中国の浙江大学に所属する研究者らが発表した論文「PLA-LiDAR: Physical Laser Attacks against LiDAR-based 3D Object Detection in Autonomous Vehicle」は、レーザー光を自動運転車のLiDARに照射し、敵対的な点群を注入することで3次元物体検出を欺く攻撃を提案した研究報告だ。

 例えば、横断報道を渡る歩行者がいるのに存在しないものと認識させたり、歩行者がいないのに存在しているものと認識させたりなどが行える。

 自動運転車の多くに実装してあるLiDARは、照射し返ってきた反射光の時間を計算して周囲の3Dオブジェクトとの距離を点群ベースで把握する。また水平面で連続的に回転し、垂直面を高速でスキャンすることで、周囲の物体の位置をリアルタイムに検出している。

 今回の攻撃「PLA-LiDAR」は、このLiDARに向けてレーザー装置で物理的に光を照射する方法を行う。このことで、存在しない物体を検出するエラーと前方の物体を検出しないエラーを発生させる。

 具体的には、次の4つの攻撃シナリオを想定する。

 (1)遠く離れた場所に偽の壁を作り、既存の物体を検出できないようにする隠蔽(いんぺい)攻撃(Nai-Hide)。

 (2)記録された点群をLiDARに注入することで、存在しない物体を見せる記録ベースの作成攻撃(Rec-Create)。

 (3)最適化された敵対的な点をLiDARに注入することによって、既存のオブジェクトを検出できないようにする最適化ベースの隠蔽攻撃(Opt-Hide)。

 (4)最適化された敵対的な点をLiDARに注入することで、存在しないオブジェクトを見せる最適化ベースの作成攻撃(Opt-Create)。

 PLA-LiDARは、4つの主要モジュールを組み込んだ攻撃を設計する。LiDARパラメータ計測モジュールは、ターゲット車のLiDARを計測し、スキャンシーケンスや水平角分解能などの攻撃関連パラメータを取得する。点群生成モジュールは、LiDARの記録や敵対的最適化によって注入できる偽装点群を生成する。

 制御信号設計モジュールは、各レーザーパルスの発光時間を指定する制御信号を設計することで、目的の偽装点群をレーザー信号に変換する。最後のSynchronizationモジュールは、ターゲット車のLiDARの走査順序と制御信号を同期させ、選択したレーザー送信機でレーザーを送信し、物理的な攻撃を行う。

 実験では、LiDAR VLP-16とLiDAR HD-L64Eを利用し、3Dオブジェクト検出器にPointPillarとSECONDを用いて、上述した4種類の攻撃シナリオを評価した。結果、全ての攻撃に対して有意に効果を発揮した。先行研究と比べても、最大200点の偽装点群から約20倍向上の最大4200点の偽装点群を注入できることを示した。

 次の実験では、前を走る車からレーザーを照射し、後方を移動しているターゲット車に対して攻撃できるかを検証した。攻撃車とターゲット車が共に5km/h程度の同程度の速度で移動し、攻撃車がターゲット車から5〜15m離れたところにいるという設定で行った。ターゲット車はVLP-16 LiDARを搭載したApollo D-kitで、攻撃者は受信機とレーザー送信機を車の屋根に実装した。

 実験の結果、移動中の車両に搭載されたLiDARに対して、隠蔽攻撃と作成攻撃が有意にできると分かった。具体的には、隠蔽攻撃はASR94.1%、作成攻撃はASR78.9%を達成した。これら実験の映像は、プロジェクトページで確認できる。

 Source and Image Credits: Z. Jin, et al., “PLA-LiDAR: Physical Laser Attacks against LiDAR-based 3D Object Detection in Autonomous Vehicle,” in 2023 2023 IEEE Symposium on Security and Privacy (SP) (SP), San Francisco, CA, US, 2023 pp. 710-727. doi: 10.1109/SP46215.2023.00041

 ※テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。