Assessing the Operational Impact of Poisoning Attacks over Augmented 3D Point Cloud Public Datasets for Connected and Autonomous Vehicles

Resumo Técnico: Avaliando o Impacto Operacional de Ataques de Envenenamento sobre Conjuntos de Dados Públicos de Nuvem de Pontos 3D Aumentados para Veículos Conectados e Autônomos

Definição do Problema
O artigo aborda uma lacuna de segurança crítica em Veículos Conectados e Autônomos (CAVs): a vulnerabilidade dos conjuntos de dados de nuvem de pontos 3D usados para o treinamento de modelos de percepção a ataques de envenenamento (poisoning attacks). Embora a aumentação de dados (especificamente usando Redes Adversárias Generativas, ou GANs) seja amplamente empregada para expandir conjuntos de dados públicos limitados e melhorar a robustez do modelo, existe uma suposição prevalente de que a aumentação atua como um mecanismo de "sanitização", potencialmente diluindo ou filtrando dados maliciosos. Os autores desafiam essa suposição, hipotetizando que, no contexto de nuvens de pontos 3D — que codificam continuidade geométrica e estrutural — a aumentação pode inadvertidamente amplificar amostras envenenadas e backdoors, em vez de mitigá-las. Isso é particularmente preocupante porque os CAVs dependem fortemente de conjuntos de dados públicos para treinamento, criando uma superfície de ataque significativa onde atores maliciosos poderiam injetar dados envenenados que se propagam através de pipelines de aumentação, levando à classificação incorreta ou a backdoors acionados em sistemas implantados.

Metodologia
Os autores propõem uma estrutura de avaliação empírica para avaliar o impacto operacional de ataques de envenenamento em dados de nuvem de pontos 3D aumentados. A metodologia envolve:

1. Modelo de Ameaça: O estudo assume um adversário de "rótulo limpo" (clean-label) com controle parcial sobre os dados de treinamento. O atacante injeta amostras de nuvem de pontos 3D envenenadas em conjuntos de dados públicos em taxas incrementais (0% a 40%). A estratégia de envenenamento consiste em remover aleatoriamente 50% dos pontos de amostras específicas sem um ranqueamento complexo, visando degradar o desempenho do modelo ou incorporar backdoors enquanto preserva os rótulos de classe originais. O adversário não possui conhecimento da arquitetura do modelo da vítima ou do processo de treinamento.
2. Configuração Experimental:
   • Conjunto de Dados: O conjunto de dados ModelNet é utilizado, selecionando especificamente duas classes para classificação binária.
   • Cenários: Dois cenários de treinamento são comparados:
     • Baseline: Um classificador treinado no conjunto de dados original, não aumentado.
     • Aumentado: Um classificador treinado em um conjunto de dados onde o conjunto de treinamento é primeiro aumentado usando uma estrutura 3D-GAN. Crucialmente, o envenenamento é introduzido nos dados de treinamento antes que a GAN gere amostras sintéticas, permitando que a GAN aprenda e reproduza as características envenenadas.
   • Métricas: O desempenho é avaliado usando o F1 score, o Coeficiente de Correlação de Matthews (MCC) e a Taxa de Sucesso do Ataque (ASR). A ASR é definida como o aumento nos falsos negativos (detecções perdidas da classe alvo) atribuíveis ao ataque.
3. Quantificação de Impacto: Para ir além das simples métricas de acurácia, os autores empregam um modelo de impacto operacional baseado em grafos de dependência de recursos e missões. Este modelo mapeia a ASR (como uma probabilidade de falha) para funções operacionais específicas de CAV (por exemplo, Detecção de Veículo e Pedestre, Tomada de Decisão) para quantificar a probabilidade de degradação do sistema.

Principais Contribuições

• Avaliação Empírica de Sanitização: O artigo fornece um estudo de caso focado demonstrando que a aumentação de dados não necessariamente sanitiza os dados de nuvem de pontos 3D. Em vez disso, sob condições específicas, ela pode amplificar a prevalência de amostras envenenadas.
• Avaliação de Impacto Operacional: Os autores introduzem um método para quantificar os efeitos subsequentes dos ataques de envenenamento nos processos de tomada de decisão de CAVs, vinculando a degradação do classificador aos riscos operacionais.
• Reprodutibilidade: A implementação completa, incluindo código, conjuntos de dados e ferramentas para avaliação de impacto, é lançada publicamente para facilitar pesquisas futuras.

Resultados Experimentais
Os experimentos revelam que a aumentação de dados exacerba significativamente o impacto dos ataques de envenenamento:

• Degradação de Desempenho: À medida que a taxa de envenenamento aumenta, o desempenho do classificador degrada-se em ambos os cenários. No entanto, a degradação é marcadamente pior no cenário aumentado. Com uma taxa de envenenamento de 40%, o cenário Baseline mantém um MCC de 0,88 e uma ASR de 5,8%, enquanto o cenário Aumentado cai para um MCC de 0,70 e uma ASR de 17,6%.
• Mecanismo de Amplificação: Os resultados sugerem que o processo de aumentação baseado em GAN reforça os modos distributivos explorados pelo atacante, efetivamente aumentando o número de amostras envenenadas disponíveis para o treinamento, em vez de filtrá-las.
• Impacto Operacional: O modelo de propagação de impacto mostra uma correlação direta entre a ASR e o risco operacional. Com uma taxa de envenenamento de 40%, a probabilidade de o processo de "Tomada de Decisão" ser afetado sobe de 4% no cenário Baseline para 13% no cenário Aumentado — um aumento de mais de três vezes no risco de interrupção operacional.

Significância e Alegações
O artigo afirma que a dependência de conjuntos de dados públicos para o treinamento de CAV cria uma superfície de ataque crítica que não é mitigada, e pode ser agravada, por técnicas padrão de aumentação de dados. Os autores sustentam que suas descobertas validam que o envenenamento pode contornar a "natureza sanitizante" das técnicas de aumentação (especificamente GANs) no domínio de nuvens de pontos 3D. Consequentemente, o estudo conclui que a aumentação pode aumentar o número de amostras envenenadas e o impacto operacional geral dos ataques, levando a uma maior probabilidade de falhas catastróficas na tomada de decisão de condução autônoma. O trabalho serve como um alerta de que as suposições atuais sobre a segurança de conjuntos de dados aumentados em sistemas críticos de segurança podem estar equivocadas.