“赤いツバキ”のTシャツを着た2人が一緒に歩く→自動運転車を停止させる攻撃に スイスチームがシミュレーション：Innovative Tech（AI+）

[山下（Seamless），ITmedia]

Innovative Tech（AI+）：

2019年の開始以来、多様な最新論文を取り上げている連載「Innovative Tech」。ここではその“AI編”として、人工知能に特化し、世界中の興味深い論文を独自視点で厳選、解説する。執筆は研究論文メディア「Seamless」（シームレス）を主宰し、日課として数多くの論文に目を通す山下氏が担当。イラストや漫画は、同メディア所属のアーティスト・おね氏が手掛けている。X： ＠shiropen2

　スイスのルガーノ大学に所属する研究者らが発表した論文「Dynamic Deception: When Pedestrians Team Up to Fool Autonomous Cars」は、柄が対になったTシャツを着た歩行者が2人並んで歩くだけで、自動運転車をだまして意図的に停止させる攻撃手法を実証した研究報告だ。

赤いツバキの画像を左右に分けてプリントしたTシャツを着た2人の歩行者

　自動運転車は深層学習モデルを用いた周辺認識システムに大きく依存しているが、画像に特殊なノイズ（敵対的パッチ）を加えてAIを誤認識させる攻撃に弱いことが知られている。しかし、従来の道路標識を改ざんするような静的な攻撃は、走行中の車という実際のシステム環境ではカメラに映る時間が短く、車を実際に誤作動させることは難しかった。

（関連記事：道路標識に「人に見えないレーザー」照射　自動運転車を欺く攻撃　米国と日本の研究者らが発表）

　この課題に対し研究チームは、歩行者を使って走行中の自動運転車を完全に停止させる攻撃手法を発表した。この攻撃には、赤いツバキの花がプリントされたTシャツが使用される。人間の目にはただの赤いツバキの花に見えるが、AIには一時停止標識として認識されるように敵対的パッチが施されている。赤いツバキの花は、AIが学習している一時停止標識の特徴に似ているため採用された。

（左）本来の一時停止標識がある状態　（右）標識を撤去しツバキ柄Tシャツの歩行者2人に置き換えた攻撃シナリオ

（左）元の赤いツバキの花画像　（右）AIに一時停止標識と誤認識させる敵対的パッチを埋め込んだ加工後の画像

　今回の実験は、最先端の自動運転エージェントを使い、自動運転のシミュレーター「CARLA」でこの攻撃を評価した。まず、歩行者にこのTシャツを着させたが、Tシャツのプリント面積は本物の標識に比べて小さすぎるため、1人の歩行者がこのTシャツを着て立っているだけでは、システム全体をだまして車を停止させるまでの影響力は持たなかった。

1人の歩行者のTシャツにツバキ画像全体をプリントしているシナリオ

　そこで研究チームは、2人の歩行者が協力する手法を考案した。赤いツバキの画像を左右半分に分割し、2人のTシャツに対になるようにそれぞれプリント。車のカメラの視点から2つの柄がぴったりと合体し、1つの大きな一時停止標識に見えるように2人の歩く位置を前後に調整する。

　また、攻撃を成功させるための要因となったのが動きの要素だ。道端で立ち止まっているだけでは、2人がかりでも車を止めることはできなかった。しかし、車の接近に合わせて2人が歩道を同じペースで歩き続けることで、車のカメラに偽の標識を長く提示し続けることが可能になった。

　CARLAと自律走行エージェントを用いた実験結果は、この攻撃の有効性を示している。単独の歩行者による攻撃や、歩行者が静止したままの攻撃では、10回の試行中1回も車を一時停止させることができなかった。一方で、2人の歩行者が結託し、車に合わせて動的に移動したシナリオにおいては、50％の確率で自動運転車を完全に停止させることに成功した。

歩道上のツバキ柄Tシャツの歩行者2人を一時停止標識と誤認し、交差点手前で完全停止した自動運転車

　さらにAIをだますための敵対的パッチを一切施していない、ただの赤いツバキの花の画像を使った場合でも、車を停止させられることが判明した。実験では、加工なしのツバキの画像を半分ずつプリントしたTシャツを着て2人で歩いた場合であっても、30％の確率で自動運転車を停止させることに成功している。

Source and Image Credits: Tehrani, M. J., Gabriel, M., Kim, J., & Tonella, P.（2026）. Dynamic deception: When pedestrians team up to fool autonomous cars. arXiv preprint arXiv:2602.18079.