Ataque 'Pretend Benign' engana percepção colaborativa de veículos autônomos; defesa GLST tenta reagir a ataques coordenados
Pesquisadores demonstram que sistemas de percepção colaborativa V2X, que trocam dados de sensores entre veículos conectados para melhorar a detecção de objetos, podem ser enganados por um atacante que injeta perturbações furtivas nas regiões de maior confiança da fusão de dados. A defesa proposta, GLST, combina três sinais de consistência para identificar colaboradores maliciosos mesmo quando vários atacantes atuam em conjunto para simular consenso.
Sistemas de percepção colaborativa (CP) permitem que veículos autônomos conectados troquem características intermediárias de seus sensores via V2X, ampliando o alcance efetivo de detecção além do que cada veículo consegue sozinho. Para economizar banda, frameworks como o Where2comm usam comunicação esparsa guiada por confiança, transmitindo só as regiões espacialmente mais relevantes. Os autores mostram que essa própria otimização cria uma superfície de ataque: se um dos colaboradores estiver comprometido, características maliciosas inseridas em regiões de alta confiança — ou em regiões onde o veículo ego tem incerteza — tendem a ser priorizadas e amplificadas durante a fusão dos dados.
O ataque proposto, chamado "Pretend Benign", explora exatamente esse mecanismo: injeta perturbações furtivas em regiões perceptualmente críticas, mas que aparentam ser normais do ponto de vista estatístico, degradando substancialmente a detecção de objetos 3D sem que as características maliciosas se destaquem das legítimas. Os autores identificam ainda uma fraqueza mais ampla nas defesas atuais baseadas em confiança: como costumam depender de um único sinal de consistência, ficam vulneráveis quando múltiplos atacantes coordenam um "pseudo-consenso" que enviesa a estimativa de confiabilidade coletiva.
Para reagir a esse cenário, os pesquisadores propõem o GLST (Global-Local Structural Trust), que avalia cada colaborador por três ângulos complementares — consistência global das características, consistência residual local em múltiplas escalas, e consistência estrutural com a topologia semântica do próprio veículo — combinando esses sinais para orientar a fusão e suprimir participantes não confiáveis. Em testes no dataset OPV2V, sob um ataque coordenado com quatro atacantes simultâneos, o GLST manteve 0,69 de AP@0.3, enquanto defesas de sinal único se degradaram de forma acentuada; o método também se mostrou eficaz contra ataques baseados em gradiente, como PGD.
O ponto prático é que percepção colaborativa está entrando em sistemas de condução autônoma justamente para cobrir os pontos cegos de cada veículo individual, e um ataque bem-sucedido contra ela não é um erro de classificação abstrato: pode significar que um obstáculo real deixa de ser detectado ou que um objeto fantasma é criado, com consequência direta sobre a segurança física dos ocupantes e de terceiros. O trabalho reforça que confiar em um único sinal de consenso entre veículos conectados é insuficiente diante de atacantes coordenados, algo que fabricantes que já pilotam V2X para ADAS deveriam considerar antes de tratar a fusão de sensores externos como intrinsecamente confiável.