La suplantación del LIDAR podría cegar a los vehículos autónomos ante los obstáculos

Los seres humanos consiguen conducir de forma aceptable utilizando sólo dos ojos y dos oídos para percibir el mundo que les rodea. Los vehículos autónomos están equipados con paquetes de sensores mucho más complejos. Suelen contar con un radar, un lidar, sensores ultrasónicos o cámaras que trabajan conjuntamente para detectar las condiciones de la carretera.

Mientras que los humanos son bastante astutos y difíciles de engañar, nuestros amigos los robots conductores son menos robustos. A algunos investigadores les preocupa que los sensores LiDAR puedan ser falsificados, ocultando obstáculos y engañando a los coches sin conductor para que choquen, o algo peor.

¿Adónde ha ido a parar?

El uso de un láser para enviar ecos falsos a un sensor LiDAR en un vehículo autónomo puede utilizarse para ocultar objetos de su campo de visión. Crédito: Documento de investigación, Cao, Yulong y Bhupathiraju, S. Hrushikesh y Naghavi, Pirouz y Sugawara, Takeshi y Mao, Z. Morley y Rampazzi, Sara

El LiDAR se llama así porque es un equivalente de la tecnología de radar basado en la luz. Sin embargo, a diferencia del radar, suele tratarse como un acrónimo y no como una palabra en sí misma. La tecnología envía pulsos láser y capta la luz reflejada en el entorno. Los pulsos que regresan de los objetos más lejanos tardan más en llegar al sensor LiDAR, lo que permite al sensor determinar el alcance de los objetos que lo rodean.  Suele considerarse el sensor de referencia para la conducción autónoma. Esto se debe a su mayor precisión y fiabilidad en comparación con el radar para la detección de objetos en entornos de automoción. Además, ofrece datos de profundidad muy detallados que simplemente no están disponibles en una cámara 2D normal.

Un nuevo trabajo de investigación ha demostrado un método para engañar a los sensores LiDAR. El método utiliza un láser para ocultar selectivamente ciertos objetos para que no sean "vistos" por el sensor LiDAR. El documento lo denomina "Physical Removal Attack" (Ataque de eliminación física), o PRA.

La teoría del ataque se basa en el funcionamiento de los sensores LiDAR. Normalmente, estos sensores dan prioridad a los reflejos más fuertes sobre los más débiles. Esto significa que una señal potente enviada por un atacante tendrá prioridad sobre un reflejo más débil del entorno. Los sensores LiDAR y los marcos de conducción autónoma que se asientan sobre ellos también suelen descartar las detecciones por debajo de una determinada distancia mínima al sensor. Ésta suele ser del orden de 50 mm a 1000 mm de distancia.

El ataque funciona disparando pulsos láser infrarrojos que imitan los ecos reales que el dispositivo LiDAR espera recibir. Los pulsos se sincronizan para que coincidan con el tiempo de disparo del sensor LiDAR víctima, con el fin de controlar la ubicación percibida de los puntos falsos por el sensor. Al disparar pulsos láser brillantes para imitar los ecos en el sensor, éste suele ignorar los ecos reales más débiles recogidos de un objeto en su campo de visión. Esto, por sí solo, puede ser suficiente para ocultar el obstáculo al sensor LiDAR, pero parecería crear un objeto falsificado muy cerca del sensor. Sin embargo, dado que muchos sensores LiDAR descartan los retornos de eco excesivamente cercanos, es probable que el sensor los descarte por completo. Si el sensor no descarta los datos, el software de filtrado que se ejecuta en la salida de su nube de puntos puede hacerlo por sí mismo. El efecto resultante es que el LiDAR no mostrará datos válidos de la nube de puntos en un área en la que debería detectar un obstáculo.

El ataque requiere algunos conocimientos, pero es sorprendentemente práctico de lograr. Basta con investigar los distintos tipos de LiDAR utilizados en los vehículos autónomos para crear un aparato de falsificación adecuado. El ataque funciona incluso si el atacante está disparando ecos falsos hacia el LiDAR desde un ángulo, como por ejemplo desde el lado de la carretera.

La imagen superior muestra la escena del LiDAR en condiciones normales. La imagen inferior muestra la escena con un ataque de eliminación física en curso. En un pequeño segmento del recorrido rotacional del LiDAR, se ignoran los ecos falsos por debajo del umbral de distancia mínima del sensor. Así, durante un segmento de la rotación del LiDAR, no se detectan puntos y el peatón en la carretera queda oculto. Crédito: Documento de investigación, Cao, Yulong y Bhupathiraju, S. Hrushikesh y Naghavi, Pirouz y Sugawara, Takeshi y Mao, Z. Morley y Rampazzi, Sara

Esto tiene implicaciones peligrosas para los sistemas de conducción autónoma que dependen de los datos de los sensores LiDAR. Esta técnica podría permitir a un adversario ocultar obstáculos a un coche autónomo. Los peatones en un paso de peatones podrían quedar ocultos al LiDAR, al igual que los coches parados en un semáforo. Si el coche autónomo no "ve" un obstáculo, puede seguir adelante y pasar por encima de él, o chocar con él. Con esta técnica, es más difícil ocultar los objetos más cercanos que los más lejanos. Sin embargo, ocultar un objeto, incluso durante unos segundos, podría dejar al vehículo autónomo con muy poco tiempo para detenerse cuando finalmente detecte un obstáculo oculto.

Además de borrar objetos de la vista de un LiDAR, también son posibles otros ataques de suplantación. En trabajos anteriores, los investigadores han engañado a los sensores LiDAR para que vean objetos fantasma. Esto es muy sencillo de conseguir: sólo hay que transmitir pulsos láser hacia un LiDAR víctima que indique un muro u otro obstáculo.

El equipo de investigación señala que existen algunas defensas contra esta técnica. El ataque tiende a cortar un trozo angular de la nube de puntos del LiDAR. La detección de este hueco puede indicar que se está produciendo un ataque de eliminación. Como alternativa, existen métodos que consisten en comparar las sombras con las que se espera que proyecten los objetos detectados (o no) en la nube de puntos LiDAR.

En general, la protección contra los ataques de suplantación de identidad podría ser importante a medida que los coches autoconducidos se generalicen. Al mismo tiempo, es importante contemplar lo que es y lo que no es realista para defenderse. Por ejemplo, los conductores humanos son susceptibles de estrellarse cuando sus coches son golpeados con huevos o piedras lanzadas desde un paso elevado. Los fabricantes de automóviles no diseñaron láseres avanzados contra las rocas ni superlimpiaparabrisas para eliminar las manchas de huevos. En su lugar, se aplican leyes para desalentar estos ataques. Puede ser simplemente una cuestión de extender una aplicación similar a los malos actores que corren con complicados equipos láser en el lado de la carretera. Con toda probabilidad, será necesario un cierto grado de ambos enfoques.

Alberto Gimenez
Alberto Gimenez

Deja una respuesta

Tu dirección de correo electrónico no será publicada.