自律運転技術はエンドツーエンド（E2E）フレームワークへと急速に移行しており、現在、Vision-Language-Action（VLA）に代表されるモノリシックモデルと、専門化されたモジュールからなるモジュラーアーキテクチャの2つの主要なパラダイムが存在します。これらの設計は異なるものの、両パラダイムとも複雑な推論のためにTransformerバックボーンに依存する傾向があり、これが共通の脆弱性を生み出しています。すなわち、Transformerモジュールを標的とした視覚的に知覚不能な摂動によって、E2E ADモデルを危険な操作に誘導できる可能性があります。
既存のADシステムに対する敵対的攻撃手法の多くは、ホワイトボックスまたはブラックボックスの設定で動作します。ホワイトボックス攻撃はモデルの完全な透明性を必要とし、ブラックボックス攻撃はクエリレイテンシが高かったり、攻撃の転移性が限られたりする問題があります。これらの制限を克服するために、Xinyu Zeng、Xiangkun He、Lei Tao、Chen Lv、Hong Chengの研究チームは敵対的フローマッチング（AFM）を提案しました。これは、E2E ADモデルのTransformer構造の脆弱性を悪用する新しいグレーボックス攻撃フレームワークです。AFMの核心は、ニューラル平均速度場を介して敵対的サンプルを効率的にワンステップで生成することにあります。
具体的には、生成潜在空間とニューラル平均速度場を協調的に摂動させることで、効果的かつ視覚的に知覚不能な攻撃を実現します。複数回の反復を必要とする従来の手法とは異なり、AFMは1回の前向き伝播のみで敵対的サンプルを生成できるため、攻撃効率が大幅に向上します。このワンステップ生成メカニズムは、学習されたニューラル平均速度場に依存しており、クリーンなサンプルを徐々に敵対的方向に押し出しながら、視覚的品質を維持します。
研究者らは、LLaVA-ADなどのVLAモデルやUniADなどのモジュラー型モデルを含む、複数の主流エンドツーエンド自律運転モデルで広範な実験を行いました。結果は、AFMが様々なシナリオでモデルの性能を著しく低下させると同時に、最先端の視覚的知覚不能性を維持することを示しました。ベースライン手法と比較して、AFMは攻撃成功率と摂動の知覚不能性の間で優れたトレードオフを達成しました。さらに、AFMが生成した敵対的サンプルは頑健なクロスモデル転移性を示し、攻撃時にターゲットモデルがTransformerモジュールを含むことだけを知っていれば、ブラックボックス設定でもホワイトボックスに近い攻撃効果を発揮できることを示しています。
この研究は、Transformerアーキテクチャを広く採用するエンドツーエンド自律運転システムが直面する新たなセキュリティ脅威を明らかにしました。AFMフレームワークのグレーボックス特性は、実際の攻撃シナリオでの実現可能性を高める一方、自律運転システムの安全性に深刻な課題を突きつけています。研究者らは、将来の防御戦略はTransformerの構造的脆弱性に特化して設計されるべきであり、例えば敵対的学習やモデルアンサンブルによってロバスト性を強化する必要があると指摘しています。本研究成果はarXivにプレプリントとして公開されており、今後開催される国際会議で発表される予定です。