Padrões repetitivos simples enganam câmeras estéreo e podem forçar frenagem de emergência em carros autônomos
Pesquisadores demonstram que câmeras estéreo e modelos de deep learning para estimativa de profundidade -- usados em carros autônomos, drones e robôs -- podem ter a distância de obstáculos manipulada em até 20 metros usando padrões visuais repetitivos simples, sem qualquer técnica sofisticada de machine learning adversarial. Um ataque de meio segundo já foi suficiente para disparar frenagem de emergência em um framework real de direção autônoma, e as defesas existentes se mostraram ineficazes.
Câmeras estéreo estimam profundidade comparando a mesma cena vista por dois sensores ligeiramente deslocados, casando pontos correspondentes entre as duas imagens (correspondência estéreo) para calcular a disparidade e, a partir dela, a distância. O artigo revela que esse processo de amostragem de pixels e calibração tem uma fraqueza estrutural: um padrão visual repetitivo e bem projetado -- por exemplo, impresso em um cartaz ou adesivo colocado no ambiente -- confunde o algoritmo de correspondência, fazendo com que ele associe pontos errados entre as duas imagens e, com isso, produza uma estimativa de distância completamente diferente da real.
O que torna essa descoberta mais preocupante do que um ataque adversarial típico é que ela não depende de otimização contra os pesos de uma rede neural específica: os pesquisadores mostram que o mesmo princípio de padrão repetitivo engana tanto algoritmos clássicos (BM e SGBM) quanto modelos de deep learning modernos (PSMNet, MoCha-Stereo, UniMatch) e até um sistema de fusão estéreo-LiDAR (SGM-DDC), além de duas câmeras comerciais amplamente usadas (ZED2 e Intel RealSense D435). Isso indica uma vulnerabilidade de baixo nível compartilhada por toda a família de sistemas de visão estéreo, e não um bug isolado de um modelo.
Os números de impacto são concretos: na câmera ZED2, o atacante consegue fazer um obstáculo parecer até 20 metros mais longe ou 12 metros mais perto do que realmente está. Em teste com um framework real de condução autônoma, meio segundo de exposição ao padrão já foi suficiente para acionar frenagem de emergência, e a viabilidade do ataque em velocidades de até 40 km/h foi confirmada em simulação CARLA -- ou seja, o cenário de risco não é hipotético, é reproduzível em condições próximas de uso real.
O artigo também testa defesas do estado da arte e as considera ineficazes contra esse tipo específico de manipulação, propondo em vez disso uma abordagem baseada em score de similaridade para detectar e suprimir dinamicamente discrepâncias de profundidade suspeitas. Para fabricantes de veículos autônomos, drones e robótica que dependem de câmeras estéreo como alternativa mais barata ao LiDAR, isso é um lembrete de que ataques físicos simples e baratos (um adesivo, um padrão impresso) podem ser mais práticos e mais difíceis de mitigar do que perturbações adversariais digitais sofisticadas.