技术摘要：基于可解释性的视锥攻击 (Explainability-Aware Frustum Attack)

问题陈述

尽管基于 LiDAR 点云的 3D 物体检测器在自动驾驶领域已取得了高精度，但其结构性脆弱性仍未得到充分理解。先前的对抗性研究主要集中在孤立的 3D 物体分类器或针对整个物体区域（视锥）的物理 LiDAR 欺骗攻击上。这些现有方法通常缺乏效率，需要通过扰动大面积的空间区域来隐藏物体，并且未能分析检测器是否依赖于特定的、集中的空间证据。此外，以往关于关键点的研究局限于数字分类设置，并未解决涉及定位、遮挡和随距离增加而产生的稀疏性等复杂全场景检测流水线的问题。核心问题在于，缺乏一种高效的、由可解释性驱动的方法论，来识别并利用现实驾驶场景中基于 LiDAR 的检测器的特定结构依赖性。

方法论

作者提出了一个两阶段框架：用于生成通用重要性图的 Saliency-LiDAR (SALL)，以及用于利用这些图的 Explainability-Aware Frustum Attack (EFA)。

1. Saliency-LiDAR (SALL)

SALL 通过聚合实例级归因来创建用于基于 LiDAR 的 3D 物体检测的通用类级显著性图。

• 集成梯度 (Integrated Gradients, IG)： 该方法将 IG 适配到物体检测任务中。它对原始 3-D 场景进行预处理，以提取目标物体点云和背景点。
• 扰动与梯度计算： 目标物体内的点沿其原始 LiDAR 射线方向进行扰动（模拟物理上合理的时序偏移）。针对检测器的输出 Logits 计算梯度。
• 过滤与聚合： 为了聚焦于目标物体，该方法根据关注区域与预测边界框之间的交并比 (IoU) 来过滤梯度。生成针对单个场景的点级贡献图。
• 通用图生成： 通过 自适应索引 (Adaptive Indexing)，点级显著性图被下采样到固定的 2D 网格（例如 64×32 体素），以处理变化的物体尺寸和旋转。这些矩阵在数千个场景、数据集（KITTI, nuScenes）和检测器架构（PointPillars, SECOND）之间进行聚合，从而产生一张 通用显著性图。该图揭示了在不同实例和模型中共同存在的稳定的空间重要性分布。

2. Explainability-Aware Frustum Attack (EFA)

EFA 利用通用显著性图来执行具有最小扰动的针对性攻击。

• 视锥模拟： 攻击通过将 3D 点转换为相对于 LiDAR 原点的 2D 角度度数来模拟 LiDAR 射线。
• 关键视锥选择： EFA 并非均匀地攻击物体的整个边界框，而是根据 SALL 图中识别出的高贡献区域选择最关键的视锥（角区域）。
• 扰动： 一旦选择了关键视锥，该方法会应用物理一致的扰动，例如 移除扰动 (Remove Perturbation)（删除点）或 偏移扰动 (Shift Perturbation)（沿射线位移点），这模拟了 LiDAR 欺骗硬件的能力。
• 威胁模型： 攻击在黑盒设置下运行，并遵循几何一致性约束。攻击者可以沿着射线方向移除、移动或位移点，但不能任意重写整个点云或引入全局不一致的结构。

核心贡献

1. SALL 框架： 引入了一种将实例级集成梯度聚合为用于基于 LiDAR 的 3D 物体检测的通用类级显著性图的方法，克服了逐实例优化的局限性。
2. 发现结构性脆弱性： 证明了通用显著性图能够揭示在现实自动驾驶场景中跨不同检测器架构和数据集进行迁移的、一致的判别区域。
3. 高效攻击策略 (EFA)： 提出了一种几何一致的、由显著性引导的视锥选择策略，在需要更小扰动预算的情况下，其表现显著优于先前的暴力破解式视锥攻击。

实验结果

实验在 KITTI 和 nuScenes 数据集上使用 PointPillars 和 SECOND 检测器进行了评估。

• 效率与有效性： 与先进的非显著性感知基准方法（如 PRA, HFR, A-HFR）相比，EFA 在减少检测召回率超过 15 个百分点的情况下，所需的 扰动视锥数量减少了 25–50%。
• 性能指标：
  • 在大型物体（汽车）上，EFA 比先前的方法提高了 20–30% 的有效性。
  • 在小型物体（行人）上，EFA 的提升约为 23%。
  • 在 20 个视锥的预算下，EFA 在 nuScenes 上实现了 96.55% 的攻击成功率 (ASR)，而基准方法的 ASR 约为 73–78%。
  • 对于小型物体，EFA 仅用 3 个视锥预算就达到了 97.00% 的 ASR，而基准方法需要更多资源才能达到较低的成功率。
• 迁移性： 通用显著性图展示了强大的迁移能力。从一个检测器（如 PointPillars）生成的图能有效地攻击另一个检测器（如 SECOND），且跨数据集（KITTI + nuScenes）聚合的图进一步增强了性能。
• 对约束的鲁棒性： 即使在现实的 LiDAR 欺骗误差（高达 5° 的选择误差）以及随车速增加而减少可操控点数量的速度相关扰动约束下，攻击仍保持高度有效（ASR 超过 94%）。

意义与主张

本文声称，现代 3D 检测器将判别性证据集中在 一小部分空间区域，而非均匀地依赖整个物体体积。这种结构性特征产生了一种鲁棒性-效率的权衡：虽然它有助于提高检测效率，但也暴露了一个漏洞，即通过针对这些特定区域进行精准扰动，可以以极小的代价诱发失效。

作者将这项工作定位为连接可解释性与对抗性分析的原则性诊断工具。通过揭示检测器依赖于稀疏且稳定的空间模式，该研究表明当前的 LiDAR 感知系统在面对针对性的、注重效率的攻击时，在结构上是脆弱的。研究结果意味着，依赖于随机输入丢弃的防御机制是不充分的，因为它们会不加区分地移除既包含信息性又包含非信息性的数据，而检测器的依赖性是高度集中的。论文总结道，未来的鲁棒性提升可能需要采用能够鼓励空间冗余或降低显著性集中的训练策略。