在路标上贴几个标签，这可能入侵自动驾驶汽车最简单的方法

首先，研究人员分析了汽车视觉系统中用来对图像进行分类的算法，然后，他们篡改了视觉算法中对路标进行识别的代码，以欺骗机器学习模型来对路标进行错误的理解。例如，他们打印了一些标签贴在路标上来欺骗视觉系统，自动驾驶汽车把一个停车标志认作为一个45英里每小时的限速标志，而这在现实世界中显然是非常糟糕的。

在他们的论文中，研究人员展示了三不同的入侵方法，他们只需凭借彩色打印机和摄像机就能干扰机器阅读和分类的方式。这些实验最令人不安的地方在于，这些小标签能伪装成涂鸦艺术或融入到路标的图像中，让人们很难察觉到。

第一种方法中，研究人员打印一张全尺寸的海报来盖住一个停车路标，这就造成了机器视觉在整个测试过程中，从多个角度和距离，都将一个停车标志归类为限速标志。这在机器看起来很正常，但人能很快察觉到这是欺骗性的标志。第二种方法中，研究人员在停车标志上贴了几个小标签，看起来像是涂鸦单词“love”和“hate”，这使得机器视觉在三分之二的测试时间里把停车标志认为限速标志，三分之一的时间里认为是一个让车标志。这种几个很小的、有意图的抽象艺术标签，能做到和海报的全掩盖效果一样。第三种方法中，在右转的标志上，研究人员用灰色的贴纸遮住了箭头，让机器视觉在三分之二的测试时间里把右转标志当做一个停车标志，三分之一的时间里当做一个车道标志。

为了使攻击有效，黑客必须能够知道汽车视觉系统中，用来对其所看到的道路标志进行分类的算法(或者能够根据系统的反馈来近似模拟算法)。在搞清楚如何让视觉算法变得混乱之后，黑客只需要一张目标标志照片、一台彩色打印机、一些贴纸，以及让某人以每小时45英里的时速飞过停车标志，就能入侵汽车。

不过，研究人员也有办法来防御这种入侵方式。自动驾驶初创公司Voyage的高级研究员Tarek El-Gaaly说，汽车判定自身所在的位置是解决这种入侵的关键。比如汽车首先根据定位系统判定出它所在的位置，然后再去识别路标，这样汽车就能知道它不应该在城市地区以高速公路上的速度行驶。

然而，  Tarek El-Gaaly还说，如今许多自动驾驶汽车都配备了多个传感器，黑客也能从这些传感器入手找到入侵自动驾驶汽车的其他方法。可见，自动驾驶汽车的安全性还远远没有得到保障，其在大规模普及之前还有很长一段路要走。