自動運転車に“音”で攻撃 存在しない停止標識などを見せる 中国の研究者らが開発：Innovative Tech

[山下裕毅，ITmedia]

Innovative Tech：

このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。Twitter: ＠shiropen2

　中国の浙江大学と清華大学に所属する研究者らが発表した論文「TPatch: A Triggered Physical Adversarial Patch」は、自動運転車のカメラに音響信号を注入する攻撃を提案した研究報告である。

　この攻撃によって、次のようなシナリオが考えられる。敵対者は道路脇に超音波アレイを設置する。この超音波アレイは、音響攻撃によってターゲット車両に存在しない停止標識があるかのように認識させ、緊急ブレーキをかけさせ、結果として車の衝突を引き起こす可能性がある。

外部からの音響攻撃により、停止標識を認識させられ、急ブレーキによる事故を起こしている様子

　自動運転車の普及に伴い、車載カメラの普及が進んでいる。車載カメラとそれに続く物体検出器や画像分類器などの知覚モデルは、周辺環境の正確な画像を提供することで、視覚ベースの知覚モジュールを構成し、検出と分類を行う。安全性を重視した運転判断を行うために、道路上の車や停止標識などの障害物を分類している。

　この研究では、車載カメラに外部からの音響で見えないモノを見せる攻撃を提案する。今回の手法は、カメラに対する音響攻撃によってターゲットとなる自動運転車に対して敵対的パッチを提示して隠蔽や作成、改変を実行する。人間のドライバーに疑われないために、コンテンツベースのカムフラージュ方法も組み込まれている。

TPatch生成の概要

　攻撃を検証するため、屋外での実車走行ベースの実験において、3種類の現実的な攻撃を実装した。具体的には、以下の3つの方法を実施した。（A）車内に超音波振動子を1つ取り付け、カメラに向かって音響信号を注入する。（B）攻撃者が車に乗ってターゲット車両の横に行き、窓を開けて超音波アレイを使って音響信号を注入する。（C）路側帯に設置した超音波アレイを利用して通過するターゲット車両に音響信号を注入する。

3つの攻撃シナリオにおける実験セットアップ

　実験の結果、車内からの攻撃が96.7％以上と最も高い成功率を達成した。後続車からの攻撃は86.7％以上、路側帯からの攻撃は91.3％以上の成功率であった。

Source and Image Credits: Wenjun Zhu and Xiaoyu Ji, Yushi Cheng, Shibo Zhang and Wenyuan Xu. TPatch: A Triggered Physical Adversarial Patch