💻 computer science

GLST: Defending Confidence-Driven V2X Collaborative Perception Against Stealthy Multi-Attacker Feature Injection

本文引入了全局-局部结构信任（GLST），这是一种轻量级防御机制，通过融合全局、局部和结构一致性信号，在现有单信号防御失效的情况下，能够稳健地识别并抑制不可靠的协作方，从而保护以置信度驱动的 V2X 协同感知免受隐蔽的多攻击者特征注入攻击。

原作者： Ji He, Ying Wang, Lijie Zheng, Xinghui Zhu, Yulong Shen, Xiaohong Jiang

发布于 2026-07-28

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Ji He, Ying Wang, Lijie Zheng, Xinghui Zhu, Yulong Shen, Xiaohong Jiang

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，一群自动驾驶汽车正在高速公路上巡航，它们不再是孤立的个体，而是一个能够分享彼此“眼耳”的喋喋不休的团队。这就是**协同感知（Collaborative Perception, CP）**的世界。这些汽车不再仅仅依赖自身的摄像头和传感器，而是通过 V2X（车联网） 通信相互交流，交换它们所看到的数字“快照”。这有助于它们发现躲在卡车后方或转角盲区的车辆，从而创造出一个超强的、共享的道路视野。

但问题在于：为了保持通信的高效并降低流量成本，这些汽车并不会发送所有信息。它们使用一种名为**置信度驱动通信（confidence-driven communication）**的智能过滤器。这就像一个群聊，每个人只打出他们最有把握的部分。如果一辆车有 99% 的把握看到了行人，它就会大声喊出来；如果只有 50% 的把握，它就会保持沉默以节省带宽。这种方式在效率方面表现出色，但也创造了一个隐蔽的漏洞。如果一个坏人加入了这个聊天室，假装对并不存在的事物非常有信心呢？或者更糟的是，如果他们在大家原本就不确定的地方，悄悄地撒下一个谎呢？这就是这篇论文要解决的安全难题：当你试图通过这种旨在提高通信效率的系统来建立信任时，如何防止它被误导去放大谎言？

狡猾的“伪装良性”攻击

这篇论文的作者决定使用一个名为 Where2comm 的流行框架来测试这种“喋喋不休的汽车”系统的安全性。他们发现了一个可怕的漏洞：系统对“高置信度”区域的信任可以被武器化。

于是出现了伪装良性（Pretend Benign, PB）攻击。想象一下，一个黑客不仅仅是在拥挤的房间里大喊“着火了！”（这太明显了，会被忽略），而是对着一个正在眯着眼睛、犹豫不决的人，在耳边低语一个极具说服力且略显混乱的故事。PB 攻击是一种“隐蔽的特征注入”。它并不试图破坏汽车的传感器，而是注入看起来对系统的过滤器而言完全正常且“良性”的恶意数字数据。

攻击者瞄准了汽车感到不确定的精确位置。因为系统被设计为优先处理这些不确定但关键的区域，它会急切地抓取这些恶意数据，心想：“噢，这看起来很有帮助！”结果呢？汽车的大脑变得混乱，要么漏掉了真实的车辆，要么看到了幻觉，而攻击者的数据在标准的安全检查中看起来却显得十分无辜。

多攻击者陷阱

论文还指出，我们通常防御这些黑客的方式存在缺陷。大多数现有的防御机制就像一个检查作业的老师：他们寻找那个与全班平均水平不符的学生。如果有一个学生在撒谎，老师能发现他们。

但如果三个学生都在合伙搞鬼呢？作者发现，当多个攻击者协同作战时（即使他们之间没有直接沟通），他们可以制造出一种伪共识（pseudo-consensus）。他们都会低语类似的谎言。对于一个寻找单一离群值的防御系统来说，这些骗子突然看起来像是大多数人。防御系统会想：“既然有三个人都这么说，那他们一定是正确的。”并因此意外地提升了攻击者的信任分数。论文认为，仅仅依靠单一的“一致性检查”就像是通过只看是否有一人同意来判断一条新闻是否为假新闻一样；如果一整组人都表示同意，那么这项检查就会失效。

解决方案：GLST（全局-局部-结构信任）

为了解决这个问题，团队提出了一个新的防御框架，称为 GLST（Global-Local-Structural Trust，全局-局部-结构信任）。GLST 不再仅仅询问“这条数据看起来是否符合平均水平？”，而是像侦探使用三种不同的线索一样，提出三个不同的问题：

全局一致性（Global Consistency）： 这辆车的整体数据看起来是否与大众趋同？（“大局观”检查）。
局部残差（Local Residuals）： 如果我们放大到攻击发生的特定不确定区域，数据看起来是否与“安全”的共识有异常差异？（“显微镜”检查）。
结构一致性（Structural Consistency）： 数据的形状和模式是否与“自我”（即本车视角）相匹配？（“指纹”检查）。

GLST 结合了这三个角度来给每辆车打出“信任分数”。如果一辆车在全球层面表现良好但在局部很奇怪，或者虽然符合大众但内部结构很诡异，GLST 就会标记它。随后，它会降低该车在群聊中的“音量”，使其谎言无法淹没真相。

数据说明

团队在名为 OPV2V 的大规模模拟驾驶场景数据集上进行了测试。他们让 GLST 与“伪装良性”攻击以及其他已知攻击（如 PGD 和 BIM）进行对抗。

坏消息： 在没有任何防御的情况下，“伪装良性”攻击是毁灭性的。当四名攻击者加入聊天室时，系统的目标检测能力（以 AP@0.5 衡量）从健康的 0.92 暴跌至可怜的 0.09。
旧有的防御手段： 像 LUCIA（依赖单一一致性检查）这样的现有方法，在面对单个攻击者时表现出色（得分为 0.85），但面对四个攻击者时却崩溃了，降至 0.11。它们落入了“伪共识”的陷阱。
GLST 的胜利： GLST 守住了阵地。即使面对四名攻击者，它仍将检测分数保持在稳健的 0.67（针对 AP@0.5）和 0.50（针对 AP@0.7）。它成功地忽略了协调一致的骗子，同时让诚实车辆的声音清晰可见。

作者认为，这种多层级的处理方式是必不可少的。虽然这些结果是基于模拟而非现实世界的道路测试，但数据强烈表明，为了保障未来自动驾驶车队的安全性，我们需要一种不仅是“数人头”，而且能同时观察全局、细节以及底层结构的防御机制。

技术摘要：GLST —— 抵御针对置信度驱动型 V2X 协作感知的隐蔽多攻击者特征注入

1. 问题陈述

协作感知（Collaborative Perception, CP）通过连接车辆（CAV）交换中间特征来增强自动驾驶能力。最近的范式，如 Where2comm，利用置信度驱动的稀疏通信来提高效率。这些系统仅传输“感知关键”的空间区域（高置信度区域）以减少带宽。

然而，这种设计引入了一个关键的安全漏洞：

对抗性特征的放大效应： 如果协作方被攻破，被注入到高置信度或自我（ego）不确定区域的恶意特征会被优先选择进行传输，并在特征融合过程中被放大。
攻击的隐蔽性： 现有的隐蔽攻击，特别是**伪装良性（Pretend Benign, PB）**攻击，通过优化对抗性特征使其在分布上接近良性特征。它们针对不确定区域，旨在造成漏检或误报，同时保持良性特征特征，从而规避标准的异常检测。
单信号防御的失效： 现有的防御机制（如 ROBOSAC、LUCIA）通常依赖于单一的一致性信号（例如全局特征距离或成对相似度）。在多攻击者场景下，恶意代理可以在特征空间中形成伪共识（pseudo-consensus）。这种相互的一致性会误导信任评估，导致防御系统将高可靠性分配给协同攻击者，从而无法抑制受损的融合过程。

2. 方法论：GLST 框架

为了应对这些漏洞，作者提出了全局-局部结构化信任（Global-Local Structural Trust, GLST），这是一个轻量级防御框架，在特征融合前从三个互补的角度评估协作方的可靠性。

A. 全局特征一致性（粗粒度先验）

机制： 计算每个代理的降采样、归一化特征图与所有代理集合分布之间的成对 $\ell_1$ 距离。
功能： 与多数分布偏差显著的代理会被赋予较低的信任分数。自我车辆被明确保护，不会因作为离群值而被惩罚。
解决的局限性： 虽然对于孤立的离群值有效，但仅靠全局一致性不足以应对维持相互相似性的协同攻击者。

B. 局部鲁棒共识残差（细粒度异常检测）

机制：
1. 关键区域选择： 利用自我车辆的特征图，识别既是不确定（低检测置信度）又是语义活跃（高特征响应）的空间区域。
2. 多尺度残差： 在这些关键区域内，计算各代理特征与鲁棒共识中心（由全局信任分数加权）在多个空间尺度上的残差。
3. 评分： 结合平均残差和第 90 百分位残差，以捕捉通用的不一致性和极端的局部偏差。
功能： 检测集中在特定语义区域的隐蔽扰动，而这些扰动可能会被全局统计量所忽略。

C. 结构一致性（语义拓扑）

机制： 评估代理的特征图内部空间语义结构是否与自我车辆的参考系对齐。它使用代理与自我车辆之间展平且经过掩码处理的特征嵌入之间的余弦相似度来进行评估。
功能： 捕捉那些虽然模仿了全局统计量和局部幅值，但扭曲了底层空间激活模式（例如边缘结构或物体相关性）的攻击。

D. 信任感知融合

聚合： 三种信任分数（ $t_{global}$ 、 $t_{local}$ 、 $t_{struct}$ ）通过加权求和（而非乘法）进行组合，以防止单个不稳定的分支导致信任崩溃。
应用： 生成的统一信任分数用于在特征融合期间重新加权注意力机制。可疑代理会被软性抑制（降低权重）而非硬性过滤，从而保留来自部分可靠代理的有用信息。

3. 核心贡献

漏洞分析： 本文通过实验证明，置信度驱动的稀疏通信无意中放大了对抗性特征的传播。研究表明，**伪装良性（PB）**攻击通过向感知关键区域注入扰动，能有效利用这一特性，在保持隐蔽性的同时显著降低 3D 物体检测性能。
识别多攻击者弱点： 作者揭示了现有基于一致性的防御机制在多攻击者场景下的脆弱性。协同攻击者可以形成伪共识，从而误导单信号信任估计，使标准防御失效。
GLST 框架： 提出了一种多层级的信任建模方法（全局、局部、结构），该方法不需要复杂的重构或额外的通信开销。它能有效地在特征层面抑制低信任度的协作方。
全面评估： 在 OPV2V 数据集上进行的广泛实验验证了该框架针对单攻击者、多攻击者 PB 攻击以及基于梯度的攻击（PGD）的有效性。

4. 实验结果

实验是在 Where2comm 框架下，使用 PointPillars 作为骨干网络，并在 OPV2V 数据集上进行的。

攻击有效性：
- PB 攻击： 在单攻击者情况下，PB 将 AP@0.5 从 0.91（无攻击）降至 0.37。在四名攻击者的情况下，降至 0.09。至关重要的是，与 PGD/BIM 等激进攻击（会产生数百个误报）相比，PB 保持了极高的隐蔽性（例如，四名攻击者时的 FPIoU0.5 约为 6.04）。
防御性能（单攻击者）：
- GLST 实现了具有竞争力的性能，在 PB 攻击下将 AP@0.5 恢复至 0.82，与 LUCIA（0.85）相当或略好，且显著优于无防御状态（0.37）。
防御性能（多攻击者）：
- LUCIA 失效： 由于伪共识偏差，LUCIA 在多攻击者设置下崩溃（四名攻击者时 AP@0.5 降至 0.11）。
- GLST 鲁棒性： GLST 保持了稳健的性能，在四名攻击者下达到 0.67 AP@0.5 和 0.69 AP@0.3。它在多攻击者场景中显著优于 LUCIA 和 ROBOSAC。
- 泛化能力： GLST 在面对多攻击者 PGD 攻击时也表现出强大的鲁棒性，在四名攻击者下维持 0.68 AP@0.5，而 LUCIA 则完全失效。
信任分数判别力：
- 在两名攻击者的场景下，LUCIA 对良性代理和恶意代理分配了重叠的信任分数（均值分别为：0.67 vs 0.61）。GLST 则提供了清晰的分离（均值分别为：0.31 vs 0.02），证实了其区分协同攻击者的卓越能力。
消融实验：
- 移除任何一个信任分支（全局、局部或结构）都会导致性能下降，尤其是在多攻击者设置下。研究发现局部分支对于检测关键区域的细粒度扰动最为关键。

5. 意义与主张

本文主张，多层级信任建模对于保障置信度驱动型协作感知的安全性至关重要。

超越单信号防御： 该研究认为，面对现代 CP 系统中的隐蔽、协同威胁，仅依赖单一的一致性信号是不够的。
平衡效率与安全性： GLST 提供了一种轻量级解决方案，可以直接集成到现有的融合流水线中，无需复杂的重构或迭代采样，非常适合实时 V2X 应用。
对协同行为的鲁棒性： 通过结合全局、局部和结构视角，GLST 有效打破了协同攻击者形成的“伪共识”，而这正是现有最先进防御技术无法解决的漏洞。

作者总结道，他们的研究结果验证了从单信号信任估计转向全面的、多视角信任框架的必要性，以确保对抗性 V2X 环境中自动驾驶感知的可靠性。