自动驾驶汽车仍然存在重大的感知问题

曹玉龙是密歇根大学计算机科学与工程专业的博士生。Z. Morley Mao 是密歇根大学电气工程与计算机科学专业的教授。本文最初发表于The Conversation 。

对于自动驾驶汽车来说，没有什么比感知周围发生的事情更重要的了。与人类驾驶员一样，自动驾驶汽车需要具备即时决策的能力。

如今，大多数自动驾驶汽车都依靠多个传感器来感知世界。大多数系统都使用摄像头、雷达传感器和 LiDAR（光检测和测距）传感器的组合。车载计算机将这些数据融合在一起，以全面了解汽车周围的情况。如果没有这些数据，自动驾驶汽车就无法安全地行驶在世界上。使用多个传感器系统的汽车不仅性能更好，而且更安全——每个系统都可以相互制衡——但没有一个系统能够免受攻击。

不幸的是，这些系统并非万无一失。只需在交通标志上贴上标签，就可以完全改变其含义，从而欺骗基于摄像头的感知系统。

我们密歇根大学 RobustNet 研究小组的研究表明，基于 LiDAR 的感知系统也可以被攻陷。通过策略性地欺骗 LiDAR 传感器信号，攻击能够欺骗车辆基于 LiDAR 的感知系统，使其“看到”不存在的障碍物。如果发生这种情况，车辆可能会因阻塞交通或突然刹车而导致撞车。

欺骗 LiDAR 信号

基于 LiDAR 的感知系统有两个组件：传感器和处理传感器数据的机器学习模型。LiDAR 传感器通过发射光信号并测量该信号从物体反射回传感器所需的时间来计算其自身与周围环境之间的距离。这种往返的持续时间也称为“飞行时间”。

LiDAR 装置每秒发出数万个光信号。然后其机器学习模型使用返回的脉冲来描绘车辆周围的世界。这类似于蝙蝠在夜间使用回声定位来了解障碍物的位置。

问题是这些脉冲可以被欺骗。为了欺骗传感器，攻击者可以将自己的光信号照射到传感器上。这就是让传感器混乱所需的全部操作。

然而，欺骗 LiDAR 传感器“看到”不存在的“车辆”则更加困难。要成功，攻击者需要精确计时向受害者 LiDAR 发射的信号。这必须在纳秒级完成，因为信号以光速传播。当 LiDAR 使用测量的飞行时间计算距离时，微小的差异就会显现出来。

如果攻击者成功欺骗了 LiDAR 传感器，那么它还必须欺骗机器学习模型。OpenAI 研究实验室的研究表明，机器学习模型容易受到特制信号或输入（即所谓的对抗样本）的攻击。例如，交通标志上特制的贴纸可以欺骗基于摄像头的感知。

我们发现攻击者可以使用类似的技术来制造干扰来对抗 LiDAR。它们不是可见的贴纸，而是专门创建的伪造信号，用于欺骗机器学习模型，使其认为存在障碍物，而实际上没有。LiDAR 传感器会将黑客的虚假信号提供给机器学习模型，机器学习模型会将其识别为障碍物。

对抗性示例（即假物体）可以精心设计，以满足机器学习模型的期望。例如，攻击者可能会制造一辆静止的卡车的信号。然后，为了进行攻击，他们可能会将其设置在十字路口或放置在自动驾驶汽车前面行驶的车辆上。

两种可能的攻击

为了演示设计的攻击，我们选择了众多汽车制造商使用的自动驾驶系统：百度阿波罗。该产品拥有超过 100 个合作伙伴，并与沃尔沃和福特等多家制造商达成了量产协议。

通过使用百度 Apollo 团队收集的真实世界传感器数据，我们演示了两种不同的攻击。第一种是“紧急刹车攻击”，我们展示了攻击者如何通过欺骗车辆，让车辆认为其路径上出现了障碍物，从而突然停止行驶中的车辆。第二种是“AV 冻结攻击”，我们使用伪造的障碍物欺骗在红灯处停下的车辆，使其在绿灯亮起后继续停下。

通过利用自动驾驶感知系统的漏洞，我们希望为开发自动驾驶技术的团队敲响警钟。对自动驾驶系统中新型安全问题的研究才刚刚开始，我们希望在它们被不法分子利用之前发现更多可能的问题。