自動運転車が検知できない“ステルスカー”は作れるか？ 横浜国大が検証 肝は赤外線カットフィルム：Innovative Tech

[山下裕毅，ITmedia]

Innovative Tech：

このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。

Twitter: ＠shiropen2

　横浜国立大学に所属する研究者らが発表した論文「LiDARベース物体検出を連続してすり抜ける『ステルスカー』は作れるか？」は、自動運転車から検知されない車両が作れるのかを検証した研究報告である。具体的には、赤外線カットフィルムを車両に貼り付け、自動運転車が周囲を検知するのに頻繁に使用しているLiDARを欺くことができるかどうかを検討している。

現実世界の実験環境　手前にLiDARがあり、奥に赤外線カットフィルムを貼り付けた車両を配置

　自動運転車は、LiDARやカメラ、レーザーなどの車載センサーから得たデータを基に周囲の環境を認識し、緊急ブレーキ機能や車線維持機能などを実現する。LiDARは特に、高精度に対象物の距離や形状を識別し、物体検出が可能で、自動運転車の安全性を支えている。

　しかし最近、LiDARを用いた物体検出を誤らせる攻撃が問題視されている。攻撃には、存在しない物体を検出させるものと、存在する物体を検出させないものの2種類がある。前者は、LiDARの物体検出を誤検出させるために反射光を偽装するスプーフィング攻撃であり、後者には、反射光を偽装して対象物体の点群を消失させる攻撃や敵対的物体を生成する攻撃が提案されている。これらは、機器の作製コストの面で高いハードルがある。

（関連記事：自動運転車の視界から“人だけ”を消す攻撃　偽情報をLiDARに注入　電通大などが発表）

（関連記事：自動運転車に「存在しないものを見せる」サイバー攻撃　レーザー照射で事故誘発　中国の研究チームが発表）

　そこで研究者らは、攻撃機器の作製コストの面でハードルが低い現実的な攻撃として、LiDARベースの物体検出に対する物理的偽装攻撃を提案した。この攻撃は、シミュレーター上で車両が検出できない点群欠損位置を探索し、現実世界でその位置に赤外線カットフィルムを貼ることで点群を欠損させ、車両の検出を妨害するものである。

　攻撃者は特別な攻撃機器を開発する必要がなく、日焼け防止などの目的で車の窓に使用される赤外線カットフィルムを購入し、車両に貼り付けることで、安価に攻撃を実施できる可能性がある。

　実験では、シミュレーター上で高精度なLiDAR物体検出モデルを使用し、5種類の連続シーンにおける点群欠損攻撃を評価した。その結果、適切なパラメータを設定し特定の点群の位置を欠損させることで、連続シーンの中で平均して約92％のフレームで車両検出が失敗することを示した。さらに、現実世界でも赤外線カットフィルムを使用して車両の点群欠損を実現できることを示した。

現実世界における実験の結果　赤外線カットフィルムを貼った位置の大部分の点群が欠損していることが分かる

Source and Image Credits: 深津 勇貴, 岩橋 虎, 吉田 直樹, 松本 勉. LiDARベース物体検出を連続してすり抜ける「ステルスカー」は作れるか？. 情報処理学会 コンピュータセキュリティシンポジウム2023論文集 1251 - 1258, 2023-10-23