Resumo Técnico: Manipulação de Trajetória Induzida por Visão em Direção Autônoma

Declaração do Problema

Os ataques adversariais físicos existentes em sistemas de direção autônoma (DA) baseados em visão geralmente dependem de patches sofisticados e dinamicamente mutáveis ou de patches estáticos otimizados para robustez multi-visão. Essas abordagens tratam a variação do ângulo de visão (causada pelo movimento relativo entre o veículo ego e um alvo) como um desafio de robustez que deve ser superado para manter a eficácia do ataque. Consequentemente, elas exigem otimização complexa multi-visão ou intervenção ativa (por exemplo, displays dinâmicos) para induzir erros de percepção, como ocultação de objetos ou má classificação.

Este artigo identifica uma omissão crítica: a própria variação do ângulo de visão pode ser aproveitada como um mecanismo de ataque. Os sistemas atuais dependem de percepção temporal, onde detecções são associadas, previstas e planejadas. Embora um erro de quadro único possa ser filtrado, uma evolução temporal coerente de erros de percepção pode propagar-se pelo pipeline a jusante para influenciar decisões de planejamento. Os autores propõem um novo paradigma de ataque: "Camuflagem Estática, Ilusão em Movimento". O objetivo é usar uma camuflagem adversária passiva e estática montada em um veículo para induzir uma deriva de características consistente entre quadros, exclusivamente por meio do movimento relativo natural. Isso faz com que o sistema de DA infira uma trajetória fisicamente plausível, mas incorreta (por exemplo, uma falsa entrada na faixa), desencadeando frenagem brusca desnecessária ou manobras de ultrapassagem abandonadas.

Metodologia

1. Modelo de Ameaça

• Adversário: Pode anexar uma camuflagem física estática a um veículo sob seu controle.
• Conhecimento: Acesso de caixa-branca ao modelo de percepção da vítima (ou transferência via um modelo substituto). Não se assume conhecimento dos módulos de rastreamento, previsão ou planejamento a jusante.
• Mecanismo: O ataque é acionado passivamente pelo movimento relativo normal. À medida que o veículo vítima se move em relação ao veículo camuflado, o ângulo de visão muda, fazendo com que a aparência projetada da camuflagem estática evolua.
• Objetivo: Induzir um deslocamento de caixa delimitadora 3D (bbox) temporalmente coerente que se propague até a etapa de planejamento, causando decisões críticas para a segurança.

2. Pipeline de Ataque

O framework proposto consiste em três etapas:

• Seleção de Cenário:

  • Filtro de Viabilidade de Ataque (AFF): Seleciona sequências onde o veículo alvo é visível, relevante para o caminho do ego e já não está invadindo.
  • Filtro de Ângulo de Visão (VAF): Seleciona especificamente sequências com variação suficiente de ângulo de visão entre o primeiro e o último quadro. Diferentemente de trabalhos anteriores, uma variação maior é preferida para amplificar a evolução da aparência dependente da visão.

• Renderização da Camuflagem:

  • Uma textura de camuflagem estática ($\delta$) é otimizada e mapeada para a região renderizável da malha do veículo alvo.
  • Oclusões são tratadas usando máscaras de segmentação (SAM2), e a renderização é realizada usando PyTorch3D com intrínsecas de câmera.

• Otimização Guiada por Planejamento:

  • Busca de Alvo: O sistema busca uma direção de deslocamento ótima ($\bar{u}$) e um tamanho de passo ($\bar{s}$) que maximizariam erros de planejamento a jusante (por exemplo, causando uma colisão ou frenagem brusca).
  • Funções de Perda: A camuflagem é otimizada para maximizar o deslocamento ao longo da direção do alvo, garantindo consistência temporal.
    • Perda de Movimento ($L_{move}$): Impulsiona o centro da bbox 3D ao longo da direção do alvo.
    • Perda de Progresso ($L_{prog}$): Impõe um deslocamento progressivamente crescente ($d_{k+1} - d_k \approx \bar{s}$) para criar uma ilusão de movimento coerente.
    • Perda de Fidelidade ($L_{fid}$): Garante que o alvo permaneça um objeto detectado válido (preservando confiança, dimensões e guinada).
    • Perda de Estilo ($L_{style}$): Inclui Variação Total (TV) e Pontuação de Não-Imprimibilidade (NPS) para garantir que o padrão seja imprimível e de baixo ruído.
  • Robustez: A Expectativa sobre Transformação 3D (EoT) é aplicada durante a otimização, introduzindo perturbações aleatórias (guinada, translação, profundidade, escala) na pose do alvo.

Principais Contribuições

1. Novo Mecanismo de Ataque: O artigo identifica a variação do ângulo de visão como uma nova superfície de ataque. Demonstra que a camuflagem estática pode ser transformada em perturbações temporais dinâmicas por meio da dinâmica natural de direção, eliminando a necessidade de patches adversariais ativos ou dinâmicos.
2. Framework Constrained por Geometria: Propõe-se um método para gerar camuflagem estática que induz movimento progressivo de bbox 3D entre quadros. Este framework garante que o ataque seja projetável fisicamente e temporalmente coerente.
3. Impacto no Nível de Sistema: O trabalho demonstra que essas ilusões de movimento induzidas propagam-se pelos módulos de rastreamento e previsão para desencadear comportamentos de direção realistas e prejudiciais (ultrapassagens abandonadas, frenagem brusca) em pipelines de DA de ponta a ponta.

Resultados Experimentais

O ataque foi avaliado no conjunto de dados nuScenes usando 220 cenários e três detectores 3D baseados em visão (BEVDet, BEVDepth, FastBEV++). Dois pipelines a jusante (Pipeline A e B) foram construídos para simular rastreamento, previsão e planejamento.

• Taxa de Sucesso: O ataque alcançou uma Taxa de Sucesso de Ataque (ASR) de até 87,5% (medida por eventos de frenagem brusca, definidos como desaceleração $\ge 3.0 m/s^2$). Em configurações de validação cruzada, a ASR variou de 50,0% a 66,7%.
• Coerência Temporal: A Taxa de Deslocamento Progressivo (PDR) atingiu 70,8% em média, confirmando que as mudanças induzidas na bbox foram progressivas temporalmente e não ruído aleatório.
• Impacto a Jusante:
  • Erro Médio de Previsão (APE): Até 3,02 m de desvio nas trajetórias previstas.
  • Distância Mínima de Trajetória (MTD): Reduzida para ~1,48 m, indicando que o caminho previsto aproximou-se do caminho planejado pela vítima, criando um conflito de segurança.
  • Frenagem Brusca: Desencadeou desaceleração máxima de frenagem (MBD) de até 4,45 $m/s^2$.
• Fatores que Influenciam a Eficácia:
  • Variação do Ângulo de Visão: Maior variação correlaciona-se com deslocamento mais forte.
  • Especificidades do Cenário: O ataque é mais eficaz com distâncias mais próximas, iluminação mais brilhante, áreas de projeção maiores e velocidades relativas mais baixas.
  • Transferibilidade: Embora a transferibilidade entre modelos seja limitada (devido à agregação de características específica do detector), o ataque transfere-se efetivamente entre diferentes tipos de veículos (SUV, Sedan, Van).

Significado e Alegações

Os autores afirmam que este trabalho destaca uma vulnerabilidade anteriormente negligenciada na direção autônoma: a dependência de consistência temporal torna os sistemas suscetíveis a ataques físicos estáticos que exploram condições de visão dinâmicas.

• Mudança de Paradigma: O artigo argumenta que a variação do ângulo de visão não deve ser tratada apenas como um obstáculo de robustez, mas reconhecida como um vetor de ataque potencial.
• Viabilidade de Implantação: Diferentemente de trabalhos anteriores que exigem displays dinâmicos ou intervenção ativa, este ataque é "passivo" e "fácil de implantar", pois requer apenas um veículo estacionado com um padrão de camuflagem específico para induzir frenagem brusca em veículos autônomos que passam.
• Implicações de Segurança: Os resultados sugerem que as defesas atuais focadas em robustez de quadro único ou invariância multi-visão são insuficientes. Futuros sistemas de DA seguros devem levar em conta viéses de percepção coerentes espaço-temporalmente induzidos pela dinâmica natural do movimento.

O artigo conclui observando que, embora a avaliação seja limitada a modelos específicos e conjuntos de dados simulados, as descobertas motivam o projeto de sistemas mais robustos que possam raciocinar sobre consistência física e estabilidade temporal além da simples percepção quadro a quadro.