感知安全(激光雷达)论文速览 | S&P 2023, PLA-LiDAR: Physical Laser Attacks againstLiDAR-based 3D Object Detection

注1:本文属于"最新论文速览"系列之一,旨在简明扼要地阐述和解析最新的顶会/顶刊论文。

摘要

本文提出了一种名为PLA-LiDAR的新方法，在基于LiDAR的三维目标检测系统中实施针对点云数据的对抗性攻击。该系统利用激光器向LiDAR注入最多4200个抗性点云数据（注：将"最多"替换为"最大"），相较于现有技术增加了20倍（注：将"多20倍"替换为"增加了20倍"）。这种特性使得相关设备能够准确测量受害LiDAR系统的扫描周期，并据此调度攻击激光信号的时间序列（注：将"可测量"替换为"能够测量"）。
该系统采用了创新的方法论，在设计控制信号的同时充分考虑了原始LiDAR的工作原理以及对抗性生成的需求。这种综合性的方法使得研究人员能够生成具有预期形状特征的具体抗性点云数据（注：将"实现注入期望形状的抗性点云"替换为"生成具有预期形状特征的具体抗性点云数据"）。
该系统在理论上验证了四种不同的攻击效果：基础隐匿（注：将"a primitive hiding attack"翻译为"a basic hiding attack"?）、记录创建（注："record creation attack"?）、优化隐匿（注："enhanced hiding attack"?）以及优化创建（注："enhanced creation attack"?）。为了验证这些理论结果的有效性，在实际应用中该系统被成功应用于两款主流商用LiDAR设备以及三个关键检测算法（注："detection algorithms"?），实验结果表明这些新的对抗性输入确实能够有效破坏目标检测系统的性能表现。
此外，在具体实现过程中还深入探讨了从传感器到整个系统的多层次防御策略（注："discuss defense strategies from sensor level to system level"?），并提出了若干切实可行的技术方案。

引言

• 自动驾驶和机器人越来越多地依赖LiDAR来达成3D目标检测的关键。
  • 现有研究显示，通过干预点云数据可以欺骗3D目标检测器，在多数情况下集中在数字层面。
  • 本研究探讨了通过激光物理注入生成对抗样本来欺骗基于LiDAR的3D目标检测系统的能力。

背景知识

• 常见的LiDAR类型主要包括机械旋转式LiDAR和固态式LiDAR, 本文着重研究机械式LiDAR技术。
• 机械式LiDAR的关键参数主要包含扫描顺序; 激光方向分布情况; 水平角分辨率; 以及工作波长等几个重要指标。
• 基于3D目标检测算法的LID AR系统主要包括贝 V图(BEV)、体素法(Voxel)以及点云法(Point Cloud)等多种实现方式。

威胁模型

• 攻擊目標:掩藏已存在的物體或生成未存在的物體。
  • 攻擊類型: primitive hiding, record generation, optimized hiding, optimized generation.
  • 機對能力:掌握LIDAR參數, 得到白盒目標檢測器, 實施物理攻擊.

攻击设计

• 利用受害LiDAR设备获取与攻击相关的参数信息。
  • 采用优化手段生成可注入型对抗点云。
  • 通过信号处理技术将对抗点云转化为可执行的激光控制指令。
  • 利用同步机制保证攻击信号与LiDAR扫描过程的有效对准。

攻击设备实现和点云注入能力评估

• 攻击设备由多个核心组件构成，包括接收器、延迟控制器等。
• 实验表明该系统支持注入超4千个数据点，在性能指标上较前提升约19倍。
• 系统性地考察了多维度的点云质量评估指标。

评估

• 模拟评估证明了优化隐藏和优化创建的有效性。

• 实证分析显示, 4种攻击影响了2款LiDAR和3个检测器。
  • 实验验证进一步确认了其有效性。

讨论

相比相关研究,本文引入了更多的点位,支持了多种类型的攻击手段,其准确率也有所提升。同时,本文还提出了旋转速率定制和编码等多种缓解方案。此外,目前主要局限于机械LiDAR技术,未来研究团队计划转向固态LiDAR的发展。

总结

本研究首次利用激光器对基于LiDAR的三维目标检测实施物理层面攻击。
本研究提出了一种新型PLA-LiDAR攻击方法,显著提升了点云注入能力,成功实现了对目标的隐藏与伪造攻击。
该方法针对两款不同的LiDAR设备和三种类型的检测器进行了验证,充分证明了其有效性。