deze systemen verzenden alleen "perceptie-kritische" ruimtelijke regio's (gebieden met een hoge vertrouwensscore) om de bandbreedte te beperken.

Dit ontwerp introduceert echter een kritieke beveiligingskwetsbaarheid:

• Amplificatie van Adversariële Kenmerken: Als een collaborator gecompromitteerd is, worden kwaadaardige kenmerken die geïnjecteerd zijn in gebieden met een hoge vertrouwensscore of ego-onzekerheid bij voorkeur geselecteerd voor transmissie en versterkt tijdens de feature-fusie.
• Stealthiness van Aanvallen: Bestaande stealthy aanvallen, specifiek de Pretend Benign (PB) aanval, optimaliseren adversariële kenmerken om de benigne distributies na te bootsen. Ze richten zich op onzekere regio's om missende detecties of valse positieven te veroorzaken, terwijl ze benigne-achtige kenmerken behouden om standaard anomaliedetectie te omzeilen.
• Falende Single-Signal Defenses: Huidige verdedigingen (bijv. ROBOSAC, LUCIA) vertrouwen vaak op een enkel consistentiesignaal (bijv. globale feature-afstand of paargewijze gelijkenis). In multi-attacker scenario's kunnen kwaadaardige agenten een pseudo-consensus vormen in de feature-ruimte. Deze onderlinge consistentie beïnvloedt de betrouwbaarheidsschatting, waardoor verdedigingen een hoge betrouwbaarheid toekennen aan gecoördineerde aanvallers en er niet in slagen de gecorrumpeerde fusie te onderdrukken.

2. Methodologie: Het GLST-framework

Om deze kwetsbaarheden aan te pakken, stellen de auteurs Global-Local Structural Trust (GLST) voor, een lichtgewicht verdedigingsframework dat de betrouwbaarheid van collaborators evalueert vanuit drie complementaire perspectieven vóór de feature-fusie.

A. Globale Feature Consistentie (Coarse-Grained Prior)

• Mechanisme: Berekent de paargewijze $\ell_1$-afstand tussen de gedownsamplede, genormaliseerde feature map van elke agent en de collectieve distributie van alle agenten.
• Functie: Agenten met kenmerken die significant afwijken van de meerderheidsdistributie krijgen lagere vertrouwensscores. Het ego-voertuig wordt expliciet beschermd tegen het worden bestempeld als een outlier.
• Behandelde Beperking: Hoewel effectief tegen geïsoleerde outliers, is globale consistentie alleen onvoldoende tegen gecoördineerde aanvallers die een onderlinge gelijkenis behouden.

B. Lokale Robuuste Consensus Residuen (Fine-Grained Anomaly Detection)

• Mechanisme:
  1. Kritische Regio Selectie: Identificeert ruimtelijke regio's die zowel onzeker (lage detectie-betrouwbaarheid) als semantisch actief (hoge feature-respons) zijn met behulp van de feature map van het ego-voertuig.
  2. Multi-Scale Residuen: Berekent residuen tussen de kenmerken van elke agent en een robuust consensuscentrum (gewogen door globale vertrouwensscores) binnen deze kritische regio's over meerdere ruimtelijke schalen.
  3. Scoring: Combineert het gemiddelde residu en het 90e-percentiel residu om zowel algemene inconsistentie als extreme gelokaliseerde afwijkingen te vangen.
• Functie: Detecteert stealthy perturbaties die geconcentreerd zijn op specifieke semantische regio's die globale statistieken mogelijk missen.

C. Structurele Consistentie (Semantische Topologie)

• Mechanisme: Evalueert of de interne ruimtelijke semantische structuur van de feature map van een agent overeenkomt met de referentie van het ego-voertuig. Het gebruikt cosinus-gelijkenis tussen de afgeplatte, gemaskeerde feature-embeddings van de agent en het ego.
• Functie: Vangt aanvallen op die globale statistieken en lokale magnitudes nabootsen, maar de onderliggende ruimtelijke activatiepatronen (bijv. randstructuren of objectcorrelaties) verstoren.

D. Trust-Aware Fusie

• Aggregatie: De drie vertrouwensscores ($t_{global}$, $t_{local}$, $t_{struct}$) worden gecombineerd via een gewogen sommatie (niet multiplicatief) om te voorkomen dat een enkele instabiele tak leidt tot een instorting van het vertrouwen.
• Toepassing: De resulterende unificatie-vertrouwensscore wordt gebruikt om het aandachtmechanisme (attention mechanism) te herwegen tijdens de feature-fusie. Verdachte agenten worden zachtjes onderdrukt (verlaagd gewogen) in plaats van hard gefilterd, waardoor nuttige informatie van gedeeltelijk betrouwbare agenten behouden blijft.

3. Belangrijkste Bijdragen

1. Vulnerabiliteitsanalyse: De paper demonstreert empirisch dat vertrouwensgestuurde ijle communicatie onbedoeld de propagatie van adversariële kenmerken versterkt. Het toont aan dat de Pretend Benign (PB) aanval dit effectief exploiteert door perturbaties in perceptie-kritische regio's te injecteren, wat de 3D-objectdetectie aanzienlijk verslechtert terwijl de stealthiness behouden blijft.
2. Identificatie van Multi-Attacker Zwakte: De auteurs onthullen dat bestaande consistentie-gebaseerde verdedigingen fragiel zijn tegen multi-attacker scenario's. Gecoördineerde aanvallers kunnen een pseudo-consensus vormen, wat de single-signal vertrouwensschattingen beïnvloedt en standaardverdedigingen ineffectief maakt.
3. GLST Framework: Stelt een multi-level trust modeling aanpak voor (Globaal, Lokaal, Structureel) die geen complexe reconstructie of extra communicatie-overhead vereist. Het onderdrukt effectief laag-vertrouwde collaborators op het niveau van de features.
4. Uitgebreide Evaluatie: Uitgebreide experimenten op de OPV2V dataset valideren het framework tegen single-attacker en multi-attacker PB-aanvallen, evenals tegen gradiënt-gebaseerde aanvallen (PGD).

4. Experimentele Resultaten

Experimenten werden uitgevoerd met het Where2comm framework met PointPillars als backbone op de OPV2V dataset.

• Effectiviteit van Aanvallen:
  • PB Aanval: Onder een single attacker verminderde PB de AP@0.5 van 0.91 (geen aanval) naar 0.37. Onder vier attackers daalde dit naar 0.09. Cruciaal is dat PB een hoge stealthiness behield (lage false positives, bijv. ~6.04 FPIoU0.5 voor 4 attackers) vergeleken met agressieve aanvallen zoals PGD/BIM (die honderden false positives genereerden).
• Verdedigingsprestaties (Single Attacker):
  • GLST bereikte een concurrerende prestatie, waarbij de AP@0.5 werd hersteld naar 0.82 onder PB-aanvallen, vergelijkbaar met of iets beter dan LUCIA (0.85) en significant beter dan geen verdediging (0.37).
• Verdedigingsprestaties (Multi-Attacker):
  • LUCIA Falen: LUCIA, dat vertrouwt op paargewijze afstanden, stortte in onder multi-attacker settings (AP@0.5 daalde naar 0.11 met 4 attackers) door de pseudo-consensus bias.
  • GLST Robuustheid: GLST behield robuuste prestaties, met een 0.67 AP@0.5 met vier attackers en 0.69 AP@0.3. Het presteerde significant beter dan LUCIA en ROBOSAC in multi-attacker scenario's.
  • Generalisatie: GLST demonstreerde ook sterke robuustheid tegen multi-attacker PGD aanvallen, waarbij het 0.68 AP@0.5 behield met vier attackers, terwijl LUCIA volledig faalde.
• Discriminatie van Vertrouwensscores:
  • In een scenario met twee attackers kende LUCIA overlappende vertrouwensscores toe aan benigne en kwaadaardige agenten (gemiddelden: 0.67 vs. 0.61). GLST bood een duidelijke scheiding (gemiddelden: 0.31 vs. 0.02), wat de superieure bekwaamheid bevestigt om gecoördineerde aanvallers te onderscheiden.
• Ablatieonderzoek:
  • Het verwijderen van een enkele vertrouwensbranch (Globaal, Lokaal of Structureel) leidde tot prestatieverslechtering, vooral in multi-attacker settings. De Lokale branch werd gevonden als de meest kritieke voor het detecteren van fine-grained perturbaties in kritische regio's.

5. Betekenis en Claims

De paper claimt dat multi-level trust modeling essentieel is voor het beveiligen van vertrouwensgestuurde collaboratieve perceptie.

• Voorbij Single-Signal Verdedigingen: Het werk beargumenteert dat vertrouwen op een enkel consistentiesignaal onvoldoende is voor moderne CP-systemen, vooral wanneer men te maken heeft met stealthy, gecoördineerde multi-attacker dreigingen.
• Balans tussen Efficiëntie en Beveiliging: GLST biedt een lichtgewicht oplossing die direct integreert in de bestaande fusie-pipeline zonder complexe reconstructie of iteratieve sampling te vereisen, wat het geschikt maakt voor real-time V2X-toepassingen.
• Robuustheid tegen Coördinatie: Door globale, lokale en structurele perspectieven te combineren, doorbreekt GLST effectief de "pseudo-consensus" gevormd door gecoördineerde aanvallers, een kwetsbaarheid waar bestaande state-of-the-art verdedigingen niet tegen bestand zijn.

De auteurs concluderen dat hun bevindingen de noodzaak valideren om over te stappen van single-signal vertrouwensschatting naar een holistisch, multi-perspectief vertrouwensframework om de betrouwbaarheid van autonome rijperceptie in adversariële V2X-omgevingen te waarborgen.