DOI: https://doi.org/10.1109/tdsc.2026.3693684
تاريخ النشر: 2026-05-18
المؤلف: Yihang Tao وآخرون
الموضوع الرئيسي: الصلابة ضد الهجمات في تعلم الآلة
نظرة عامة
تتناول ورقة البحث الثغرات في أنظمة الإدراك التعاوني (CP) في القيادة الذاتية، لا سيما في سياق هجمات الرسائل العدائية. تقدم طريقة هجوم جديدة تُسمى تشويش المنطقة العمياء (BAC)، والتي تستغل قيود آليات الكشف الحالية المعتمدة على القيم الشاذة من خلال استخدام تحسين الاضطراب المحلي في المناطق العمياء. يبرز المؤلفون أن الدفاعات الحالية تفشل في أخذ الارتباطات الزمنية للرسائل في الاعتبار، مما يجعلها عرضة للتلاعبات الدقيقة.
لمواجهة هذه الثغرات، تقترح الورقة إطار العمل الإدراك التعاوني المحمي (GCP)، الذي يدمج التحليل المكاني والزمني لتحسين الكشف عن الوكلاء الخبيثين. يستخدم GCP خسارة توافق مكاني مقاسة بالثقة لضمان الاتساق المكاني ويستخدم مشفر الذاكرة الطويلة والقصيرة (LSTM-AE) لإعادة بناء تدفقات الحركة التاريخية في المناطق ذات الثقة المنخفضة. بالإضافة إلى ذلك، يتم تنفيذ اختبار بنجاميني-هوشبرغ المكاني الزمني المشترك لتوليف نتائج الشذوذ، مما يؤدي إلى تحسين موثوقية الكشف. تشير النتائج التجريبية إلى أن GCP يتفوق على استراتيجيات الدفاع CP الحالية، محققًا تحسينًا يصل إلى 34.69% في الدقة المتوسطة تحت هجمات BAC، بينما يحافظ أيضًا على تحسينات متسقة ضد أنواع الهجمات الأخرى. تؤكد النتائج على أهمية التحليل المكاني الزمني في تعزيز أنظمة CP لتطبيقات القيادة الذاتية المستقبلية.
مقدمة
تستعرض مقدمة ورقة البحث المفاهيم الأساسية والدوافع وراء الدراسة. تؤكد على أهمية الموضوع في السياق الأوسع للمجال، مشددة على الفجوات الموجودة في الأدبيات التي تهدف الأبحاث الحالية إلى معالجتها. يقدم المؤلفون الأهداف الرئيسية والافتراضات، مما يمهد الطريق للمنهجيات والتحليلات التي ستتبع في الأقسام اللاحقة.
بالإضافة إلى ذلك، قد تلخص المقدمة بإيجاز الأطر النظرية ذات الصلة أو الدراسات السابقة التي تُعلم البحث، مما يضع مبررًا واضحًا للتحقيق. من خلال القيام بذلك، تؤكد على المساهمات المحتملة للدراسة في كل من الخطاب الأكاديمي والتطبيقات العملية ضمن المجال.
الطرق
في هذا القسم، يوضح المؤلفون منهجية الهجوم المستخدمة في دراستهم، مع التركيز على نموذج الإدراك التعاوني (CP) الذي يتضمن مجموعة من المركبات المتصلة والآلية (CAVs). يمكن لكل CAV، الممثل بـ $N$، الحفاظ على ما يصل إلى $K$ رسائل تعاون تاريخية. يتم تمثيل الملاحظة الخام لـ CAV رقم $i$ في الوقت $t_i$ كـ $O_{i}^{t_i}$، ويولد مشفر الميزات المدرب مسبقًا $\Phi_{i}^{enc}$ خريطة ميزات وسيطة $F_{i}^{t_i} = \Phi_{i}^{enc}(O_{i}^{t_i})$. تُشير رسالة التعاون من CAV رقم $m$ إلى CAV رقم $i$ كـ $F_{m \to i}^{t_i}$. يتم حساب مخرجات CP لـ CAV رقم $i$ باستخدام مجمع الميزات $f_{i}^{agg}(\cdot)$ ومفكك الميزات $\Phi_{i}^{dec}(\cdot)$، مما يؤدي إلى التعبير:
\[
Y_{i}^{t_i} = \Phi_{i}^{dec} \left( f_{i}^{agg} \{ F_{m \to i}^{t_i}, F_{m \to i}^{t_{i-1}}, \ldots, F_{m \to i}^{t_{i-k}} \} \right) \quad \text{لـ } N_{m=1}^{N}.
\]
يشير المؤلفون إلى أن الطوابع الزمنية التاريخية لا تحتاج إلى أن تكون متباعدة بشكل متساوٍ، وعندما يكون $k=0$، تعتمد مخرجات CP فقط على الملاحظات الحالية، مما قد يؤدي إلى انخفاض الأداء مقارنة بالمنهجيات الحالية مثل ROBOSAC و MADE.
تسلط المنهجية الضوء أيضًا على الثغرات في العملية التعاونية عندما تكون الوكلاء الخبيثون، الممثلون بـ $M_{t_i} \subseteq N$، موجودين. يمكن لهؤلاء الوكلاء التلاعب بملاحظاتهم الخام لإنشاء اضطرابات عدائية $\delta$، بهدف زيادة الفجوة بين مخرجات CP المضطربة $Y_{j}^{t_j \delta}$ والواقع $Y_{j}^{t_j gt}$، مقيدًا بحد أقصى لمدى الاضطراب $\Delta_i$. يتم صياغة مشكلة التحسين كالتالي:
\[
\arg \max_{\delta} L(Y_{j}^{t_j \delta}, Y_{j}^{t_j gt}), \quad \text{s.t. } \|\delta\| \leq \Delta_i.
\]
تم تصميم هذه الاستراتيجية العدائية لتقليل دقة الإدراك لـ CAV المستهدف.
النتائج
يقدم قسم النتائج كل من النتائج الكمية والنوعية المتعلقة بهجوم BAC على مجموعة بيانات V2X-Sim. يتم توضيح خط أنابيب الهجوم في الشكل 7، حيث يحدد الوكيل الخبيث النقاط العمياء من خلال تحليل الإدراك المحلي للضحية ورسائل التعاون. يؤدي هذا التحليل إلى إنشاء خريطة بذور أولية، والتي يتم تحسينها لاحقًا إلى قناع ثقة BAC لتوجيه الاضطرابات المستهدفة. يتم تلخيص قابلية تعميم GCP عبر نماذج CP المختلفة في الجدول VIII، مما يظهر أن هجوم BAC يتفوق باستمرار على الطرق التقليدية (PGD، C&W، BIM) من حيث الدقة المتوسطة (AP) عند عتبات مختلفة، مما يشير إلى فعاليتها في استغلال الثغرات في أنظمة الإدراك التعاوني.
بالإضافة إلى ذلك، تسلط تصور أداء الدفاع في الشكل 5 الضوء على أنه بينما تنتج الهجمات التقليدية اضطرابات ملحوظة، يظل هجوم BAC خفيًا، مما يؤدي إلى تقليل كبير في أداء النماذج الأساسية مثل ROBOSAC و MADE. في المقابل، تُظهر طريقة GCP قدرات كشف قوية من خلال التحقق من الاتساق المكاني الزمني. علاوة على ذلك، يكشف الشكل 8 أن الوكلاء تحت هجوم BAC يظهرون خسائر أعلى في إعادة بناء تدفق BEV وعدم اتساق زمني مقارنة بالوكلاء العاديين، مما يشير إلى أن هذه المقاييس يمكن أن تعمل كمؤشرات موثوقة للكشف عن الهجمات الخفية.
المناقشة
تؤكد قسم المناقشة في الورقة على مزايا الإدراك التعاوني (CP) في تعزيز قدرات الإدراك للمركبات المتصلة والآلية (CAVs) من خلال تمكين تبادل المعلومات بينها. يُحسن هذا النهج التعاوني بشكل كبير من الكشف عن الأجسام المحجوبة، مما يزيد من السلامة في القيادة الذاتية. ومع ذلك، يبرز المؤلفون الثغرات في أنظمة CP الحالية، لا سيما فيما يتعلق بالهجمات العدائية التي تستغل انفتاح قنوات الاتصال. تفشل آليات الدفاع التقليدية، مثل مصادقة الرسائل، في حماية ضد الوكلاء الشرعيين الم compromised الذين يمكنهم إدخال رسائل خبيثة. تقدم الورقة هجومًا عدائيًا جديدًا يُسمى هجوم تشويش المنطقة العمياء (BAC)، والذي يستهدف المناطق الأقل ثقة في إدراك المركبة الذاتية، متجاوزًا بفعالية طرق الكشف المعتمدة على القيم الشاذة الحالية.
لمواجهة هذه التهديدات، يقترح المؤلفون إطار دفاع جديد يُسمى GCP، الذي يدمج كل من المعلومات المكانية والزمنية للكشف عن الوكلاء الخبيثين. يستخدم GCP خسارة توافق مكاني مقاسة بالثقة ومشفر الذاكرة الطويلة والقصيرة (LSTM-AE) لفحص الاتساق الزمني. يعزز هذا النهج الثنائي من قوة أنظمة CP ضد الهجمات المتطورة من خلال الاستفادة من البيانات التاريخية لتحديد السلوك الشاذ على مر الزمن. تُظهر النتائج التجريبية أن GCP يتفوق على طرق الدفاع الحالية، محققًا تحسينات كبيرة في دقة الكشف تحت هجمات BAC الشديدة بينما يحافظ على الفعالية ضد استراتيجيات عدائية أخرى. بشكل عام، تؤكد النتائج على ضرورة دمج المعرفة الزمنية في آليات دفاع CP لمعالجة المشهد المتطور للتهديدات العدائية.
القيود
تقتصر الأبحاث الحالية على معالجة الهجمات العدائية غير المستهدفة دون دمج التحسين الزمني. يترك هذا التركيز فجوة في فهم كيفية تمكن الهجمات المتقدمة “البطيئة” التي قد تخلق مسارات طويلة الأجل متسقة زمنياً من التهرب من الكشف في أنظمة متعددة الوكلاء في الوقت الحقيقي. لقد أعاقت التعقيدات المرتبطة بالتحسين لهذه الأنواع من الهجمات استكشافها ضمن هذا السياق.
يجب أن تعطي الأعمال المستقبلية الأولوية للتحقيق في إمكانية هذه التهديدات الخفية وتطوير آليات دفاع فعالة ضدها. سيساهم معالجة هذه القيود في تعزيز قوة أنظمة متعددة الوكلاء ضد مجموعة أوسع من الاستراتيجيات العدائية.
DOI: https://doi.org/10.1109/tdsc.2026.3693684
Publication Date: 2026-05-18
Author(s): Yihang Tao et al.
Primary Topic: Adversarial Robustness in Machine Learning
Overview
The research paper addresses the vulnerabilities of collaborative perception (CP) systems in autonomous driving, particularly in the context of adversarial message attacks. It introduces a novel attack method termed blind area confusion (BAC), which exploits the limitations of existing outlier-based detection mechanisms by utilizing local perturbation optimization in blind regions. The authors highlight that current defenses fail to account for temporal message correlations, making them susceptible to subtle manipulations.
To counteract these vulnerabilities, the paper proposes the Guarded Collaborative Perception (GCP) framework, which integrates spatial and temporal analysis for enhanced malicious agent detection. GCP employs a confidence-scaled spatial concordance loss to ensure spatial consistency and utilizes long short-term memory autoencoder (LSTM-AE) for reconstructing historical motion flows in low-confidence areas. Additionally, a joint spatial-temporal Benjamini-Hochberg test is implemented to synthesize anomaly results, leading to improved detection reliability. Experimental results indicate that GCP outperforms existing CP defense strategies, achieving up to a 34.69% improvement in average precision under BAC attacks, while also maintaining consistent enhancements against other attack types. The findings underscore the importance of spatial-temporal analysis in fortifying CP systems for future autonomous driving applications.
Introduction
The introduction of the research paper outlines the foundational concepts and motivations behind the study. It emphasizes the significance of the topic in the broader context of the field, highlighting existing gaps in the literature that the current research aims to address. The authors present key objectives and hypotheses, setting the stage for the methodologies and analyses that will follow in subsequent sections.
Additionally, the introduction may briefly summarize relevant theoretical frameworks or prior studies that inform the research, establishing a clear rationale for the investigation. By doing so, it underscores the potential contributions of the study to both academic discourse and practical applications within the domain.
Methods
In this section, the authors outline the attack methodology employed in their study, focusing on the collaborative perception (CP) model involving a set of connected and automated vehicles (CAVs). Each CAV, denoted as $N$, can maintain up to $K$ historical collaboration messages. The raw observation for the $i$-th CAV at time $t_i$ is represented as $O_{i}^{t_i}$, and a pre-trained feature encoder $\Phi_{i}^{enc}$ generates an intermediate feature map $F_{i}^{t_i} = \Phi_{i}^{enc}(O_{i}^{t_i})$. The collaboration message from the $m$-th CAV to the $i$-th CAV is denoted as $F_{m \to i}^{t_i}$. The CP output for the $i$-th CAV is computed using a feature aggregator $f_{i}^{agg}(\cdot)$ and a feature decoder $\Phi_{i}^{dec}(\cdot)$, resulting in the expression:
\[
Y_{i}^{t_i} = \Phi_{i}^{dec} \left( f_{i}^{agg} \{ F_{m \to i}^{t_i}, F_{m \to i}^{t_{i-1}}, \ldots, F_{m \to i}^{t_{i-k}} \} \right) \quad \text{for } N_{m=1}^{N}.
\]
The authors note that the historical timestamps do not need to be evenly spaced, and when $k=0$, the CP output relies solely on the current observations, which may lead to reduced performance compared to existing methodologies like ROBOSAC and MADE.
The methodology also highlights vulnerabilities in the collaborative process when malicious agents, denoted as $M_{t_i} \subseteq N$, are present. These agents can manipulate their raw observations to create adversarial perturbations $\delta$, aiming to maximize the discrepancy between the perturbed CP output $Y_{j}^{t_j \delta}$ and the ground truth $Y_{j}^{t_j gt}$, constrained by a maximum perturbation amplitude $\Delta_i$. The optimization problem is formulated as:
\[
\arg \max_{\delta} L(Y_{j}^{t_j \delta}, Y_{j}^{t_j gt}), \quad \text{s.t. } \|\delta\| \leq \Delta_i.
\]
This adversarial strategy is designed to degrade the perception accuracy of the targeted CAV.
Results
The results section presents both quantitative and qualitative findings regarding the BAC attack on the V2X-Sim dataset. The attack pipeline is illustrated in Figure 7, where the malicious agent identifies blind spots by analyzing the victim’s local perception and collaborative messages. This analysis leads to the creation of an initial seed map, which is further refined into a BAC confidence mask to guide targeted perturbations. The generalizability of the GCP across different CP models is summarized in Table VIII, showing that the BAC attack consistently outperforms conventional methods (PGD, C&W, BIM) in terms of Average Precision (AP) at various thresholds, indicating its effectiveness in exploiting vulnerabilities in collaborative perception systems.
Additionally, the visualization of defense performance in Figure 5 highlights that while traditional attacks produce noticeable perturbations, the BAC attack remains stealthy, significantly degrading the performance of baseline models such as ROBOSAC and MADE. In contrast, the GCP method demonstrates robust detection capabilities through spatial-temporal consistency verification. Furthermore, Figure 8 reveals that agents under BAC attack exhibit higher BEV flow reconstruction losses and temporal inconsistencies compared to normal agents, suggesting that these metrics can serve as reliable indicators for detecting stealthy attacks.
Discussion
The discussion section of the paper emphasizes the advantages of Collaborative Perception (CP) in enhancing the perception capabilities of connected and autonomous vehicles (CAVs) by enabling information sharing among them. This collaborative approach significantly improves the detection of occluded objects, thereby increasing safety in autonomous driving. However, the authors highlight vulnerabilities in current CP systems, particularly concerning adversarial attacks that exploit the openness of communication channels. Traditional defense mechanisms, such as message authentication, fail to protect against compromised legitimate agents that can introduce malicious messages. The paper introduces a novel adversarial attack termed the Blind Area Confusion (BAC) attack, which targets less confident areas in the ego vehicle’s perception, effectively bypassing existing outlier-based detection methods.
To counter these threats, the authors propose a new defense framework called GCP, which integrates both spatial and temporal information for detecting malicious agents. GCP employs a confidence-scaled spatial concordance loss and a Long Short-Term Memory Autoencoder (LSTM-AE) for temporal consistency checks. This dual-domain approach enhances the robustness of CP systems against sophisticated attacks by leveraging historical data to identify anomalous behavior over time. The experimental results demonstrate that GCP outperforms existing defense methods, achieving significant improvements in detection accuracy under intense BAC attacks while maintaining effectiveness against other adversarial strategies. Overall, the findings underscore the necessity of incorporating temporal knowledge into CP defense mechanisms to address the evolving landscape of adversarial threats.
Limitations
The current research is limited to addressing untargeted adversarial attacks without incorporating temporal optimization. This focus leaves a gap in understanding how advanced “slow-drift” attacks, which may create temporally consistent long-term trajectories, could evade detection in real-time multi-agent systems. The complexities associated with optimizing for these types of attacks have hindered their exploration within this context.
Future work should prioritize investigating the potential for these stealthy threats and the development of effective defense mechanisms against them. Addressing these limitations will enhance the robustness of multi-agent systems against a broader range of adversarial strategies.