On the Realism of LiDAR Spoofing Attacks against Autonomous Driving Vehicle at High Speed and Long Distance (NDSS'25)

私たちは、対象LiDARのグレーボックス知識を活用してレーザーダイオードの過熱を避けることで、パルスフィンガープリントを備えたLiDARに対しても有効な新しいオブジェクト除去攻撃「A-HFR」を設計しました。A-HFR攻撃は、パルスフィンガープリントが存在する状況下でも、攻撃角度内のポイントの96%以上を除去することができます。

最新の新世代LiDARのパルスフィンガープリントは、1つのポイントを測定するために2つのパルスのペアを使用し、そのパルス間隔にフィンガープリントを埋め込んでいると考えられます。各ペアのパルス間隔はランダムに変化し、LiDARは反射レーザーが発射したものと間隔が一致するかどうかに基づいて認証を行います。そのため、図7に示すように、高周波パルスで認証をバイパスすることができます。しかし、パルス周波数とピーク出力のトレードオフにより、周波数を上げることは容易ではないことがわかりました。具体的には、より高い周波数でパルスレーザーを発射すると、レーザードライバーとレーザー自体が過熱し、レーザーのピーク出力が著しく低下します。

このパルス周波数とピーク出力のトレードオフを克服するため、適応型HFR（A-HFR）攻撃を設計しました。名前が示すように、A-HFR攻撃は過熱を避けるために攻撃レーザーの周波数を適応的に変更します。図8に示すように、A-HFR攻撃は攻撃者が隠したい特定のオブジェクトを対象LiDARがスキャンする時にのみ、戦略的に周波数を上げます。この設計により、ダイオードは大部分の時間休止することができ、休止中に効果的に冷却することができます。

LiDARが対象オブジェクトをスキャンするタイミングを知るために、同期を必要とする既存のホワイトボックスLiDARスプーフィング攻撃と同様にフォトダイオード（PD）を使用します。しかし、LiDARが各ポイントをスキャンする正確なタイミングと予測可能なスキャンパターンを必要とするホワイトボックス攻撃とは異なり、A-HFRは被害LiDARの状態についての大まかな理解だけを必要とします。このように、ホワイトボックス同期攻撃と比べて必要な情報が少ないため、私たちはA-HFR攻撃をグレーボックス攻撃に分類し、この大まかな要件を弱い同期と呼んでいます。

We design a new object removal attack, A-HFR, which can be effective against LiDARs with pulse fingerprinting by utilizing a gray-box knowledge of the target LiDAR to avoid overheating the laser diode. The A-HFR attack can remove >96% of points within attack angles even under pulse fingerprinting.

The pulse fingerprinting in recent New-Gen LiDARs presumably uses a pair of pulses to measure a point and embeds the fingerprint into the interval of a pair of pulses. The pulse intervals of each pair randomly vary and the LiDAR can authenticate the reflected laser based on whether the interval matches the one the LiDAR emitted or not. Thus,  high-frequency pulses can bypass the authentication as described in Fig. 7.  However, we find that it is not trivial to increase the frequency due to a trade-off between pulse frequency and peak power. Specifically, emitting a pulsed laser at a higher frequency causes overheating of the laser driver and the laser itself, significantly degrading the laser's peak power.

To overcome the trade-off between pulse frequency and peak power, we design the adaptive-HFR (A-HFR) attack. As the name implies, the A-HFR attack adaptively changes its attack laser frequency to avoid overheating. As shown in Fig. 8, the A-HFR attack strategically boosts the frequency only when the target LiDAR scans the specific object the attacker wants to hide.  This design allows the diode to rest most of the time and effectively cool down during the rest. To know when the LiDAR scans the target objects, we utilize a photodiode (PD) similar to the existing white-box LiDAR spoofing attacks that require synchronization with the target LiDAR. However, unlike white-box attacks that require precise knowledge of when the LiDAR scans each point and a predictable scan pattern, A-HFR only needs a coarse-grained understanding of the victim LiDAR's state.  Due to this reduced information requirement compared to white-box synchronization attacks, we classify the A-HFR attack as a gray-box attack and term the coarse-grained requirement as weak synchronization.

図13は実験セットアップの概要を示しています。制御された環境を確保するため、専用使用許可のある私有のテスト道路を借りました。MVSシステム装置を走行車線から2m離れた位置に設置し、被害者となる歩行者をMVSシステム装置から10m離れた位置に配置しました。安全性を優先するため、被害者の歩行者も走行車線から2m離れた位置に配置し、直接車線上には立たせていません。

屋根にLiDARを搭載した対象車両は、被害者の歩行者から100m離れた位置から接近します。つまり、MVSシステムと対象車両との間の攻撃距離は最大110mとなります。攻撃の有効性の測定は、対象車両が目標速度に達する、被害者から70m離れた位置から開始します。

システムの評価は10 km/hから60 km/hまでの6段階の異なる速度で行いました。各速度について4つの異なる走行経路でデータを収集し、すべての評価指標は4つの走行経路の平均値を使用しています。

Fig. 13 illustrates the overview of our experimental setup. We rent a private testing road with exclusive-use permission to ensure a controlled environment. We placed the MVS system device 2 m away from the driving lane and positioned the victim pedestrian 10 m away from the MVS system device. To prioritize safety, the victim pedestrian is also 2 m away from the driving lane, not directly in the lane. The target vehicle with a mounted LiDAR on its roof is approaching from 100 m away from the victim pedestrian, i.e., the attack distance between the MVS system and the target vehicle is up to 110 m. We measure the attack effectiveness starting from 70 m away from the victim, where the target vehicle reaches the desired speed. We evaluate the system at 6 different speeds from 10 km/h to 60 km/h. For each speed, we collected data from 4 different traces. All evaluation metrics are averaged over the 4 traces.