Indagare la robustezza agli attacchi avversari nella percezione cooperativa eterogenea

Abstract degli autori

La percezione cooperativa eterogenea (CP) consente ai veicoli connessi, dotati di configurazioni dei sensori diverse, di condividere la consapevolezza spaziale tramite mappe compatte di caratteristiche; i veicoli che le ricevono armonizzano poi queste mappe usando moduli di traduzione appresi per la fusione e l’inferenza. Gli attacchi precedenti alla CP in contesti omogenei rivelano che lo scambio di dati introduce una superficie d’attacco critica: un singolo agente malevolo può trasmettere caratteristiche appositamente manipolate per cancellare oggetti reali dalla scena risultante dalla fusione di un veicolo vicino. Eppure, si ipotizza ampiamente che l’eterogeneità offra una difesa naturale contro questi attacchi, perché l’aggressore non conosce il rilevatore della vittima e il modulo di traduzione rende confusi i gradienti avversari. Dimostriamo che questa protezione è in gran parte un’illusione. Usando un banco di prova con obiettivi abbinati, che standardizza il budget di perturbazione, l’obiettivo e il percorso di propagazione in avanti, mostriamo che attacchi iterativi opportunamente calibrati colmano o invertono l’apparente divario di robustezza. Tuttavia, questi attacchi basati sull’ottimizzazione richiedono etichette di riferimento e una retropropagazione iterativa, quindi non rappresentano una minaccia pratica sul campo, in tempo reale. Per colmare questo divario, introduciamo HetPoison, un generatore appreso che crea una perturbazione volta a rimuovere oggetti con un singolo passaggio in avanti, senza etichette. HetPoison si trasferisce tra le principali architetture eterogenee senza richiedere accesso al rilevatore della vittima, eguagliando o superando l’efficacia dei costosi attacchi basati su ottimizzatori. Poiché l’eterogeneità di per sé non costituisce una difesa, proponiamo HetShield, un leggero livello di fiducia che verifica la coerenza spazio-temporale tra le caratteristiche e recupera l’83–95% dell’accuratezza compromessa dagli attacchi, superando lo stato dell’arte.