自動運転車へのサイバー攻撃、米国の研究チームが実証 レーザー銃で「偽物の車が前から突っ込んでくる」錯覚攻撃：Innovative Tech

[山下裕毅，ITmedia]

Innovative Tech：

このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。

　米デューク大学と米ミシガン大学の研究チームが開発した「Security Analysis of Camera-LiDAR Fusion Against Black-Box Attacks on Autonomous Vehicles」は、自動運転車のセンサーをだまして、周囲の物体が検出距離よりも近い（または遠い）と信じ込ませる攻撃に成功し、搭載するカメラやセンサーの脆弱性を実証した。

　センサーが取得する3D点群に実際の位置より前方または後方にわずかなデータポイントを追加するだけで、自動運転車のシステムを混乱させ、危険な判断をさせることができるという。

　例えば、下記の図では前方中央から車が猛スピードで突進してくるようにだましており、自動運転車システムは複数の時間ステップにわたって誤検出し続けている。その結果、偽物の車が至近距離に到達する前に、ブレーキ操作や衝突回避操作が行われる。どちらも本来必要のない操作であり、危険を伴う行為といえる。

中央の迫ってくる白いボックスは偽物で突進してくるように見せかけている。左の白いボックスは実際の車を検出している

　今の自動運転車は、カメラやLiDARなどのセンサーがデータを収集し、障害物や歩行者の回避、交通標識の検出といった安全上重要なタスクを実行している。カメラは限られた視野で高解像度、高密度の2次元画像を出力し、LiDARは最大視野360度内のオブジェクトの3D点群で位置を提供する。

　今回は、カメラとLiDARを統合して処理する業界では一般的なタイプに対して、新しい攻撃を行う。この新しい攻撃は、車に搭載のLiDARセンサーにレーザー銃を物理的に撃って、その知覚に偽のデータ点を追加することで実行する。レーザー銃は、道端もしくは車両に搭載し攻撃が行える。

　そのデータポイントが、車のカメラが見ているものと大きくずれている場合、これまでの研究では、システムがその攻撃を認識できていたが、新しい攻撃では、LiDARのデータポイントをカメラの2次元視野の一定範囲内に配置する方法で、システムを欺けることを示した。

　今回の攻撃対象エリアは、カメラのレンズの前に広がる錐台（先端が切り取られた3角錐の形状）で、車に搭載された前方カメラの場合、近くにある別の車の前後に数点のデータを置くだけで、システムの認識が数メートルずれる可能性があることを意味する。

カメラ前の錐台領域が今回の攻撃対象領域

　この攻撃は、車がアクセル／ブレーキを自動制御するアダプティブクルーズコントロール（ACC）を欺くため、車両が減速している、あるいはスピードを上げていると思わせることができるという。そして、システムが問題があると把握できる頃にはすでに遅く、障害物への衝突が発生したり、急ブレーキや急旋回させられたりする。

　この攻撃を防ぐためには、例えば視野が重なり合うステレオカメラを車に搭載することが挙げられる。これによって距離をより正確に推定でき、認識と異なるLiDARデータに気が付けるかもしれない。

　完璧にするには、周りに複数セットのステレオカメラを整備しなければならないし、スレレオカメラとLiDARの整合性の判断を処理するソフトも開発しなければならず課題は多い。

　もう1つの改善案として、近接した車同士がデータの一部を共有するシステムを開発する方法が挙げられる。物理的な攻撃は、一度に多くの車に影響を与えられない上、車のブランドによってOSが異なるため、サイバー攻撃も一撃で全ての車を攻撃できないからだ。

　今回の研究は物理的なレーザーで攻撃する方法を実証したが、もし物理的なレーザーではなく、仮想的に偽のデータポイントを作り出す方法を見つけた場合、多くの車両を一度に攻撃できる可能性を秘めているという。

Source and Image Credits: Hallyburton, R. Spencer, et al. “Security Analysis of Camera-LiDAR Fusion Against Black-Box Attacks on Autonomous Vehicles.” arXiv preprint arXiv:2106.07098 (2021).