💻 computer science

CP-uniGuard: A Unified, Probability-Agnostic, and Adaptive Framework for Malicious Agent Detection and Defense in Multi-Agent Embodied Perception Systems

本文提出了 CP-uniGuard，一种统一、概率无关且自适应的框架，通过概率无关样本共识（PASAC）方法、协作一致性损失（CCLoss）以及基于双滑动窗口的在线自适应阈值机制，有效检测并防御多智能体具身感知系统中的恶意攻击。

原作者： Senkang Hu, Yihang Tao, Guowen Xu, Xinyuan Qian, Yiqin Deng, Xianhao Chen, Sam Tak Wu Kwong, Yuguang Fang

发布于 2026-02-16

📖 1 分钟阅读☕ 轻松阅读

原作者： Senkang Hu, Yihang Tao, Guowen Xu, Xinyuan Qian, Yiqin Deng, Xianhao Chen, Sam Tak Wu Kwong, Yuguang Fang

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇文章介绍了一种名为 CP-uniGuard 的新技术，它就像是为“自动驾驶车队”或“机器人协作团队”配备的一位超级智能保安。

为了让你更容易理解，我们可以把这篇论文讲的故事想象成一场**“盲人摸象”式的团队寻宝游戏**。

1. 背景：为什么需要“团队协作”？

想象一下，你开着一辆自动驾驶汽车（我们叫它“主角车”）。

单打独斗的局限：你的眼睛（传感器）只能看到前方，如果前面有大卡车挡住了视线，或者旁边有盲区，你就看不见障碍物，这很危险。
团队协作的优势：于是，你决定和其他几辆车（队友）组队。大家互相分享看到的画面（比如“我左边有个行人”、“我前面有个坑”）。这样，主角车就能拥有“上帝视角”，看清所有盲区，开得更安全。这就是协同感知（Collaborative Perception, CP）。

2. 危机：混入团队的“捣蛋鬼”

但是，这个团队有个大漏洞：

坏人的入侵：如果有一辆被黑客控制的“坏车”混进了团队，它故意发送假消息（比如“前面是空的，其实前面是悬崖”），主角车信以为真，就会直接开下悬崖。
隐蔽性：这些假消息伪装得很像真的（就像高仿的假钞），主角车很难一眼看出真假。

3. 解决方案：CP-uniGuard（超级保安）

为了解决这个问题，作者设计了一套**“三合一”的防御系统**，我们叫它 CP-uniGuard。它的核心思想是：“不要盲目相信所有人，要让大家互相‘对答案’，看谁在撒谎。”

这套系统由三个聪明的步骤组成：

第一步：随机“点兵点将” (PASAC)

传统做法：以前的方法要么是把所有队友一个个单独检查（太慢，像排队过安检），要么是假设知道有多少坏人（但现实中我们根本不知道）。
CP-uniGuard 的做法：它像是一个聪明的“点兵点将”游戏。
- 它不检查所有人，而是把队友分成两组（比如 A 组和 B 组）。
- 它先让主角车和 A 组“对答案”，再和 B 组“对答案”。
- 如果 A 组的答案和主角车很一致，说明 A 组大概率是好人；如果 B 组的答案很离谱，说明 B 组里有坏人。
- 然后，它再把有问题的 B 组继续细分，像剥洋葱一样，一层层缩小范围，直到把那个捣蛋鬼揪出来。
- 优点：不需要提前知道有多少坏人，而且速度极快，不用检查所有人就能找到坏人。

第二步：发明“对答案尺子” (CCLoss)

问题：怎么判断两组人的“答案”是不是一致的？
CP-uniGuard 的做法：它发明了一把特殊的**“尺子”**（叫 CCLoss）。
- 这把尺子专门用来衡量“主角车看到的”和“队友们看到的”有多大的差距。
- 如果差距很小，说明大家看到的是一样的，是真话。
- 如果差距很大，说明有人在撒谎（或者被攻击了）。
- 这把尺子非常灵敏，专门针对自动驾驶的两种任务（找物体和划分路面区域）进行了优化，能精准地识别出谁在捣乱。

第三步：会“自我调节”的警戒线 (在线自适应阈值)

问题：环境是变化的。有时候路很滑，大家看得都不清楚，差距自然大；有时候路很平，差距很小。如果警戒线（阈值）是死的，要么太严（把好人当坏人抓了），要么太松（放过了坏人）。
CP-uniGuard 的做法：它的警戒线是活的，像一个聪明的老练的保安队长。
- 它有两个“记事本”（滑动窗口）：一个记最近大家表现好的时候（真话），一个记表现差的时候（假话）。
- 它会根据最近的情况，动态调整警戒线。如果最近大家表现都很稳，警戒线就收紧一点；如果最近环境嘈杂，警戒线就放宽一点。
- 这样，无论环境怎么变，它都能保持极高的准确率，既不会误抓好人，也不会放过坏人。

4. 效果如何？

作者在真实的模拟环境和真实数据上做了大量测试：

对抗攻击：面对各种高难度的黑客攻击（比如 FGSM、PGD 等），CP-uniGuard 都能把自动驾驶的准确率拉回到接近“完美团队”的水平。
效率：它比以前的方法（如 ROBOSAC）更快、更省资源，而且不需要提前知道有多少坏人。
通用性：即使面对它没见过的新型攻击，它也能靠“对答案”的逻辑识破，不需要重新训练。

总结

CP-uniGuard 就像给自动驾驶团队装上了一套**“去伪存真”的免疫系统**。它不需要知道敌人是谁，也不需要一个个去审问，而是通过快速分组、智能比对、动态调整，让捣蛋鬼在团队中无处遁形，确保自动驾驶汽车在任何情况下都能安全行驶。

这就好比在一个充满噪音的房间里，它不仅能听清谁在说话，还能自动过滤掉那些故意制造噪音的捣乱者，让大家能继续愉快地合作。

1. 研究背景与问题定义 (Problem)

背景：
多智能体协同感知（Collaborative Perception, CP）通过多个智能体（如自动驾驶车辆、机器人）共享感知信息（如中间特征图），有效解决了单智能体感知中的遮挡和视距限制问题，显著提升了感知范围和精度。

核心问题：
CP 系统引入了新的安全漏洞。由于智能体需要接收来自协作方的消息，系统极易受到**恶意智能体（Malicious Agents）**的攻击。

攻击方式： 攻击者（通常拥有白盒访问权限）可以篡改发送给受害智能体的中间特征图，添加对抗性扰动（Adversarial Perturbations）。
后果： 这些精心设计的对抗消息会导致协同感知系统产生错误的感知结果（如漏检车辆、误判交通灯），进而引发严重的安全事故。
现有挑战：
- 现有的防御方法（如 ROBOSAC）通常依赖恶意先验概率，这在现实场景中通常是未知的。
- 其他方法需要逐个检查协作方，计算效率低且耗时。
- 基于异常检测的方法需要收集恶意样本进行训练，泛化能力差，难以应对未见过的攻击。

2. 方法论：CP-uniGuard 框架 (Methodology)

作者提出了一种统一、概率无关且自适应的防御框架 CP-uniGuard。其核心思想是：通过验证协作感知结果与自车（Ego Agent）感知结果之间的一致性（Consensus），而非冲突，来识别并剔除恶意节点。

该框架包含三个关键组件：

2.1 概率无关样本共识 (PASAC)

目的： 在不依赖恶意节点先验概率的情况下，高效地采样并验证协作子集。
机制： 采用**自适应二分查找（Adaptive Binary Splitting）**策略。
1. 自车将接收到的所有协作方特征随机分为两组。
2. 分别融合这两组特征并与自车特征融合，生成两组感知结果。
3. 利用一致性损失（CCLoss）验证这两组结果是否与自车结果一致。
4. 如果某组结果与自车差异过大（超过阈值），则判定该组包含恶意节点，并递归地将该组继续二分查找，直到隔离出恶意节点或找到足够的良性节点。
优势： 无需知道恶意节点的比例，且通过二分查找大幅减少了验证次数（对数级复杂度）。

2.2 协同一致性损失验证 (CCLoss)

目的： 定义一个度量标准，量化自车感知结果与协作融合结果之间的差异，作为判断一致性的依据。
设计： 针对两种主要任务设计了不同的损失函数：
- 目标检测 (Object Detection)： 计算自车预测的边界框与融合后预测的边界框之间的匹配度。使用匈牙利算法进行最优匹配，结合置信度（Posterior）和 IoU 计算损失。若损失值接近 1 表示一致，接近 0 表示存在恶意干扰。
- 鸟瞰图分割 (BEV Segmentation)： 计算自车分割图与融合分割图之间的分布相似度（类似加权重叠度）。若分布差异大，则判定为不一致。
作用： CCLoss 作为“预言机（Oracle）”，用于判断某个协作子集是良性的（BENIGN）还是被污染的（CONTAM）。

2.3 在线自适应阈值 (Online Adaptive Threshold)

目的： 在动态环境中保持系统的可靠性，避免固定阈值导致的误报或漏报。
机制： 采用**双滑动窗口（Dual Sliding Windows）**策略。
- 维护两个窗口：一个存储最近被标记为“良性”的 CCLoss 分数，另一个存储被标记为“被污染”的分数。
- 动态计算阈值：取良性窗口的上分位数（如 $1-\alpha$ ）和污染窗口的下分位数（如 $\beta$ ），取其中点作为临时阈值。
- 使用指数加权移动平均（EWMA）平滑阈值，得到最终的工作阈值 $\epsilon_t$ 。
优势： 能够根据当前的攻击强度和系统状态自动调整判定标准，适应动态环境。

3. 主要贡献 (Key Contributions)

提出了 CP-uniGuard 框架： 首个针对中间层融合协同感知的统一防御框架，能够准确检测并剔除本地协作网络中的恶意节点。
设计了 PASAC 算法： 提出了一种概率无关的样本共识方法，无需先验知识即可高效采样和验证，解决了现有方法依赖恶意概率分布的痛点。
提出了 CCLoss 验证准则： 针对目标检测和 BEV 分割任务设计了专门的协同一致性损失函数，能够有效捕捉自车与协作方之间的感知差异。
实现了自适应阈值机制： 通过双滑动窗口动态调整验证阈值，确保了系统在动态环境和不同攻击强度下的鲁棒性和低误报率。
广泛的实验验证： 在 V2X-Sim（仿真）和 DAIR-V2X（真实世界）数据集上，针对 FGSM、C&W、PGD 等多种对抗攻击进行了验证，证明了其有效性。

4. 实验结果 (Results)

实验在 V2X-Sim 和 DAIR-V2X 数据集上进行，对比了无防御、ROBOSAC、对抗训练（Adversarial Training）及 CP-Guard+ 等方法。

感知性能恢复：
- 在 BEV 分割任务中，无防御情况下 mIoU 在攻击下降至约 21.57%（FGSM）至 14.34%（PGD）。CP-uniGuard 将其恢复至 39.30% - 39.34%，接近全良性协作的上限（40.45%）。
- 在目标检测任务中，针对 PGD 攻击，CP-uniGuard 的 AP@0.5 达到 80.4%，优于 ROBOSAC (77.9%) 和对抗训练方法。
采样效率 (PASAC)：
- 在未知攻击比例的情况下，PASAC 的验证次数显著少于 ROBOSAC 和线性采样。
- 验证次数随节点数量呈对数增长趋势，远小于总节点数，证明了其高效性。
泛化能力：
- 在未见过的攻击类型（如训练时未包含 C&W 或 PGD）上，CP-uniGuard 依然保持高性能，优于需要重新训练的 CP-Guard+。这得益于其基于一致性验证而非基于模型训练的设计。
计算延迟：
- 虽然分组检查的单次延迟略高于线性检查，但由于 PASAC 大幅减少了总的检查次数，整体效率与鲁棒性达到了更好的平衡。

5. 意义与价值 (Significance)

安全性提升： 为多智能体协同感知系统提供了一层关键的防御机制，防止恶意节点通过对抗样本破坏系统，保障了自动驾驶和机器人系统的安全性。
无需先验知识： 突破了现有防御方法依赖“恶意节点比例已知”这一不切实际的假设，使其更适用于真实的开放环境。
通用性与适应性： 框架不依赖于特定的攻击模型，能够自适应动态环境，且无需额外的训练数据或计算资源来训练异常检测器。
理论保障： 论文提供了 PASAC 算法的成功概率和查询复杂度理论分析，证明了其在理论上的可靠性。

局限性： 论文也指出，如果攻击者在自车的盲点区域进行高度协同的“一致”欺骗，或者攻击者完全掌握阈值调整机制，系统仍可能面临挑战。未来工作将引入时间一致性检查和传感器健康自诊断来进一步解决这些问题。