Difúzny útok na LiDAR testuje slabiny segmentácie v autonómnej jazde

Bezpečnosť autonómnych vozidiel nestojí iba na tom, či model bežne rozpozná cestu, chodník alebo vozidlo. Dôležité je aj to, ako sa správa pri cielene vytvorených, no stále realisticky vyzerajúcich vstupoch. Nový preprint „Adversarially Guided Diffusion for LiDAR Range Image Synthesis“ sa zameriava práve na túto hranicu. Autori navrhujú difúzny spôsob generovania LiDAR range images, ktoré zostávajú blízko naučenému rozdeleniu dát, ale zároveň cielene zhoršujú výstup segmentačných modelov.

LiDAR range image je dvojrozmerná projekcia 3D bodového mraku z laserového snímača. Pre model segmentácie je praktická, pretože umožňuje spracovať priestorové merania podobne ako obraz, no stále reprezentuje fyzické okolie vozidla. Ak segmentačný model v takejto reprezentácii zle označí cestu, objekt alebo prekážku, chyba sa môže preniesť do plánovania a rozhodovania. Preto sú útoky na tento typ vnímania dôležité aj vtedy, keď zatiaľ nejde o priamy návod na reálny fyzický útok.

Doterajšie adversariálne testy sa často opierali o obmedzené perturbácie: vstup sa trochu zmení tak, aby zmiatol model, ale zmena je viazaná na normu alebo malé odchýlky. Autori nového preprintu hovoria o „unrestricted“ adversariálnych príkladoch. To znamená, že sa nesnažia iba nepatrne upraviť existujúci vstup, ale generovať nový vzor cez difúzny model tak, aby bol realistický a zároveň tlačil segmentačnú sieť k štruktúrovaným chybám. Adversariálne vedenie pritom vychádza zo segmentačnej straty počas samotného vzorkovania.

Experimenty sú postavené na datasete SemanticKITTI a dvoch segmentačných sieťach RangeNet++ a CENet. Podľa abstraktu útok umožňuje nastaviteľne zhoršovať výsledky podľa sily vedenia a čiastočne sa prenáša medzi architektúrami. To je dôležité, pretože útok, ktorý funguje iba na jednom presne známom modeli, je slabším signálom než útok, ktorý dokáže ovplyvniť aj inú sieť. Autori ho porovnávajú s normovo obmedzenými baseline metódami FGSM a SegPGD a zdôrazňujú odlišný kompromis medzi účinnosťou a realizmom výstupu.

Pre prax je podstatné, že takýto výskum môže slúžiť ako tvrdší test segmentačných systémov. Ak tím vyvíja percepciu pre vozidlo, robot alebo priemyselný stroj, bežné validačné metriky na testovacej množine nemusia odhaliť, aké typy štruktúrovaných chýb sú modelu blízke. Generatívny útok môže vytvoriť prípady, ktoré nie sú náhodným šumom, ale cielene hľadanými slabinami v priestore realistických LiDAR vstupov. Takéto prípady môžu potom poslúžiť na audit, tréning robustnosti alebo porovnanie architektúr.

Zároveň treba rozlišovať medzi digitálnym benchmarkom a fyzickým svetom. Preprint neznamená, že útočník vie jednoducho vytvoriť reálne cestné prostredie, ktoré presne zodpovedá generovanej range image. Fyzická manipulácia s LiDAR scénou, materiálmi, odrazmi a pohybom je oveľa zložitejšia. Význam práce je skôr v bezpečnostnom modelovaní: ukazuje, že pri realistickejšom generovaní vstupov môžu vzniknúť štruktúrované chyby, ktoré bežné malé perturbácie nemusia pokryť.

Pre výskum multimodálnych a robotických modelov je zaujímavé aj spojenie difúznych modelov s bezpečnostným testovaním. Difúzia sa často spája s generovaním obrazov alebo videa, no tu sa používa ako nástroj na hľadanie náročných senzorických príkladov. Takýto smer môže byť užitočný aj mimo LiDARu: pri radaroch, medicínskych snímkach, satelitných dátach alebo priemyselných senzoroch, kde je potrebné vedieť, či model zlyháva náhodne alebo v systematických oblastiach dátového priestoru.

Najväčší praktický prínos preto nespočíva v samotnom útoku, ale v metodike testovania. Ak bezpečnostný tím dokáže generovať realistické, riaditeľne ťažké prípady a merať prenos medzi modelmi, dostane lepší obraz o tom, kde je segmentácia krehká. To môže viesť k prísnejším evaluačným sadám, lepšiemu tréningu na okrajových prípadoch a opatrnejšiemu nasadzovaniu modelov v systémoch, kde chyba v percepcii nie je len estetický problém.

Pre čitateľa mimo autonómnej jazdy je správa širšia: generatívne modely sa stávajú nástrojom nielen na tvorbu obsahu, ale aj na systematické hľadanie slabín iných modelov. V oblastiach s vysokým rizikom to môže byť užitočné, ak sa používa ako obranný benchmark a nie ako izolovaná demonštrácia útoku. Práca prijatá na workshop Secure and Trustworthy AI pri ECML PKDD 2026 tak zapadá do rastúcej kategórie výskumu, ktorý skúša, ako merať robustnosť AI systémov predtým, než sa stanú súčasťou fyzickej infraštruktúry.