Für menschliche Fahrer sind sie kaum auffällig. Schwarze und weiße Streifen kleben auf Stoppschildern und verdecken dabei nur kleine Teile der Buchstaben. Aber das soll ausreichen, um derzeitige Selbstfahrsysteme moderner Fahrzeuge komplett aus dem Takt zu bringen. Das haben zumindest Wissenschaftler der University of Washington, University of Michigan, Stony Brook University und UC Berkeley in einer gemeinsamen Studie erarbeitet. Dafür haben sie Systeme analysiert, wie sie derzeit von Fahrzeugherstellern eingesetzt werden, um Videobilder und insbesondere Verkehrszeichen zu erkennen und zu klassifizieren.
Die platzierten Aufkleber zielen explizit auf Schwächen der sogenannten Classifier ab, die für das Ausmachen der Schilder und den Abgleich mit einer internen Datenbank entwickelt wurden. Die abgeklebten Flächen maskierten die Konturen des Zeichens stark genug, um „im finalen Test“, so die Studie, „eine Missklassifikation von 100 Prozent“ zu erreichen. Das Schild war für die Software nicht länger erkennbar.
In anderer Kombination können die Sticker dem Wagen hingegen einreden, dass es sich nicht um ein Stoppschild, sondern eine Geschwindigkeitsbegrenzung handelt. Etwa, in dem mit unterschiedlich hellen und dunklen Klebe-Pixeln die Worte „Love“ und „Hate“ auf das Schild geschrieben werden. „Bei diesem Versuch haben die Wagen 73,33 Prozent der Bilder falsch klassifiziert“, schreiben die Autoren. Wobei, wie sie anmerken, die Aufkleber auch gut und gerne zufällige Graffitiflecken oder anderes Gekritzel darstellen könnten.
In zwei weiteren sonannten Physical-World-Attacken überklebten die Wissenschaftler ein echtes Stoppschild mit einer ausgedruckten Kopie, die lediglich in einigen Bereichen künstlich ausgebleicht wurde. Selbst das genügte, um die Software in die Irre zu führen. In nahezu 100 Prozent aller Versuche wurden auch hier die Schilder nur als Geschwindigkeitsbegrenzung identifiziert. Ähnliches galt auch für ein amerikanisches „Links abbiegen“-Schild, bei dem der schwarze Pfeil mit weiß-grauen Klebeflächen ausgezeichnet wurde. Dieser wurde dann in zwei Dritteln der Anordnungen als Stoppschild klassifiziert und in den restlichen als ein Hinweis auf eine anknüpfende Fahrspur gewertet. Kein einziges Mal konnte die Software das Schild nach der Manipulation richtig zuordnen.
Die Forscher haben ihre Tests mit mehreren Entfernungen und Blickwinkeln erprobt. Einem menschlichen Fahrer würden diese physischen Hacks kaum auffallen oder ihn verunsichern. Die Fehleinschätzungen bei autonomen Fahrzeugen hingegen sind massiv – und könnten, wenn ein Stoppschild einfach ignoriert wird, im realen Verkehr fatale Folgen haben. Eine Lösung für dieses Problem ist noch nicht gefunden. Abgesehen davon, die Mustererkennung drastisch zu verbessern oder zusätzlich auch Kartenmaterial zu nutzen, das die detektierten Schilder bestätigt. Das unterstreicht auch das Resultat einer weiteren Studie, die Brandon Schoettle am Transportation Research Institute der University of Michigan durchführte.
Brandon Schoettle glich das fahrerische Können von Maschinen mit dem von Menschen ab. Das Ergebnis? Selbstfahrende Fahrzeuge sind deutlich sicherer unterwegs als ein 16jähriger Fahranfänger oder ein 90 Jahre alter Rentner. Aber deutlich schlechter als ein „erfahrener Autofahrer mittleren Alters“. Denn oftmals wären die von Algorithmen gesteuerten Fahrzeuge übervorsichtig und dann auch wieder schnell von unübersichtlichen Situationen verwirrt – sei es ein beschmiertes Verkehrszeichen oder ein Plastikbeutel, der über die Straße weht. Ihnen fehle derzeit die Erfahrung und der gesunde Menschenverstand, um selbstsichere und versierte Fahrzeugführer abzugeben.
