Τα αυτόνομα οχήματα μπορούν να ξεγελαστούν ώστε να ανιχνεύσουν ανύπαρκτα εμπόδια, μία ευαλωτότητα που θα μπορούσε να αποδειχθεί θανάσιμη.

Ένα αυτόνομο αυτοκίνητο χρησιμοποιεί τους αισθητήρες του για να διαβάσει το δρόμο.

Τίποτα δεν είναι σημαντικότερο σε ένα αυτόνομο όχημα από την ικανότητα του να ανιχνεύει όσα συμβαίνουν γύρω του. Όπως και οι άνθρωποι που οδηγούν, έτσι και τα οχήματα χωρίς οδηγό πρέπει να είναι ικανά να λάβουν άμεσες αποφάσεις.

Σήμερα, τα περισσότερα αυτόνομα οχήματα βασίζονται σε πολλαπλούς αισθητήρες για να αντιληφθούν τον κόσμο. Συνήθως τα συστήματα περιλαμβάνουν κάμερες, αισθητήρες ραντάρ και αισθητήρες LiDAR (εντοπισμού φωτός και απόστασης). Οι υπολογιστές συνδυάζουν τα δεδομένα από τους παραπάνω αισθητήρες, δημιουργώντας μία πλήρη εικόνα όσων συμβαίνουν γύρω από το αυτοκίνητο. Χωρίς αυτά τα δεδομένα, τα αυτόνομα οχήματα δε θα είχαν καμία ελπίδα να κινηθούν με ασφάλεια στον έξω κόσμο. Τα αυτοκίνητα που χρησιμοποιούν πολλαπλά συστήματα αισθητήρων λειτουργούν καλύτερα και ασφαλέστερα — ωστόσο, κανένα σύστημα δεν είναι άτρωτο απέναντι σε επιθέσεις.

Δυστυχώς, τα συστήματα αυτά δεν είναι αλάνθαστα. Τα συστήματα αντίληψης που βασίζονται σε κάμερες μπορούν να ξεγελαστούν απλώς τοποθετώντας ειδικά αυτοκόλλητα πάνω σε πινακίδες οδικής κυκλοφορίας, αλλάζοντας εντελώς το νόημα τους.

Έρευνες της ερευνητικής ομάδας RobustNet του πανεπιστημίου του Μίσιγκαν έδειξαν ότι τα συστήματα αντίληψης με αισθητήρες LiDAR είναι επίσης τρωτά. Μέσω μιας επίθεσης που δημιουργεί ψευδή σήματα για τους αισθητήρες LiDAR, το σύστημα είναι δυνατό να ξεγελαστεί ώστε να «δει» ένα ανύπαρκτο εμπόδιο. Σε μία τέτοια περίπτωση, ένα όχημα θα μπορούσε να προκαλέσει σύγκρουση μπλοκάροντας την κυκλοφορία ή φρενάροντας απότομα.

Δημιουργώντας ψευδή σήματα LiDAR

Τα συστήματα αντίληψης LiDAR αποτελούνται από δύο σκέλη: αυτό του αισθητήρα και αυτό του μοντέλου εκμάθησης μηχανής που επεξεργάζεται τα δεδομένα. Ο αισθητήρας LiDAR υπολογίζει την απόσταση από τα αντικείμενα του περιβάλλοντος εκπέμποντας ένα σήμα φωτός και μετρώντας το χρόνο που χρειάζεται για να πέσει το σήμα σε ένα αντικείμενο και να επιστρέψει στον αισθητήρα. Η διάρκεια αυτού του πέρα δώθε είναι επίσης γνωστή σαν «χρόνος πτήσης».

Μία μονάδα LiDAR εκπέμπει δεκάδες χιλιάδες σήματα φωτός κάθε δευτερόλεπτο. Στη συνέχεια, το μοντέλο εκμάθησης μηχανής χρησιμοποιεί τους παλμούς που επιστρέφουν για να ζωγραφίσει την εικόνα του περιβάλλοντος γύρω από το όχημα. Η μέθοδος αυτή θυμίζει τον ηχοεντοπισμό που χρησιμοποιεί μία νυχτερίδα για να αντιληφθεί πού βρίσκονται εμπόδια τη νύχτα.

Το πρόβλημα είναι ότι αυτοί οι παλμοί μπορούν να πλαστογραφηθούν. Για να ξεγελάσει τον αισθητήρα, το μόνο που χρειάζεται να κάνει ένα επιτιθέμενο άτομο είναι να κατευθύνει ένα σήμα φωτός προς αυτόν.

Ωστόσο, είναι δυσκολότερο να ξεγελάσετε έναν αισθητήρα LiDAR ώστε να «δει» ένα όχημα που δεν υπάρχει. Κάτι τέτοιο απαιτεί μεγάλη ακρίβεια στο συγχρονισμό των σημάτων που θα λάβει το σύστημα, αγγίζοντας το επίπεδο του νανοδευτερολέπτου, μια που τα σήματα ταξιδεύουν με την ταχύτητα του φωτός και συνεπώς, οι όποιες μικροδιαφορές θα είναι εμφανείς όταν το LiDAR θα υπολογίσει την απόσταση με βάση το χρόνο πτήσης τους.

Αν το επιτιθέμενο άτομο καταφέρει να ξεγελάσει τον αισθητήρα LiDAR, θα πρέπει επίσης να ξεγελάσει και το μοντέλο μηχανικής εκμάθησης. Στο ερευνητικό εργαστήριο OpenAI προσδιορίστηκε ότι τα μοντέλα μηχανικής εκμάθησης είναι ευάλωτα σε ειδικά διαμορφωμένα σήματα — γνωστά σαν ανταγωνιστικά παραδείγματα. Για παράδειγμα, ειδικά διαμορφωμένα αυτοκόλλητα είναι ικανά να ξεγελάσουν συστήματα αντίληψης που βασίζονται σε κάμερες.

Αντίστοιχα, ένα επιτιθέμενο άτομο μπορεί να χρησιμοποιήσει παρόμοιες τεχνικές για να δημιουργήσει σήματα που θα προκαλέσουν σύγχυση στο LiDAR. Στην περίπτωση αυτή δε μιλάμε για ένα εμφανές αυτοκόλλητο, αλλά για ψευδή σήματα που δημιουργήθηκαν ειδικά για να ξεγελάσουν το μοντέλο μηχανικής εκμάθησης ώστε να νομίζει ότι υπάρχουν εμπόδια. Στη συνέχεια, Ο αισθητήρας LiDAR θα εισάγει τα ψευδή σήματα του χάκερ στο μοντέλο, το οποίο θα τα ερμηνεύσει σαν κάποιο εμπόδιο.

Το ανταγωνιστικό παράδειγμα – το ψευδές αντικείμενο – θα μπορούσε να κατασκευαστεί έτσι ώστε να ανταποκρίνεται στις προσδοκίες του μοντέλου μηχανικής εκμάθησης. Για παράδειγμα, το επιτιθέμενο άτομο θα μπορούσε να δημιουργήσει το σήμα ενός ακίνητου φορτηγού. Κατά τη διενέργεια της επίθεσης, αυτό θα μπορούσε να τοποθετηθεί σε μία διασταύρωση ή σε ένα όχημα που βρίσκεται εμπρός από ένα αυτόνομο όχημα.

https://www.youtube.com/watch?v=a6R6P3D70cE

Δύο πιθανές επιθέσεις

Κατά την έρευνα, επιλέχθηκε ένα σύστημα αυτόνομης οδήγησης για να διερευνηθεί το σενάριο της επίθεσης: Πρόκειται για το Baidu Apollo. Το προϊόν αριθμεί πάνω από 100 συνεργάτες και έχει συνάψει συμφωνία μαζικής παραγωγής με διάφορους κατασκευαστές, οι οποίοι περιλαμβάνουν τη Volvo και τη Ford.

Χρησιμοποιώντας πραγματικά δεδομένα από τους αισθητήρες, τα οποία δόθηκαν από την ομάδα του Baidu Apollo, έγινε παρουσίαση επιθέσεων δύο τύπων: Στην πρώτη, αυτή του φρεναρίσματος κινδύνου, είδαμε πώς ο επιτιθέμενος θα μπορούσε να σταματήσει απότομα ένα κινούμενο όχημα ξεγελώντας το ώστε να νομίζει ότι εμφανίστηκε κάποιο εμπόδιο στην πορεία του. Κατά τη δεύτερη, αυτή της ακινητοποίησης αυτόνομου οχήματος, ένα ψευδές εμπόδιο ξεγέλασε το όχημα που είχε σταματήσει σε κόκκινο σηματοδότη, ώστε να παραμείνει σταματημένο και μετά το άναμμα του πράσινου σηματοδότη.

Η ερευνητική ομάδα εκμεταλλεύτηκε τα τρωτά σημεία των συστημάτων αντίληψης των αυτόνομων οχημάτων ελπίζοντας να κρούσει τον κώδωνα του κινδύνου προς όσους αναπτύσσουν τεχνολογίες οδήγησης χωρίς οδηγό. Η έρευνα σχετικά με νέα προβλήματα ασφαλείας που προκύπτουν από την αυτόνομη οδήγηση έχει μόλις ξεκινήσει και ο σκοπός είναι να ανακαλυφθούν περισσότερα πιθανά προβλήματα πριν αυτά αξιοποιηθούν από κακόβουλους δρώντες στο δρόμο.

https://www.youtube.com/watch?v=hYuvmwzqmsY&feature=emb_title