시각 인식 위협 분석 및 탐지를 위한 AD²

초록

**
본 논문은 엔드‑투‑엔드 자율주행 시스템의 시각 인식 파이프라인을 대상으로 물리·전자·디지털 3가지 블랙박스 공격을 CARLA 시뮬레이터에서 폐쇄‑루프 평가한다. Transfuser와 Interfuser 두 최신 에이전트는 공격 시 주행 점수가 최대 99 % 감소하는 심각한 취약성을 보였다. 이를 완화하기 위해 공간‑시간 일관성을 활용한 경량 공격 탐지기 AD²를 제안하고, 다중 카메라 입력에서 기존 방법 대비 높은 탐지 정확도와 낮은 연산 비용을 입증하였다.

**

상세 분석

**
본 연구는 자율주행 분야에서 아직 충분히 다루어지지 않은 엔드‑투‑엔드 모델의 전체 파이프라인에 대한 적대적 강건성 평가를 수행한다는 점에서 의미가 크다. 먼저 저자는 물리 기반 블러 공격(Poltergeist), 전자기 간섭 공격(ESIA), 그리고 디지털 고스트 객체 삽입 공격(SNAL)이라는 세 가지 대표적인 위협 벡터를 정의하고, 각각을 시뮬레이션 환경에 맞게 구현하였다. 특히 물리‑기반 공격은 실제 음향 파동이나 전자기 파가 카메라 이미지 센서에 미치는 영향을 이미지 블러와 색상 스트립 형태로 재현함으로써, 기존 연구가 주로 디지털 화이트박스 공격에 국한된 점을 보완한다.

폐쇄‑루프 실험에서는 CARLA 시뮬레이터에서 제공하는 다양한 주행 시나리오(도시, 교외, 복합 교통 상황 등)에서 두 최신 에이전트(Transfuser, Interfuser)를 평가하였다. 공격은 연속적 적용과 간헐적 적용 두 가지 패턴으로 나누어, 지속적인 교란과 순간적인 교란이 각각 에이전트의 행동에 미치는 영향을 정량화했다. 결과는 놀라울 정도로 일관되었다. 물리‑기반 블러와 전자기 간섭은 이미지의 전반적인 품질을 저하시켜, 라이다·레이다·IMU 등 다른 센서와의 융합 과정에서 발생하는 잠재적 보정 메커니즘을 무력화한다. 디지털 고스트 객체 삽입은 특히 객체 검출과 경로 계획 단계에서 오탐지를 유발해, 차량이 불필요한 회피 동작을 하거나 급정거하는 상황을 초래한다. 가장 극단적인 경우, 주행 점수가 99 %에 달할 정도로 성능이 붕괴되었으며, 이는 실제 도로에서의 안전성을 심각하게 위협한다는 점을 강조한다.

이러한 위협을 완화하기 위해 제안된 AD² 탐지기는 두 가지 핵심 아이디어에 기반한다. 첫째, 다중 카메라(좌·중·우) 간의 시공간 겹침 영역에서 발생하는 공간적 일관성을 transformer 기반 어텐션 메커니즘으로 학습한다. 정상 상황에서는 서로 다른 카메라가 공유하는 시야에서 유사한 특징 맵을 생성하지만, 공격이 가해지면 이 일관성이 깨진다. 둘째, 연속 프레임 간 시간적 일관성을 검증하기 위해 두 시점의 특징 벡터를 입력으로 하는 temporal transformer를 도입한다. 급격한 특징 변화는 대부분 공격에 의해 유발되므로, 이를 효과적으로 포착한다.

모델 아키텍처는 경량 ResNet‑18 백본으로 각 카메라 이미지를 64‑차원 특징 벡터로 압축하고, 이후 spatial transformer와 temporal transformer를 차례로 적용한다. 각 transformer는 단일 multi‑head self‑attention 레이어(4 heads)와 클래스 토큰을 사용해 전역 관계를 요약한다. 최종 분류 헤드는 4‑클래스(benign, Poltergeist, SNAL, ESIA) 소프트맥스 출력을 제공한다. 실험 결과, AD²는 평균 정확도 94 % 이상을 달성했으며, FLOPs 기준 기존 이미지‑기반 탐지기 대비 2배 이상 효율적이었다. 또한, 내부 모듈이나 latent representation에 접근할 필요가 없으므로, 기존 자율주행 스택에 비침투적으로 통합할 수 있다.

본 논문의 한계로는 (1) 시뮬레이션 기반 공격 재현이 실제 물리적 환경에서의 복잡성을 완전히 반영하지 못할 가능성, (2) 탐지기가 공격 종류를 정확히 구분하는 데는 성공하지만, 새로운 미지의 공격에 대한 일반화 능력은 추가 검증이 필요함을 들 수 있다. 향후 연구는 실제 차량에 탑재된 카메라에 대한 실험, 그리고 적응형 공격에 대한 방어 메커니즘을 강화하는 방향으로 진행될 수 있다.

**