Resumo Técnico: Da Fabricação de Dados Furtiva à Condução Insegura

1. Declaração do Problema

A percepção colaborativa permite que Veículos Conectados e Autônomos (CAVs) superem limitações de sensores (oclusão, alcance, clima) compartilhando dados. No entanto, essa dependência de dados externos introduz uma vulnerabilidade crítica a ataques de fabricação de dados, onde veículos maliciosos injetam dados manipulados para alterar a percepção de uma vítima.

O artigo identifica duas lacunas fundamentais na pesquisa existente:

1. Compromisso entre Furtividade e Impacto: Defesas existentes (por exemplo, consistência de caixas delimitadoras, distância de características globais) são ajustadas para detectar grandes anomalias, como falsificação ou remoção de objetos. Elas falham em detectar pequenas perturbações localizadas (por exemplo, um deslocamento de ~1 m na pose de um objeto) porque essas alterações ficam abaixo dos limiares de detecção e são diluídas nos mapas de características globais.
2. Falta de Avaliação de Ponta a Ponta: Ataques anteriores são avaliados em quadros individuais, ignorando a natureza temporal da condução autônoma. Pequenos erros de percepção podem propagar-se através dos módulos de rastreamento e previsão de trajetória, acumulando-se ao longo do tempo para causar falhas críticas para a segurança (por exemplo, frenagem brusca desnecessária ou colisões), um risco não capturado pela análise por quadro.

2. Metodologia

Os autores propõem um quadro abrangente que compreende um ataque (PosePert), uma estratégia consciente do cenário e uma mitigação (PoseGuard).

A. PosePert: O Primitivo de Ataque

PosePert é um ataque de fusão intermediária em tempo real que perturba sutilmente a pose percebida (posição e orientação) de um veículo existente, em vez de falsificar novos objetos ou remover existentes. Opera em duas etapas:

1. Inicialização Informada pela Física (Rastreamento de Raios Multi-visão):

   • O atacante sintetiza uma "nuvem de pontos" falsa do veículo-alvo como se estivesse localizado na posição deslocada desejada.
   • Isso é feito usando pontos de vista de LiDAR virtuais ao redor da localização do alvo para gerar cobertura realista de pontos, incluindo oclusão e retornos do solo.
   • Os pontos sintéticos são processados através do pipeline de extração de características da vítima para criar um mapa de características base ($f_{spoof}$).

2. Rede de Perturbação Aprendida (PertNet):

   • Para superar o efeito de "votação" de veículos benignos na fusão, o atacante escala as características falsificadas por um fator $\beta$ (tipicamente 1,5–3,0) para dominar o processo de fusão.
   • Uma rede convolucional leve prevê correções por vóxel ($\delta_{corr}$) condicionadas ao contexto local (características do atacante, deslocamentos geométricos e posições de veículos benignos).
   • O mapa de características adversário final é: $f_{attack} = f_{orig} + \beta \cdot (f_{spoof} - f_{orig}) + \text{clamp}(\delta_{corr})$.
   • Esta abordagem evita otimização iterativa (como PGD), permitindo a execução em <50 ms por quadro.

B. Quadro de Ataque Consciente do Cenário

Para induzir comportamentos de condução inseguros, o ataque é orquestrado ao longo do tempo usando um loop Observar–Prever–Planejar–Executar:

• Observar: O atacante rastreia veículos ao redor e seleciona um alvo (por exemplo, um veículo em uma faixa adjacente).
• Prever: Usando um preditor de trajetória substituto, o atacante prevê a evolução da cena.
• Planejar: O atacante otimiza uma sequência temporal de perturbações de pose (trajetória adversária) para maximizar a probabilidade de a vítima prever uma intrusão na faixa. As restrições incluem um limite de deslocamento por quadro ($\epsilon_{loc} = 0,5$ m) para furtividade.
• Executar: O atacante aplica PosePert para realizar a perturbação do quadro atual e transmite os dados manipulados.

C. PoseGuard: A Mitigação

Defesas existentes falham porque analisam mapas de características globais, diluindo pequenas anomalias locais. PoseGuard introduz detecção de anomalias localizada ao nível do objeto:

1. Identificação Crítica para a Segurança: Apenas objetos cujas trajetórias previstas ameaçam o veículo ego são analisados.
2. Filtragem de Discordância: Objetos onde a percepção fusionada e a percepção apenas do ego concordam são ignorados.
3. Pontuação de Anomalia Localizada: Para objetos críticos e discordantes, o sistema extrai recortes de características locais (regiões de caixas delimitadoras) de todos os agentes e calcula distâncias L1 pareadas. Isso concentra o sinal, tornando pequenas perturbações de pose detectáveis.

3. Contribuições Principais

1. Ataque PosePert: Um novo ataque de perturbação de pose de objeto que manipula saídas de percepção através de pequenos deslocamentos furtivos, evadindo defesas de última geração projetadas para grandes anomalias.
2. Quadro Consciente do Cenário: O primeiro quadro a modelar a propagação temporal de erros na percepção colaborativa, demonstrando como pequenas perturbações por quadro se acumulam para induzir decisões de condução inseguras (por exemplo, frenagem brusca).
3. Defesa PoseGuard: Uma defesa ao nível do objeto que melhora significativamente a sensibilidade de detecção a perturbações localizadas, focando em regiões críticas para a segurança em vez de mapas de características globais.
4. Avaliação Abrangente: Avaliação em conjuntos de dados de simulação (OPV2V) e do mundo real (V2X-Real) em múltiplos modelos de fusão intermediária (AttFusion, V2VNet, CoBEVT).

4. Resultados Experimentais

Eficácia do Ataque

• Nível de Percepção: PosePert alcança 75–94% de sucesso (IoU > 0,5) em deslocar poses de objetos em diferentes modelos. É aproximadamente 2× mais rápido que baselines baseadas em PGD.
• Nível de Cenário: Sob um limite estrito de deslocamento de 0,5 m por quadro, o ataque induz até 50 m de desvio de trajetória (Erro de Deslocamento Final) e reduz a distância alvo-vítima para 0,15 m.
• Impacto na Segurança: Em 25–50% dos cenários, o ataque faz com que a trajetória prevista da vítima cruze para sua própria faixa, acionando comportamentos críticos para a segurança, como frenagem brusca desnecessária.

Resiliência da Defesa

• Defesas Existentes: Defesas de última geração (CAD, LUCIA, MADE, ROBOSAC, MATE) falham amplamente contra PosePert, detectando <13% dos ataques. Métricas de distância de características globais (LUCIA) são próximas do aleatório porque a perturbação afeta <0,04% do mapa de características.
• PoseGuard: Alcança 57–84% de detecção (Taxa de Verdadeiros Positivos a 5% de Taxa de Falsos Positivos) em ataques de cenário e 82–99% em ataques de percepção. Detecta com sucesso pequenos deslocamentos (<0,5 m) que o CAD perde.

Eficiência

• O pipeline completo de ataque (Rastreamento de raios + Extração de características + PertNet) executa em ~36 ms, cabendo dentro do intervalo de quadro LiDAR de 50–100 ms.
• PoseGuard adiciona <5 ms de sobrecarga.

5. Significado e Alegações

O artigo afirma preencher a lacuna entre ataques teóricos de fabricação de dados e ameaças reais à segurança. Seu significado principal reside em demonstrar que:

1. A furtividade é alcançável: Pequenas perturbações de pose consistentes podem evadir defesas atuais que dependem de grandes anomalias.
2. O acúmulo temporal é crítico: O verdadeiro perigo dos ataques de percepção colaborativa não são erros imediatos por quadro, mas o acúmulo desses erros em decisões de condução inseguras.
3. A defesa requer localização: Uma defesa eficaz contra ataques sutis exige a mudança da detecção global de anomalias para análise ao nível do objeto, crítica para a segurança.

Os autores concluem que, embora PoseGuard ofereça uma mitigação promissora, existe um compromisso entre a furtividade do ataque e o impacto, e a segurança dos sistemas de percepção colaborativa requer avaliação rigorosa de ponta a ponta além das métricas de percepção de quadro único.