注意！激光雷达也可以被“黑”！（微信文章未删减版）

点击上方“计算机视觉life”，选择“星标”

快速获得最新干货

对于自动驾驶来说，感知周围的环境是首要解决的问题。像人类驾驶员一样，自动驾驶汽车也需要了解行车环境，以实现即时决策的能力。

目前，大部分自动驾驶汽车都需要利用多种传感器来感知世界，例如结合使用摄像头、雷达和激光雷达（LiDAR）等。自动驾驶汽车中的计算机将这些数据融合在一起，以全面了解汽车周围的行车环境。如果没有这些数据，自动驾驶汽车将寸步难行。采用多种传感器系统的自动驾驶汽车性能更好且更安全，因为每种传感器都可以彼此补充验证，提供冗余的感知信息，不过，任何系统都无法免疫攻击。

例如，对于能够识别交通标志的可见光摄像头，只需要在交通标志上贴上篡改的贴纸，就可以欺骗基于摄像头的感知系统。

据麦姆斯咨询报道，密歇根大学（University of Michigan）RobustNet研究小组的一项研究表明，基于激光雷达的感知系统也可以被攻击。通过策略性地欺骗激光雷达传感器信号，可以使基于激光雷达的感知系统“看到”并不存在的障碍物。如果发生类似攻击，自动驾驶车辆可能会因阻塞交通或突然制动而导致事故。

激光雷达诱骗信号

基于激光雷达的感知系统包含传感器以及处理传感器数据的机器学习模型。激光雷达通过发射光信号，并测量该信号从物体返回传感器所需要的时间（即“飞行时间（ToF）”），以计算其与周围环境之间的距离。然后，机器学习模型利用返回的脉冲来绘制车辆周围环境的3D地图。这类似于蝙蝠在夜晚利用回声定位来了解周围的障碍物。

问题在于，这些脉冲可以被利用以欺骗传感器，攻击者通过将自己的光信号照射传感器，可以干扰激光雷达的正常运行。

不过，要欺骗激光雷达的传感器“看到”不存在的“车辆”要困难得多。为了实现无中生有，攻击者需要精确计算目标激光雷达上发射信号的时间。由于光信号以光速传播，因此这一切都发生在纳秒级的瞬间。当激光雷达使用测得的飞行时间计算距离时，微小的差异也会突显出来。

攻击者成功欺骗激光雷达的传感器之后，还需要欺骗机器学习模型。OpenAI实验室的研究表明，机器学习模型容易受到特制信号或输入的影响，也就是所谓的对抗样本（adversarial examples），即对输入样本故意添加一些人无法察觉的细微的干扰，导致模型以高置信度给出一个错误的输出。例如，在交通标志上故意贴上篡改的贴纸，可以欺骗基于摄像头的感知系统。

研究人员发现，攻击者可以使用类似的技术来制作针对激光雷达的干扰信号。这种干扰不是可见的标志，而是专门创建的欺骗信号，可以欺骗机器学习模型，让它们在原本没有障碍物的情况下认为有障碍物存在。

对抗样本可以精心设计以满足机器学习模型的规则。例如，攻击者可以创建一辆停止运行的卡车的信号。然后，要进行攻击时，攻击者可以将该信号设置在十字路口或投射在自动驾驶汽车前方行驶的车辆上，使自动驾驶车辆紧急制动。

两种可能的攻击

为了演示所设计的攻击，研究人员选择了许多汽车制造商采用的自动驾驶系统：百度阿波罗（Baidu Apollo）。这款系统现在拥有100多个合作伙伴，并已与多家汽车制造商（包括沃尔沃和福特）达成了批量生产协议。

通过利用百度阿波罗团队收集的真实传感器数据，研究人员展示了两种不同的攻击方式。第一种是“紧急制动攻击”，攻击者通过发射信号，使行驶中的车辆“认为”在其路径中出现了障碍物而突然紧急制动；第二种是“霜冻攻击”，利用不存在的欺骗性障碍物，使红灯前的车辆始终保持等待，即使红灯转为绿灯后仍然保持停止状态。

通过挖掘自动驾驶感知系统的漏洞，研究人员希望为开发自动驾驶技术的团队敲响警钟。针对自动驾驶系统安全性问题的研究才刚刚开始，接下来，研究人员希望能够在破坏分子前面发现更多可能出现的问题。

从零开始学习三维视觉核心技术SLAM，扫描查看介绍，3天内无条件退款

欢迎关注公众号：计算机视觉life，一起探索计算机视觉新世界~ 早就是优势，学习切忌单打独斗，这里有教程资料、练习作业、答疑解惑等，优质学习圈帮你少走弯路，快速入门！

交流群

欢迎加入公众号读者群一起和同行交流，目前有SLAM、三维视觉、传感器、自动驾驶、计算摄影、检测、分割、识别、医学影像、GAN、算法竞赛等微信群（以后会逐渐细分），请扫描下面微信号加群，备注：”昵称+学校/公司+研究方向“，例如：”张三 + 上海交大 + 视觉SLAM“。请按照格式备注，否则不予通过。添加成功后会根据研究方向邀请进入相关微信群。请勿在群内发送广告，否则会请出群，谢谢理解~