💻 computer science

From Stealthy Data Fabrication to Unsafe Driving: Realistic Scenario Attacks on Collaborative Perception

本文介绍了一种隐蔽的、具备场景感知能力的数据伪造攻击，该攻击通过微妙地操纵协同感知系统中的物体位姿，将误差传播至下游模块，从而在动态环境中成功诱发出危及安全的驾驶行为，同时规避现有防御机制。

原作者： Qingzhao Zhang, Runting Zhang, Z. Morley Mao

发布于 2026-05-05

📖 1 分钟阅读☕ 轻松阅读

原作者： Qingzhao Zhang, Runting Zhang, Z. Morley Mao

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一支自动驾驶车队，它们不仅独自行驶，还像一群朋友穿过拥挤的房间那样协同行动。它们通过无线信号“手牵手”，共享彼此所见，因此即使有建筑物遮挡了某辆车的视线，所有车辆也能知晓障碍物的位置。这被称为协同感知。

本文题为《从隐蔽的数据伪造到不安全驾驶》，揭示了这种团队协作中存在的一个危险弱点。作者展示了一辆“恶意”车辆如何在不被察觉的情况下，诱骗整个群体做出危险错误。

以下是他们研究发现的拆解，辅以简单类比：

1. 问题所在：“幽灵”与“轻推”

先前的研究表明，黑客可以通过制造幽灵物体（让不存在的车辆出现）或抹除真实物体（让车辆消失）来欺骗自动驾驶汽车。

类比：想象你和朋友一起走路。一个捣蛋鬼大喊：“小心，前面有头大象！”或者“你朋友不见了！”
缺陷：这些伎俩响亮且明显。其他朋友（防御系统）会迅速回应：“等等，我能看出大象是假的”，或者“我还能看见你的朋友”。现有的安全系统正是为了捕捉这些巨大而明显的谎言而设计的。

2. 新攻击方式：“缓慢轻推”

作者发现了一种更为隐蔽的攻击方式。他们不是制造幽灵或抹除车辆，而是缓慢轻推一辆所有人都能看到的真实车辆的位置。

类比：想象你和朋友并肩行走。捣蛋鬼不再大喊大叫，而是每当你迈一步，就极其微妙地将你朋友的肩膀向左推 1 英寸。
- 第一步：朋友移动了 1 英寸。你没注意到。
- 第二步：又移动了 1 英寸。看起来依然正常。
- 第十步：你的朋友现在偏离了原本位置 10 英尺。
- 结果：你的大脑（汽车的计算机）会想：“天哪，我的朋友正漂进我的车道！我得急刹车！”

这被称为姿态扰动攻击。黑客对恶意车辆共享的数据进行微小、几乎不可见的修改。由于变化极小，安全系统（它们主要寻找巨大的谎言）会忽略它。然而，由于汽车计算机是随时间追踪运动的，这些微小的轻推会累积成巨大的误差。

3. 黑客如何操作（“魔术戏法”）

要实现这一点，黑客必须非常精确。他们不能靠猜测，而需要确切知道如何微调车辆共享的数字“图像”。

方法：作者开发了一个两步工具：
1. 光线投射（蓝图）：他们利用物理原理模拟车辆如果处于新的、被轻推后的位置会呈现的样子。这生成了一个逼真的车辆数据“伪造”版本。
2. 神经网络（抛光器）：他们使用一个小型、快速的 AI 对该伪造数据进行微调。这确保了“轻推”对受害车辆的计算机来说看起来完全自然，从而顺利骗过安全守卫。
速度：整个过程在不到 50 毫秒内完成（比眨眼还快），因此能在实时交通中生效。

4. 现实世界影响：“幽灵变道”

研究人员在模拟和真实世界数据中测试了这种攻击。他们设置了一个场景：一辆恶意车辆将附近一辆车的位置轻微地向受害车辆的车道方向“轻推”。

连锁反应：
1. 受害车辆看到附近车辆正缓慢漂入自己的车道。
2. 受害车辆的计算机预测：“那辆车要撞我了！”
3. 受害车辆急刹车或猛打方向，尽管那辆车实际上正笔直行驶。
数据：在他们的测试中，这种攻击在高达**50%的场景中引发了危险刹车或急转。它在超过90%**的案例中成功欺骗了系统。

5. 为何现有防御失效

论文解释了现有安全措施为何无法阻止这种攻击：

全局检查：现有防御检查的是整个地图。如果黑客将车辆移动 1 米，就像在沙滩上移动了一粒沙子。沙滩的整体形状看起来没变，因此防御系统会说：“一切正常。”
解决方案（PoseGuard）：作者还提出了一种名为PoseGuard的新防御机制。它不再检查整个沙滩，而是放大查看特定的“危险区域”（例如靠近受害车辆的区域）。
- 工作原理：它仔细检查被轻推的特定车辆。由于黑客为了制造轻推效果而不得不“调高”其伪造数据的音量，这种放大检查就能听到“杂音”并识破谎言。
- 结果：旧防御仅能拦截11%的此类隐蔽攻击，而 PoseGuard 拦截了80%。

总结

该论文揭示，自动驾驶汽车不仅容易受到响亮、明显的谎言攻击，还容易受到安静、累积的耳语攻击。黑客可以缓慢地推移车辆感知位置，直到受害车辆惊慌失措，导致碰撞或危险刹车。

关键启示在于，安全系统需要停止只寻找“幽灵”，转而开始警惕“轻推”。作者表明，通过关注特定危险区域而非整体画面，我们可以捕捉到这些隐蔽的攻击。

技术摘要：从隐蔽数据伪造到不安全驾驶

1. 问题陈述

协同感知使网联自动驾驶车辆（CAV）能够通过共享数据来克服传感器限制（遮挡、探测范围、天气）。然而，这种对外部数据的依赖引入了对数据伪造攻击的关键脆弱性，即恶意车辆注入精心构造的数据以操纵受害者的感知。

本文指出了现有研究中的两个根本性差距：

隐蔽性与影响之间的权衡：现有防御措施（例如边界框一致性、全局特征距离）针对检测大型异常（如对象欺骗或移除）进行了优化。它们无法检测微小、局部的扰动（例如物体姿态约 1 米的偏移），因为这些变化低于检测阈值，并在全局特征图中被稀释。
缺乏端到端评估：先前的攻击仅在单帧上进行评估，忽略了自动驾驶的时间特性。微小的感知误差可能通过跟踪和轨迹预测模块传播，随时间累积导致安全关键性故障（例如不必要的紧急制动或碰撞），而这一风险并未被帧级分析所捕捉。

2. 方法论

作者提出了一个综合框架，包括一种攻击（PosePert）、一种场景感知策略以及一种缓解措施（PoseGuard）。

A. PosePert：攻击原语

PosePert 是一种实时中间融合攻击，它微妙地扰动现有车辆的感知姿态（位置和方向），而不是伪造新对象或移除现有对象。它分两个阶段运行：

物理信息初始化（多视角射线投射）：
- 攻击者合成目标车辆的“虚假”点云，仿佛其位于期望的偏移位置。
- 这是通过在目标位置周围使用虚拟激光雷达视角来生成真实的点覆盖（包括遮挡和地面回波）实现的。
- 合成点通过受害者的特征提取流水线进行处理，以创建基础特征图（ $f_{spoof}$ ）。
学习扰动网络（PertNet）：
- 为了克服融合过程中良性车辆的“投票”效应，攻击者将伪造特征缩放一个因子 $\beta$ （通常为 1.5–3.0），以主导融合过程。
- 一个轻量级卷积网络根据局部上下文（攻击者特征、几何偏移和良性车辆的位置）预测每个体素的校正量（ $\delta_{corr}$ ）。
- 最终的对抗特征图为： $f_{attack} = f_{orig} + \beta \cdot (f_{spoof} - f_{orig}) + \text{clamp}(\delta_{corr})$ 。
- 这种方法避免了迭代优化（如 PGD），从而实现每帧<50 毫秒的执行速度。

B. 场景感知攻击框架

为了诱导不安全驾驶行为，攻击通过观察–预测–规划–执行循环在时间上进行编排：

观察：攻击者跟踪周围车辆并选择目标（例如相邻车道中的车辆）。
预测：使用代理轨迹预测器，攻击者预测场景演变。
规划：攻击者优化姿态扰动的时间序列（对抗轨迹），以最大化受害者预测车道侵入的可能性。约束条件包括每帧偏移界限（ $\epsilon_{loc} = 0.5$ 米）以确保隐蔽性。
执行：攻击者应用 PosePert 来实现当前帧的扰动，并传输伪造的数据。

C. PoseGuard：缓解措施

现有防御措施失败是因为它们分析全局特征图，从而稀释了微小的局部异常。PoseGuard 引入了对象级局部异常检测：

安全关键识别：仅分析那些预测轨迹威胁到自车的对象。
分歧过滤：跳过融合感知与仅自车感知达成一致的对象。
局部异常评分：对于关键且存在分歧的对象，系统从所有智能体中提取局部特征裁剪（边界框区域）并计算成对 L1 距离。这集中了信号，使得微小的姿态扰动可被检测。

3. 主要贡献

PosePert 攻击：一种新颖的对象姿态扰动攻击，通过微小、隐蔽的偏移操纵感知输出，规避了针对大型异常设计的现有最先进防御。
场景感知框架：首个对协同感知中时间误差传播进行建模的框架，展示了微小的每帧扰动如何累积并诱导不安全的驾驶决策（例如紧急制动）。
PoseGuard 防御：一种对象级防御，通过关注安全关键区域而非全局特征图，显著提高了对局部扰动的检测灵敏度。
综合评估：在多个中间融合模型（AttFusion、V2VNet、CoBEVT）上，对仿真（OPV2V）和真实世界（V2X-Real）数据集进行了评估。

4. 实验结果

攻击有效性

感知层面：PosePert 在不同模型中实现75–94% 的成功率（IoU > 0.5），用于偏移对象姿态。它比基于 PGD 的基线快约2 倍。
场景层面：在严格的每帧 0.5 米偏移界限下，该攻击诱导了高达50 米的轨迹偏差（最终位移误差），并将目标与受害者的距离缩短至0.15 米。
安全影响：在**25–50%**的场景中，攻击导致受害者的预测轨迹穿越到其自身车道，触发安全关键性行为，如不必要的紧急制动。

防御韧性

现有防御：最先进防御（CAD、LUCIA、MADE、ROBOSAC、MATE）对 PosePert 基本失效，仅检测到**<13%**的攻击。全局特征距离指标（LUCIA）接近随机，因为扰动影响了<0.04% 的特征图。
PoseGuard：在场景攻击中实现57–84% 的检测率（在 5% 假阳性率下的真阳性率），在感知攻击中达到82–99%。它成功检测到了 CAD 遗漏的小于 0.5 米的偏移。

效率

完整攻击流水线（射线投射 + 特征提取 + PertNet）运行时间约为36 毫秒，符合 50–100 毫秒的激光雷达帧间隔。
PoseGuard 增加**<5 毫秒**的开销。

5. 意义与主张

本文声称弥合了理论数据伪造攻击与现实安全威胁之间的差距。其主要意义在于证明：

隐蔽性是可实现的：微小、一致的姿态扰动可以规避依赖大型异常的现有防御。
时间累积至关重要：协同感知攻击的真正危险不在于即时的帧级误差，而在于这些误差累积成不安全的驾驶决策。
防御需要局部化：针对微妙攻击的有效防御需要从全局异常检测转向对象级、安全关键性分析。

作者得出结论，虽然 PoseGuard 提供了一种有前景的缓解措施，但攻击的隐蔽性与影响之间存在权衡，协同感知系统的安全性需要在单帧感知指标之外进行严格的端到端评估。