ドローンは“プロジェクターが映した人”を人間と間違える？ 早稲田大などが調査 対策法も提案：Innovative Tech

[山下裕毅，ITmedia]

Innovative Tech：

このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。

X： ＠shiropen2

　早稲田大学と産業技術総合研究所に所属する研究者らが発表した論文「DeGhost: Unmasking Phantom Intrusions in Autonomous Recognition Systems」は、プロジェクターで投影する人や車などで物体認識システムを欺くことができるかを分析し、対応手法を提案した研究報告である。

ドローンに搭載の物体認識システムが、プロジェクターに投影された人の映像を人物だと認識している様子

　自動運転車やドローンなどの自律システムは、物体認識システムを用いて周囲の環境を認識し、適切な動作を行っている。しかし、この物体認識技術には「幻影攻撃」（Phantom Attack）と呼ばれる新たな脆弱性が存在する。

　幻影攻撃とは、プロジェクターを使って人や車などの物体を模した映像を投影し、自律システムの物体認識機能に混乱を引き起こす攻撃手法である。攻撃者は、こうした映像を巧みに操作することで、実際の物体とそのプロジェクターで作られた幻影を区別できなくさせ、自律システムを欺き、意図した動作を行わせることができる。

　例えば、歩行者を認識して停止する自動運転車や、パトロール用のAIドローンを欺き、実際には存在しない人間を認識させることで、予期せぬ誤動作が引き起こされるリスクがある。

　この研究では、市販のドローンを使用して実証実験を行い、幻影攻撃の実現可能性を定量的に評価した。具体的には「DJI Mavic Airドローン」とそのActiveTrack機能を使ったブラックボックスアプローチ、もう一つはオープンソースの「Telloドローン」とYOLOv3物体認識を組み合わせたホワイトボックスアプローチを実施した。

　その結果、投影された人物をドローンが追跡する様子を確認でき、幻影攻撃が現実的な脅威であることを実証した。また投影とドローン間の距離が長くなるほど、また水平角が大きくなるほど、攻撃の成功率が低下する知見も得られた。

ドローンを用いた幻影攻撃の実証実験

　この脅威に対抗するため、研究チームは深層学習を用いた対策手法「DeGhost」を提案。DeGhostは、検出された物体が実物か投影かを判別する深層学習モデルである。DeGhostの性能を評価するため、さまざまなプロジェクターと投影面（コンクリート、白い壁、木板、植栽、ガラス面など）を組み合わせた多様な環境セットでテストを行った。

　実験において、広く使われる物体認識モデルであるYOLOシリーズ、Faster R-CNN、CenterNetなどの物体検出システムに対して評価した結果、未知の環境を含めて高い精度で幻影攻撃を検出できることを示した。また、リアルタイム性能の評価でも、1秒当たり約33フレームの処理が可能で、実用上十分な速度であることを確認した。

DeGhostの性能を評価した多様な環境セット

Source and Image Credits: H. Oyama, R. Iijima, T. Mori, “DeGhost: Unmasking Phantom Intrusions in Autonomous Recognition Systems,” Proceedings of the 9th IEEE European Symposium on Security and Privacy（Euro S&P 2024）, July 2024