Adversarial Trust Poisoning in Vehicular Collaborative Perception
本文介绍了 TrustFlip，这是一种新型攻击，它通过部署物理对抗物体来引发观测不一致性，从而利用基于一致性的防御机制，错误地降低良性车辆的信任评分并削弱系统性能，同时提出了 TrustReflect 机制以缓解这一漏洞。
原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
想象一群自动驾驶汽车在高速公路上行驶。为了看清拐角处和盲区，它们不仅依靠自己的“眼睛”（传感器），还会彼此交流。它们共享所见信息，形成一个巨大的共享“群体意识”，从而更好地理解道路。这被称为协作感知。
然而，存在一个问题：如果有一个恶意行为者欺骗了整个群体怎么办？
旧问题：群体中的“说谎者”
此前，研究人员担心的是群体中会出现一辆“说谎”的汽车。想象一下，群体中有一辆车开始大喊：“前面有一辆巨型怪兽卡车！”而实际上并没有。或者，当实际上有行人时，它却说：“这里什么都没有！”
为了阻止这种情况，其他车辆遵循一条简单的规则：“如果某辆车的说法与群体中其他车辆不同，那它一定在说谎。” 它们会检查一致性。如果 9 辆车看到一棵树，而 1 辆车说“没有树”，系统就会忽略那 1 辆车，信任其余 9 辆。这是标准的防御机制。
新攻击："TrustFlip"（静默破坏者）
本文的作者发现了一种巧妙的方法来打破这条规则，而无需发送任何虚假消息。他们将这种攻击称为TrustFlip。
攻击者不使用“说谎”的汽车，而是利用一个物理物体——例如一个奇怪的、专门设计的标志牌，或一个形状怪异的拖车——将其拖在自己的车辆后面。
以下是其诡计：
- 设置：攻击者将该物体放置在一个特定位置，使得汽车 A（受害者）从某个特定角度观察时，它看起来像是隐形或令人困惑的。
- 陷阱：与此同时，汽车 B、C 和 D（群体中的其他车辆）从它们各自不同的角度清晰地看到了该物体。
- 混淆：汽车 A 观察道路后说：“我什么都没看到。”而汽车 B、C 和 D 则说：“我看到了一个大物体！”
- 错误：群体的防御系统应用其规则：“如果你与大多数人的意见不一致，你就是说谎者。”
- 结果：系统并没有责怪那个奇怪的物体，而是责怪了汽车 A。它认为：“汽车 A 出故障了或是恶意的”，于是将汽车 A 踢出对话。
类比：想象一个教室，老师信任多数人的投票。一名学生（攻击者）举着一张特殊卡片，对前排的学生（受害者）来说看起来像是一张白纸，但对其他所有人来说却像是一只猫的图案。前排学生说：“我什么都没看到。”老师说：“你错了，其他人都看到了猫”，并惩罚前排学生“不可信”，尽管该学生如实描述了自己所看到的内容。
为什么这很危险
一旦系统将“受害者”汽车踢出，群体就失去了该车辆独特的视角。如果受害者是唯一能看到躲在卡车后面的行人的人，那么群体现在就会错过这个行人。这种攻击不需要黑入汽车的计算机或干扰无线电；它只需要一块塑料和正确的角度。
解决方案："TrustReflect"（自我检查）
作者还提出了一种名为TrustReflect的修复方案。
这可以看作是一个“自我反思”步骤。在群体决定信任谁之前，每辆车都会对自己进行快速测试。它会问：“如果我是那个看到这个奇怪物体的人，我是否也会看到不一致？”
如果受害者汽车意识到：“等等，我和朋友们看到的不一样，但这是因为就在我正前方有这个奇怪的物体”，它就可以说：“我对这个特定位置不太确定。当你们决定信任谁时，请不要将我对这个区域的意见计入。”
这阻止了系统盲目地惩罚受害者。就像学生举手说：“我之所以看到白纸，是因为这张卡片，而不是因为我在说谎。请忽略我对这个特定问题的回答。”
结果总结
- 攻击：研究人员制造了这些特殊物体，并在模拟和真实激光雷达传感器上进行了测试。他们发现，在高达**88%**的案例中，他们能够成功欺骗系统，使其将一辆正常的汽车踢出。
- 影响：当一辆正常的汽车被踢出后，群体感知道路的能力显著下降（准确率最高下降达 13%）。
- 修复：当他们加入"TrustReflect"自我检查后，该攻击在**35% 到 100%**的案例中失效，具体取决于设置情况。
简而言之，这篇论文表明，原本旨在保障自动驾驶汽车安全（即信任多数）的规则，可能被一个巧妙的物理诡计反过来利用，但一个简单的“自我检查”可以帮助解决这个问题。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。