L4級自動駕駛就能解放人類？

未必。

不久前，全球31家自動駕駛公司接到了同一支科研團隊的通知：

你們(men) 的L4，有重大缺陷。

缺陷集中在多傳(chuan) 感器融合方案，3D打印的路障，能騙過9成以上的激光雷達和ADS係統。

所謂多傳(chuan) 感器融合，其實融合了個(ge) 寂寞。

主流L4方案，幾乎無一幸免。

這麽(me) 嚴(yan) 重的自動駕駛算法漏洞，是由中美聯合團隊發現，其中既有高校研究者，也有來自英偉(wei) 達、百度、嬴徹科技的產(chan) 業(ye) 界大咖。

相關(guan) 論文，不久前入選計算機安全頂會(hui) IEEE S&P 2021。

1 L4識別障礙物失敗率超九成

問題就出在了融合方案上。

在自動駕駛係統裏，實時「感知」周圍物體(ti) ，是所有重要駕駛決(jue) 策的最基本前提。感知模塊負責實時檢測路上的障礙物，比如：周圍車輛，行人，交通錐 （雪糕筒）等等，

目前各個(ge) 公司研製的高級別（L4）無人車係統，普遍采用多傳(chuan) 感器融合的設計，即融合不同的感知源，比如激光雷達（LiDAR）和攝像頭（camera），從(cong) 而實現準確並且高冗餘(yu) 的感知。

這樣的設計，前安全冗餘(yu) 的出發點是各個(ge) 感知源不被同時攻擊，所以總是存在一種可能的多傳(chuan) 感器融合算法，依靠未被攻擊的傳(chuan) 感器來確保安全。

這個(ge) 基本的安全設計假設在一般情況下是成立的，然而研究團隊發現，出了實驗室，在現實世界中，這種多傳(chuan) 感器融合的障礙物感知存在漏洞。

同時攻擊不同的感知源，或者攻擊單個(ge) 感知源，都能使無人車無法識別障礙物並直接撞上去。

為(wei) 了評估這一漏洞的嚴(yan) 重性，團隊設計了MSF-ADV攻擊，它可以在給定的基於(yu) 多傳(chuan) 感器融合的無人車感知算法中自動生成上述的惡意3D障礙。

這個(ge) 係統的特點是有效性、魯棒性、隱蔽性，以及能在現實中實現。

測試結果顯示，在不同的障礙物類型和多傳(chuan) 感器融合算法中，攻擊實現了>=91%的成功率。

同時團隊還發現，係統生成的惡意3D障礙物，從(cong) 駕駛者的角度看是隱蔽的，完全模擬現實情況；此外，對不同的被攻擊車的位置和角度都有效，平均成功率>95%。

L4算法的失敗率超過九成，還敢用嗎？

2 為(wei) 什麽(me) 嚴(yan) 重？

實驗室裏把L4係統“折磨”的焦頭爛額，有什麽(me) 實際意義(yi) ？

當然有了。

研究團隊設計實驗的一個(ge) 基本出發點就是能在現實世界中複現，實際上，團隊也這麽(me) 做了。

在安裝了激光雷達和攝像頭的實車測試中，係統對於(yu) 3D打印、表麵經過處理的交通錐識別失敗率高達99.1%。

這種狀況的原因是人為(wei) 處理的惡意障礙物，對於(yu) 物體(ti) 表麵做了特殊處理，雷達回波信號發生了變化，係統無法識別。

而所謂多冗餘(yu) 的視覺係統，也沒能做出補救。

另外，在對百度Apollo自動駕駛的測試中，出現了100%識別失敗的情況。

這個(ge) 漏洞帶來的危害和隱患是巨大的。首先因為(wei) 它很容易在物理世界中實現和部署。

攻擊者可以利用3D建模構建這類障礙物，並進行3D打印。目前市麵上有很多在線3D打印服務，甚至不需要購置3D打印設備。

其次它可以高仿合法出現在道路上的障礙物，比如交通錐。而攻擊者可以在物體(ti) 中填充水泥、金屬等等，重量輕鬆超過100公斤，高度迷惑、又能造成嚴(yan) 重的碰撞後果。

另外，攻擊者還可以利用道路障礙物的功能設計一種僅(jin) 針對無人車的攻擊：將釘子或玻璃碎片放在生成的惡意障礙物後麵，這樣，人類駕駛員能夠正常識別交通錐並繞行，而無人車則會(hui) 忽視交通錐然後爆胎。

在這種情況下，惡意的障礙物體(ti) 可以像普通交通錐體(ti) 一樣小而輕，以使其更容易3D打印、攜帶和部署。

3 多感知融合不是萬(wan) 全之策

這項研究的主要價(jia) 值在於(yu) 讓大家意識到多傳(chuan) 感器融合感知同樣存在安全問題。

自動駕駛研發團隊一直把多傳(chuan) 感器融合作為(wei) 對抗單個(ge) 傳(chuan) 感器攻擊的有效防禦手段，但這篇文章證明傳(chuan) 感器“堆料”不能從(cong) 根本上防禦對自動駕駛係統的攻擊。

一般車上都有的緊急刹車係統可以防禦這種攻擊嗎？

可以減少風險，但不能完全防止。

自動駕駛係統的存在意義(yi) ，就在於(yu) 自行處理盡可能多的安全隱患，而不是依賴緊急刹車係統。

緊急刹車係統永遠也不應該用來代替自動駕駛本身的功能。

所以唯一的方法是自動駕駛供應商們(men) 要想辦法在係統層麵上解決(jue) 漏洞。

目前團隊已經聯係了31家自動駕駛公司，其中大部分都表示將對自家的產(chan) 品重新評估。

4 產(chan) 業(ye) 界學界聯合成果

本研究作者團隊，一共有9名研究人員。

其中，四位同等貢獻第一作者來自加州大學爾灣分校，密西根大學安娜堡分校，亞(ya) 利桑那州立大學和英偉(wei) 達Research。分別是Ningfei Wang, Yulong Cao, Chaowei Xiao和Dawei Yang。

三位教授分別是Qi Alfred Chen, Mingyan Liu, Bo Li

此外還有兩(liang) 位來自產(chan) 業(ye) 界的研究人員，分別是百度深度學習(xi) 技術與(yu) 應用研究和國家工程實驗室的Jin Fang和嬴徹科技CTO楊睿剛。