Una squadra di studiosi ha creato un artificio capace di disturbare la funzionalità delle auto a conduzione autonoma, sfruttando la visione artificiale basata su telecamere. Di conseguenza, le automobili smettono di riconoscere correttamente i segnali stradali. Denominato come "GhostStripe", questo attacco verrà presentato minuziosamente alla prossima Conferenza internazionale sui sistemi mobili dell'ACM.
I ricercatori hanno rilasciato un rapporto che rivela come GhostStripe sia invisibile all'occhio umano, ma possa rappresentare un rischio notevole per i conducenti di marche come Tesla e Baidu Apollo. Infatti, interferisce con il funzionamento dei sensori presenti nelle automobili di questi marchi, in particolare i sensori per fotocamere CMOS.
Il principio dell'attacco consiste nel far brillare i LED sui segnali stradali con vari schemi di luce, in modo tale che il software dell'auto non riesca a riconoscerli. In questo modo avviene un attacco all'otturatore elettronico scorrevole dei sensori della fotocamera CMOS. I LED lampeggiano rapidamente con colori diversi sul cartello. Per questo, ad esempio, la tonalità del rosso in un segnale di stop potrebbe apparire diversa per ogni linea di scansione.
Di conseguenza, la fotocamera cattura un'immagine con linee che non concorrono l'una con l'altra. L'immagine viene poi ritagliata e inviata al classificatore del software dell'auto, un sistema generalmente basato su una rete neurale. Dal momento che l'immagine avrà molte linee completamente differenti, il classificatore non riconoscerà l'immagine come un segnale stradale, e l'auto non risponderà di conseguenza.
Passaggio chiave per un attacco di successo è un preciso controllo del lampeggio dei LED. "
È necessario basarsi sulle informazioni sulla funzionalità della telecamera della ritenuta vittima, e stimare in tempo reale la posizione e le dimensioni del segnale stradale nel campo di visione delle telecamere", affermano gli studiosi.Il collettivo ha progettato due versioni del loro attacco. La prima (GhostStripe1) non richiede nemmeno l'accesso al veicolo bersaglio. Sfrutta un sistema di monitoraggio per rintracciare la posizione del veicolo bersaglio in tempo reale e regola dinamicamente il lampeggio dei LED, in modo che il segnale non possa essere letto correttamente.
La seconda versione dell'attacco (GhostStripe2) è invece specifica, ovvero richiede l'accesso a una specifica auto. Ipotizzando un accesso clandestino all'auto di un'altra persona, ad esempio durante una sessione di manutenzione, questo attacco prevede l'installazione di un particolare convertitore sul cavo di alimentazione della fotocamera.
I ricercatori affermano: "
In questo modo l'attacco mira a un veicolo specifico e permette un controllo migliore sui risultati del riconoscimento dei segnali stradali". Il gruppo ha testato il sistema su una strada reale e su un'auto dotata di una fotocamera Leopard Imaging AR023ZWDR, usata nell'hardware di riferimento Apollo di Baidu. GhostStripe è stato effettuato su segnali di stop, di precedenza e di velocità.
Di conseguenza, l'attacco GhostStripe1 ha avuto successo nel 94% dei casi, mentre l'attacco GhostStripe2 ha avuto un tasso di successo del 97%. Un rapporto rivela che la luce ambientale intensa riduce l'efficienza dell'attacco. I ricercatori sottolineano: "
Questa degradazione avviene poiché la luce d'attacco (dei LED) viene soppressa dalla luce ambientale". Questo indica che gli aggressori dovranno tener conto del tempo e del luogo quando pianificano un attacco.