利用深度學(xué)習(xí)的弊端，混淆無(wú)人車的識(shí)別系統(tǒng)

讓無(wú)人車發(fā)生故障的方法各種各樣，有的靠人工攻擊，有的靠算法攻擊。

最近，Waymo的車禍層出不窮，總有一些司機(jī)故意撞Waymo測(cè)試車，在Waymo車前方突然減速，Waymo根本來(lái)不及剎車，導(dǎo)致車禍。

首先和大家澄清一下，惡意調(diào)戲無(wú)人車是要負(fù)法律責(zé)任的。在Waymo的多起車禍中，肇事者的意圖十分明顯，何況當(dāng)時(shí)的Waymo還是在人工駕駛狀態(tài)，肇事方毫無(wú)疑問(wèn)需要負(fù)全責(zé)。而且別忘了，無(wú)人車都配有各種傳感器，肇事車的信息會(huì)被記錄下來(lái)。下圖是一次車禍前Waymo記錄下的肇事車輛。這輛車在空蕩蕩的路上突然剎車，導(dǎo)致車禍。

沒(méi)有了人類司機(jī)，無(wú)人車將來(lái)會(huì)面臨很多挑戰(zhàn)，來(lái)自其他人類司機(jī)的刁難就是其中之一。這些車禍的刁難方式都比較簡(jiǎn)單粗暴，當(dāng)然，也有一些比較“高級(jí)”的，比如利用深度學(xué)習(xí)的弊端，混淆無(wú)人車的識(shí)別系統(tǒng)。

友情提示：本文涉及內(nèi)容純屬為了學(xué)術(shù)交流，請(qǐng)勿在實(shí)際場(chǎng)景中效仿，特別是在有無(wú)人車運(yùn)營(yíng)的路段 。

這種利用深度學(xué)習(xí)弊端破壞識(shí)別系統(tǒng)的方法可以統(tǒng)稱為對(duì)抗攻擊（adversarial attacks），即針對(duì)識(shí)別對(duì)象做出特殊改動(dòng)，人的肉眼看不出來(lái)任何異樣，但是會(huì)導(dǎo)致識(shí)別模型失靈。我們來(lái)看幾個(gè)例子。

下圖是兩個(gè)stop sign，無(wú)人車看到stop sign就必須停下來(lái)。但是，下面兩個(gè)stop sign經(jīng)過(guò)特殊處理后，會(huì)被誤識(shí)別為speed limit sign，即限速標(biāo)志。

下圖是行人識(shí)別，右邊的行人穿上了混淆識(shí)別系統(tǒng)的T恤，完全沒(méi)有被識(shí)別出來(lái)。不知你是否有興趣買一件這樣的T恤？

你可能會(huì)認(rèn)為，這都沒(méi)有關(guān)系，因?yàn)闊o(wú)人車有激光雷達(dá)，就算攝像頭無(wú)法識(shí)別，也一樣可以靠激光雷達(dá)探測(cè)障礙物。我們?cè)賮?lái)看一組針對(duì)激光雷達(dá)的對(duì)抗攻擊。

我們把下面兩個(gè)物體分別放在馬路上，供無(wú)人車的激光雷達(dá)識(shí)別。左側(cè)白色障礙物的表面經(jīng)過(guò)特殊處理。

結(jié)果顯示，左側(cè)白色的障礙物根本無(wú)法被識(shí)別。激光雷達(dá)明明可以看到障礙物，卻無(wú)法被識(shí)別。由于障礙物表面凹凸不平的形狀，該物體成功在點(diǎn)云中“隱身”了。

普通的箱子可以被輕松識(shí)別。

對(duì)抗攻擊不只可以用于擾亂視覺(jué)識(shí)別系統(tǒng)，也可以用于擾亂語(yǔ)音識(shí)別系統(tǒng)。我們來(lái)聽(tīng)下面兩條語(yǔ)音。

兩條語(yǔ)音聽(tīng)上去說(shuō)的都是“without the dataset the article is useless”，沒(méi)有任何差別，而第一條語(yǔ)音的識(shí)別結(jié)果其實(shí)是“okay google browse to evil dot com”，意思完全不同了。

對(duì)抗攻擊的方式多種多樣，我們必須盡快找到相應(yīng)的防御措施（defense），才能保護(hù)無(wú)人駕駛系統(tǒng)安全。