FNO-Guard：基于函数空间判定的高效且通用的协作感知对抗防御方法

《Internet of Things》：FNO-Guard: Efficient and Generalizable Adversarial Defense for Collaborative Perception via Function-Space Adjudication

　　摘要：协作感知显著提升了自动驾驶车辆的情境感知能力，但同时也为恶意攻击者带来了严重威胁。现有的防御方法都存在一个根本性的权衡问题：假设与验证方法虽然具备良好的泛化能力，但由于需要多次解码，效率极低；而特征向量分类方法虽然高效，但由于特征向量化过程中会丢失信息，导致泛化能力较差。本文通过引入函数空间判定这一全新设计理念来解决这一矛盾，该理念能够在函数空间中直接判断特征的可靠性，从而保留高保真度信息。作为这一理念的创新实现，我们提出了FNO-Guard框架，该框架利用傅里叶神经算子学习从完整特征函数对到恶意程度评分的直接映射关系。这种方法既具备了特征向量分类的单次处理高效性，又拥有基于共识方法的全面且信息丰富的分析能力。FNO-Guard通过处理完整的特征图，能够识别出任何对抗性操作所导致的功能不一致性，而非仅仅针对特定攻击特征进行过拟合，因此具有出色的泛化能力。在模拟的V2X-Sim基准测试以及真实的DAIR-V2X数据集上的实验表明，FNO-Guard在保持实时处理效率的同时，能够有效抵御多种攻击。在标准攻击场景下，它的性能优于现有防御方法，处理速度可达62帧/秒，是假设与验证方法的近3倍。不同架构的对比结果也证实，完整特征图的保留有助于提升防御效果，其中FNO算子表现最佳。这些实验证明了FNO-Guard及函数空间判定理念在确保安全协作感知方面的有效性。

引言：实现与人类驾驶水平相当的安全感知仍是自动驾驶系统面临的核心挑战[1][2]。尽管单车辆感知技术已取得显著进展，但其仍受视线遮挡和传感器检测范围有限等物理限制的制约，这些限制会在动态环境中形成严重的视觉盲区，带来极大风险[3][4][5][6]。协作感知作为一种突破性技术，旨在克服这些单一车辆的局限性[7][8]。通过让多辆联网自动驾驶车辆通过车联通信共享中间层感官特征，协作感知能够有效突破单车辆的视野限制。这种扩展后的情境感知能力使车辆能够感知被遮挡的物体，甚至“看到”拐角处的情况，从而在高级碰撞避免、识别弱势道路使用者等方面大幅提升安全性[9][10]，为更安全、更高效的交通系统奠定基础。然而，尽管协作感知有望提升情境感知能力，但其分布式架构反而为恶意攻击带来了严重风险。与通常需要实体操作的单一车辆系统攻击不同，协作感知依赖于车联通信，这就为攻击者提供了数字后门，他们可以通过通信渠道注入恶意干扰，实施隐蔽且高效的攻击[11][12][13]。这种威胁在图像分类领域已有充分体现[14][15][16][17]，在协作感知环境中的危害更为严重。已有研究表明，一个被篡改的特征图就足以破坏整个融合后的信息表示，从而导致严重的安全问题[18][19]。如图1所示，这种情况可能导致本车误判出不存在的“虚拟”物体（误报），或者更严重的是，无法检测到关键的障碍物（漏报）。这类攻击手段不断演变，从传统的白盒方法如PGD，到基于优化的复杂攻击方法如Carlini & Wagner算法，后者能够制造更为隐蔽的威胁，并实现有针对性的恶意目标。随着攻击手段的日益复杂，迫切需要一种强大的防御机制来保障协作感知的完整性。为应对这些安全威胁，以往的研究主要采用了两种防御策略：假设与验证方法和特征向量分类方法，但这两者都面临着泛化能力与效率之间的根本性权衡。假设与验证方法以ROBOSAC[20]为代表，如图2(a)所示，该方法不受攻击者类型影响，因此能够很好地应对未知攻击。它通过迭代解码各参与车辆的特征，最终在输出空间（如边界框）中找到共识。然而，多次解码的过程导致了严重的效率瓶颈，无法满足实时驾驶的需求。尽管MADE[21]和CP-Guard[22]等更先进的方法有所创新，但依然受制于这一传统思路，因为它们的核心验证指标都是基于完全解码后的结果，同样存在严重的可扩展性问题。为突破这一效率瓶颈，特征向量分类方法将检测任务转移到了中间特征空间。像CP-Guard+[23]这样的方法通过训练分类器，在单次处理中就能区分良性与恶意特征，从而实现高效检测。其实现方式是将高维特征图投影为低维向量。但这种投影方式存在两个严重问题：其一，信息丢失，因为向量化过程会丢弃那些恰恰被恶意攻击所利用的空间信息；其二，泛化能力有限，因为模型容易过度拟合已知攻击的特征，而无法掌握功能不一致性的本质规律。本文从函数空间的角度重新审视了效率与泛化能力之间的权衡问题。函数空间判定是一种用于特征信任评估的设计理念：它不依赖于解码后的结果，也不需要对特征图进行低维压缩，而是直接对密集的本车及协作车辆特征图表示——即视为采样得到的特征函数——进行判断。该理念将问题重新定义为：无论何种对抗性攻击，只要存在功能上的不一致性，就可以被检测出来。这种方法无需依赖会造成信息丢失的压缩处理或复杂的迭代解码过程，从而实现了直接的信任度判定。作为这一理念的创新应用，我们提出了FNO-Guard这一实用且强大的防御框架。其核心是FNO判定器，这是一种基于傅里叶神经算子的模块，这类算子专为学习无限维函数空间之间的映射关系而设计。在单次高效的前向处理中，FNO判定器即可处理来自本车和协作车辆的两组完整特征图，进而输出一个能够反映二者功能不一致性的恶意程度评分。该方法同时解决了以往防御方法的核心缺陷。通过预融合、单次处理的判定流程，它实现了与轻量级特征向量分类器相当的效率，相比迭代式的假设与验证方法效率高出数个数量级，因此非常适合用于对延迟要求极高的系统。重要的是，这种高效性并未以牺牲泛化能力为代价。由于是在整个函数空间上进行处理，因此避免了特征向量化带来的信息丢失问题。FNO架构通过学习功能不一致性的空间频谱特征，如异常的频谱分布以及全局结构一致性的破坏，而非仅仅依赖经过压缩的、与特定攻击相关的特征统计信息，从而提升了在各种攻击场景下的鲁棒性，同时保持了单次处理的高效率。综上，本文的主要贡献有三点：首先，提出了函数空间判定这一用于特征信任评估的新设计理念，该理念彻底改变了传统的防御思路。它不再依赖信息丢失严重的压缩向量，也不需要进行效率较低的解码验证，而是将中间特征从离散的数据网格视为连续函数，基于“任何对抗性操作都会在函数空间中留下可检测的不一致性”这一原理，为解决泛化能力与效率之间的矛盾提供了新的解决方案。其次，提出了FNO-Guard这一基于函数中心的新型防御框架。作为函数空间判定理念的首次具体实现，FNO-Guard是一个实用且强大的防御系统，其中心是专门的FNO判定器模块，该模块利用傅里叶神经算子学习从本车与协作车辆的特征函数对到恶意程度评分的直接映射关系。傅里叶神经算子的架构非常适合这项任务，其全局感受野和频域处理能力使其能够捕捉特征图中的空间分布变化以及全局结构一致性的破坏，而这些信号通过单纯的局部聚合方式很难被检测出来，尤其是当对抗性干扰影响到非局部特征关系时。最后，FNO-Guard在V2X-Sim基准测试和真实的DAIR-V2X数据集上展现了出色的防御性能，不仅在准确率方面大幅优于所有基准方法，还能实现实时处理，处理速度达62帧/秒，是假设与验证方法的近3倍。更重要的是，通过严格的留一法评估和跨架构实验，其出色的泛化能力得到了实证，证明其对完全未知的攻击类型也有很强的防御效果。

协作感知架构：协作感知已成为提升自动驾驶系统情境感知能力的关键技术。信息融合方法是协作感知的核心，根据数据共享的阶段不同，通常可分为早期融合、中期融合和晚期融合三种策略[24][25]。早期融合[26][27][28]涉及原始传感器数据（如激光雷达点云）的传输。虽然这种方式可能提供最高的精度，但……

初步说明：本文提出的函数空间判定防御理念基于一种概念上的转变，即不再将中间特征图视为离散的数据网格，而是将其看作是底层连续函数的离散表示。这一视角揭示了传统架构的核心缺陷，也为采用更强大的、以函数为中心的模型提供了依据。本节首先通过实证分析验证这一函数视角的合理性，随后详细阐述相关理论依据……

FNO-Guard框架：为克服现有对抗性防御方法在泛化能力与效率之间的根本性矛盾，本文提出了基于函数空间判定理念的FNO-Guard框架。本节首先明确协作感知的流程以及对抗性威胁模型，为后续讨论奠定基础。接着，详细描述了FNO-Guard的架构设计，以及其作为函数空间判定理念具体实现的方案，还包括其特殊的训练方法……

实验部分：本节设计了多组实验，旨在全面评估所提出的FNO-Guard框架的性能。这些实验旨在回答以下关键研究问题：首先，与现有的最先进防御方法相比，FNO-Guard在面对各类对抗性攻击时的表现如何？其次，FNO-Guard对于训练过程中未曾出现过的新型攻击的防御能力如何？第三，FNO-Guard与其他方法相比，在计算资源消耗方面有何差异？最后，FNO-Guard在各项指标上表现如何……

结论：本文从函数空间特征判定的角度探讨了协作感知中的对抗性防御问题。鉴于假设与验证方法以及向量化特征分类方法在效率与泛化能力之间存在矛盾，我们提出了函数空间判定这一理念，用作在密集的本车及协作车辆特征图上进行预融合信任评估的设计原则。该方法无需依赖反复的输出空间验证或不可逆的特征向量压缩，从而解决了相关问题……

关于手稿准备过程中的生成式AI及AI辅助技术声明：在撰写本文的过程中，作者们使用了ChatGPT来提升文本的英文表达水平、风格以及清晰度。在使用该工具之后，作者们对内容进行了必要的审阅和修改，并对最终发表文章的内容负全责。

CRediT作者贡献说明：张培远：负责原文撰写、可视化处理、结果验证、项目管理、方法设计、研究实施、正式分析、数据整理以及概念构思工作。陆天亮：负责文本审阅与编辑、项目管理、方法设计、资金筹集以及概念构思工作。杨刚：负责文本审阅与编辑、项目指导、项目管理以及数据整理工作。彭书凡：负责文本审阅与编辑、项目指导、资源协调、项目管理以及研究实施工作。何春豪：……

利益冲突声明：作者声明自己没有已知的、可能影响本文研究结果的财务利益或个人关系。

张培远|陆天亮|杨刚|彭书凡|何春豪|邓宇阳|陈卓鹏中国人民公安大学信息网络安全学院，北京市西城区，邮编100038，中国