自動駕駛汽車仍存在重大感知問題

對於自動駕駛汽車，沒有什麼比感知周圍發生的事情更重要的了。像人類駕駛員一樣，自動駕駛汽車也需要具有即時決策的能力。

如今，大多數自動駕駛汽車都依靠多個傳感器來感知世界。大多數系統結合使用攝像頭，雷達傳感器和LiDAR（光檢測和測距）傳感器。在車上，計算機將這些數據融合在一起，以全面瞭解汽車周圍的狀況。沒有這些數據，自動駕駛汽車將無法安全航行於整個世界。使用多個傳感器系統的汽車既性能更好，又更安全（每個系統都可以作為對其他系統的檢查），但是任何系統都無法免受攻擊。

不幸的是，這些系統並非萬無一失。只需在交通標誌上貼上貼紙以完全改變其含義，就可以欺騙基於相機的感知系統。

密歇根大學研究小組的工作表明，基於LiDAR的感知系統也可以構成。通過策略性地欺騙LiDAR傳感器信號，攻擊可以使車輛基於LiDAR的感知系統欺騙“看到”不存在的障礙物。如果發生這種情況，車輛可能會因阻塞交通或突然制動而導致撞車。基於LiDAR的感知系統具有兩個組件：傳感器和處理傳感器數據的機器學習模型。LiDAR傳感器通過發射光信號並測量該信號從物體反彈並返回傳感器所需的時間來計算其與周圍環境之間的距離。這種來回往返的持續時間也稱為“飛行時間”。

激光雷達單元每秒發出數萬個光信號。然後，其機器學習模型使用返回的脈衝來繪製車輛周圍世界的圖片。這類似於蝙蝠如何使用回聲定位來了解夜間的障礙物。

問題是這些脈衝可能會被欺騙。為了欺騙傳感器，攻擊者可以將自己的光信號照射到傳感器上。這就是您需要混合傳感器的全部。

但是，要欺騙LiDAR傳感器以“看到”不存在的“車輛”則更加困難。為了取得成功，攻擊者需要精確計時在受害者激光雷達上發射的信號的時間。這必須在納秒級發生，因為信號以光速傳播。當LiDAR使用測得的飛行時間計算距離時，會有微小差異。

如果攻擊者成功地欺騙了LiDAR傳感器，那麼它還必須欺騙機器學習模型。OpenAI研究實驗室所做的工作表明，機器學習模型容易受到特製信號或輸入的影響，這就是所謂的對抗性示例。例如，在交通標誌上專門生成的貼紙可以使基於相機的感知矇蔽。

我們發現，攻擊者可以使用類似的技術來製作對LiDAR不利的干擾。它們不會是可見的標籤，而是專門創建的欺騙信號，以欺騙機器學習模型，使他們認為實際上沒有障礙存在。LiDAR傳感器會將黑客的虛假信號提供給機器學習模型，從而將其識別為障礙。

可以製作對抗性示例（假冒對象）以滿足機器學習模型的期望。例如，攻擊者可能發出卡車不動的信號。然後，要進行攻擊，他們可能將其設置在十字路口或放置在自動駕駛汽車前方行駛的車輛上。

我們展示了兩種不同的攻擊方式。在第一個“緊急剎車攻擊”中，我們展示了攻擊者如何通過誘使移動車輛認為在其路徑中出現障礙物而突然將其停止。在第二次“ AV凍結攻擊”中，我們使用欺騙性的障礙物欺騙了在紅燈處停止的車輛，使其在燈變為綠色後仍保持停止狀態。

通過利用自動駕駛感知系統的漏洞，我們希望為構建自動駕駛技術的團隊觸發警報。對自動駕駛系統中新型安全性問題的研究才剛剛開始，我們希望能發現更多可能出現的問題，然後再由不良行為者利用這些問題。