Exorcising ”Wraith”: Protecting LiDAR-based Object Detector in Automated Driving System from Appearing Attacks

要約

自動運転システムは、3D オブジェクト検出器に依存して、LiDAR 点群から障害物の可能性を認識します。
ただし、最近の研究では、攻撃者がいくつかの偽のポイント (つまり、出現する攻撃) を使用して、予測結果に存在しない車を偽造できることが示されています。
ただし、統計的な外れ値を取り除くことにより、既存の防御は特定の攻撃用に設計されているか、事前定義されたヒューリスティック ルールによって偏っています。
より包括的な緩和に向けて、まず最近出現した攻撃のメカニズムを体系的に調べます。それらの共通の弱点は、(i) 実際の障害物と比較して局所部分に明らかな違いがあり、(ii) 深度間の物理的関係に違反する偽の障害物を作成する際に観察されます。
そして点密度。
この論文では、訓練されたLiDARベースのオブジェクト検出器と連携して機能し、ローカルパーツの大部分がオブジェクト性が低い、つまり、それがどの程度に属しているかを示す偽造された障害物を排除する、新しいプラグアンドプレイ防御モジュールを提案します。
実際のオブジェクト。
私たちのモジュールの中核にあるのは、深度情報を明示的に組み込んで深度とポイント密度の関係をモデル化し、オブジェクトネス スコアを使用して障害物の各ローカル部分を予測するローカル オブジェクトネス プレディクターです。
大規模な実験によると、私たちの提案した防御は、ほとんどの場合、3 つの既知の出現する攻撃によって偽造された車を少なくとも 70% 排除しますが、以前の最良の防御では、偽造された車が排除されるのは 30% 未満です。
一方、同じ状況下では、私たちの防御は、既存の防御と比較して、車の AP/精度のオーバーヘッドが少なくなります。
さらに、Baidu の Apollo のオープンソース システムでのシミュレーション ベースの閉ループ制御運転テストで、提案した防御の有効性を検証します。

要約(オリジナル)

Automated driving systems rely on 3D object detectors to recognize possible obstacles from LiDAR point clouds. However, recent works show the adversary can forge non-existent cars in the prediction results with a few fake points (i.e., appearing attack). By removing statistical outliers, existing defenses are however designed for specific attacks or biased by predefined heuristic rules. Towards more comprehensive mitigation, we first systematically inspect the mechanism of recent appearing attacks: Their common weaknesses are observed in crafting fake obstacles which (i) have obvious differences in the local parts compared with real obstacles and (ii) violate the physical relation between depth and point density. In this paper, we propose a novel plug-and-play defensive module which works by side of a trained LiDAR-based object detector to eliminate forged obstacles where a major proportion of local parts have low objectness, i.e., to what degree it belongs to a real object. At the core of our module is a local objectness predictor, which explicitly incorporates the depth information to model the relation between depth and point density, and predicts each local part of an obstacle with an objectness score. Extensive experiments show, our proposed defense eliminates at least 70% cars forged by three known appearing attacks in most cases, while, for the best previous defense, less than 30% forged cars are eliminated. Meanwhile, under the same circumstance, our defense incurs less overhead for AP/precision on cars compared with existing defenses. Furthermore, We validate the effectiveness of our proposed defense on simulation-based closed-loop control driving tests in the open-source system of Baidu’s Apollo.

arxiv情報

提供元, 利用サービス

arxiv.jp, Google