Resumo Técnico: Avaliação em Tempo Real de Sistemas Autônomos sob Ataques Adversariais

Declaração do Problema

Embora os testes adversariais se tenham tornado padrão na simulação para condução autónoma, avaliações puramente virtuais falham em capturar inconsistências estruturais, restrições de supervisão e efeitos de representação de estado inerentes aos dados do mundo real. Estes fatores moldam fundamentalmente a robustez da política, mas são frequentemente abstraídos na simulação. Além disso, embora vulnerabilidades de robustez no aprendizado por reforço tenham sido analisadas, avaliações controladas em conjuntos de dados de trajetórias estruturadas do mundo real permanecem limitadas. Ataques físicos existentes visam frequentemente pipelines de percepção a montante (por exemplo, câmaras, LiDAR), enquanto este trabalho aborda a vulnerabilidade do próprio vetor de estado de baixa dimensão, assumindo que a camada de percepção foi contornada ou comprometida.

Metodologia

Enquadramento Experimental

Os autores propõem um enquadramento de aprendizado de trajetória offline e avaliação de robustez adversarial fundamentado em dados de condução em cruzamentos do mundo real. A avaliação é conduzida num modo em malha aberta num veículo de teste Audi Q8 de escala completa equipado com uma pilha de múltiplos sensores (LiDAR, câmaras, GNSS/IMU) e um enquadramento de software baseado no Autoware. Políticas treinadas realizam inferência em tempo real em dados de veículos ao vivo, mas não influenciam o controlo do veículo, garantindo segurança enquanto permitem uma avaliação realista de robustez sob condições reais de deteção e sincronização.

Dados e Construção de Estado

O estudo utiliza o conjunto de dados UrbanIng-V2X, focando-se no aprendizado de trajetória de um único veículo-ego em três cenários distintos de cruzamentos em Ingolstadt, Alemanha.

• Representação de Estado ($s_t$): Um vetor estruturado de 97 dimensões é construído para cada carimbo de tempo, compreendendo:
  • Dinâmica do ego (4D): Velocidade, aceleração, taxa de guinada e rumo.
  • Geometria relativa à faixa (3D): Deslocamento lateral, erro de rumo e curvatura.
  • Objetos circundantes (80D): Características para os $K=10$ participantes no trânsito mais próximos (posição, velocidade, dimensões, classe, distância).
  • Máscara de validade (10D): Indicadores binários para a presença de objetos.
• Alvo: Uma trajetória futura de 20 passos ($\tau_t$) representando $(\Delta x, \Delta y, \Delta \psi, v)$.

Modelos Avaliados

Três paradigmas de aprendizado de trajetória são comparados sob contratos idênticos de estado e supervisão:

1. BC-MLP: Um Perceptron Multicamadas (MLP) feedforward (duas camadas ocultas, 512 unidades) a realizar Clonagem de Comportamento.
2. BC-Transformer: Um modelo baseado em Transformer usando tokenização de objetos (ego, faixa e 10 tokens de objeto) com um token de classificação para agregação global.
3. IRL-GAIL: Uma abordagem de Aprendizado por Reforço Inverso formulada como um jogo minimax de Aprendizado de Imitação Generativo Adversarial (GAIL), onde a rede de política partilha a arquitetura do BC-MLP.

Protocolo de Ataque Adversarial

A robustez no momento da inferência é avaliada aplicando perturbações baseadas em gradiente ao vetor de estado estruturado $s_t$ usando:

• FGSM (Método de Sinal de Gradiente Rápido): Perturbação de passo único.
• PGD (Descida de Gradiente Projetada): Perturbação iterativa de 10 passos.
• Restrições: As perturbações são limitadas por um orçamento $\ell_\infty$ ($\epsilon = 0.05$) aplicado a todas as dimensões do estado sem normalização por característica.
• Métricas: O Erro de Deslocamento Médio (ADE) e o Erro de Deslocamento Final (FDE) são calculados em relação às trajetórias de referência.

Contribuições Principais

1. Pipeline Offline do Mundo Real: Estabelecimento de um pipeline estruturado de aprendizado de trajetória offline baseado em dados de cruzamentos do mundo real, indo além dos testes adversariais puramente simulados.
2. Comparação Controlada de Paradigmas: Uma comparação sistemática de BC (MLP), BC (Transformer) e IRL estilo GAIL offline sob representações de estado e contratos de supervisão idênticos.
3. Avaliação Sistemática de Robustez: Uma matriz de avaliação estruturada variando a família de modelos, o tipo de ataque (Limpo, FGSM, PGD) e o cenário de cruzamento (3 travessias), cobrindo condições diurnas e noturnas.
4. Análise Empírica de Robustez: Demonstração de que uma precisão de trajetória nominal comparável pode ocultar perfis de robustez adversarial substancialmente diferentes.

Resultados

Desempenho Nominal

Em condições limpas (não adversariais), todos os modelos alcançaram erros de previsão baixos, com valores de ADE e FDE consistentemente abaixo de 0,08 em todos os cruzamentos. Isto confirma que as diferenças observadas sob ataque não se devem a subajuste ou limitações de capacidade arquitetural, mas sim à sensibilidade dos mapeamentos entrada-saída aprendidos.

Degradação Adversarial

• Ataques FGSM: Causaram degradação significativa, aumentando o ADE em aproximadamente 1,0–1,5 metros e o FDE em 1,8–2,9 metros. O BC-MLP e o BC-Transformer mostraram vulnerabilidade comparável, sugerindo que o aumento da expressividade arquitetural (mecanismos de atenção) não reduz inerentemente a suscetibilidade a ataques de gradiente de passo único.
• Ataques PGD: Resultaram em erros substancialmente maiores. A degradação do FDE frequentemente excedeu 5,0 metros, atingindo quase 8,0 metros em cruzamentos complexos.
  • O BC-MLP exibiu a maior degradação, particularmente em cenários de alta curvatura, indicando sensibilidade à amplificação iterativa.
  • O BC-Transformer mostrou melhorias modestas em algumas configurações, mas permaneceu altamente vulnerável no geral.
  • O IRL-GAIL não demonstrou vantagens consistentes de robustez; em vários casos, a sua degradação foi comparável ou pior do que a dos modelos baseados em BC.

Modos de Falha

A análise qualitativa (Fig. 3) revelou que as trajetórias perturbadas adversarialmente frequentemente permanecem cinematicamente suaves, mas são semanticamente incorretas, violando a adesão à faixa ou as regras de cruzamento. Os erros tendem a acumular-se ao longo do horizonte de previsão, levando a grandes erros de deslocamento terminal (alto $\Delta$FDE relativo a $\Delta$ADE).

Significado e Alegações

O artigo afirma que a precisão nominal de previsão de trajetória não é indicativa de robustez adversarial. O estudo estabelece que:

• Vieses Indutivos Arquiteturais Importam: O design da estrutura de estado e as escolhas arquitetónicas influenciam criticamente a estabilidade adversarial, levando a perfis de robustez marcadamente diferentes apesar de desempenho limpo semelhante.
• Objetivos de Treino Não Garantem Robustez: Objetivos de imitação adversarial (GAIL) e aumento da complexidade do modelo não conferem inerentemente robustez no momento da inferência contra perturbações de estado.
• Necessidade de Avaliação Consciente do Cenário: A robustez é determinada conjuntamente pela arquitetura do modelo e pela geometria local do estado (por exemplo, curvatura, tráfego a fundir), necessitando de avaliação consciente do cenário em vez de métricas agregadas apenas.

O enquadramento proposto serve como um benchmark escalável e reproduzível para estudar o aprendizado de trajetória offline e a robustez adversarial em cenários de condução autónoma do mundo real, destacando a lacuna entre a precisão em condições limpas e o comportamento relevante para a segurança sob ataque.