英文播客

本期播客我们将聚焦于自动驾驶车辆在复杂对抗环境下的轨迹预测安全。面对车载传感器误差或恶意伪造的“观测攻击”，深度学习模型如何避免被误导？我们将深度解析作者如何巧妙结合贝叶斯神经网络与信息熵分解，提出自适应的两阶段轨迹生成防御框架，打破传统数据增强方法的局限性，为自动驾驶提供知错能改、如影随形的可靠决策支持。

论文档案

• • 题目: Trustworthy vehicular trajectory prediction under observational attacks: an adaptive and generalized defense framework for deep learning models
• • 摘要: Accurately and reliably predicting vehicle trajectories is critical for safe downstream decision-making. State-of-the-art Deep Learning (DL) models typically rely on historical trajectories recorded by onboard sensors. However, the common assumption that transmitted trajectories match ground truth is often violated due to observational attacks, which mislead DL models with corrupted inputs. Existing Training-Augmentation (TA) approaches attempt to improve robustness by injecting attacked samples into training, but they suffer from confidence issues and poor generalizability across diverse attacks due to their stochastic nature and causal confusion. To address these limitations, we propose an adaptive, generalized defense framework compatible with any DL model and trained only on normal (attack-free) data. The core idea is intuitive: output multimodal predictions under high uncertainty and otherwise follow a deterministic trajectory. We quantify epistemic uncertainty induced by observational attacks using a Bayesian Neural Network with entropy decomposition, where epistemic uncertainty reflects a model’s knowledge boundary and sensitivity to rare or unseen cases. Our defense employs a two-phase trajectory generation mechanism. Phase 1 estimates epistemic uncertainty and determines whether Phase 2 is triggered. If uncertainty exceeds a predefined threshold, Phase 2 generates multimodal trajectories by updating distributional parameters using both learned knowledge and training-independent physical priors, improving adaptability to dynamic attacks. Experiments demonstrate strong generalizability across multiple DL models and attack types. Ablation studies highlight the contributions of each component and parameter setting. Finally, case studies visualize scenarios where only Phase 1 or both phases are activated, providing further insight into the defense behavior.
• • 关键词: Vehicular trajectory prediction, Observational attacks, Deep learning, Two-phase trajectory generation mechanism, Entropy decomposition.
• • 引用: Jialei Hu, Geqi Qi, Avishai (Avi) Ceder, Dianchen Zhu, "Trustworthy vehicular trajectory prediction under observational attacks: an adaptive and generalized defense framework for deep learning models," Transportation Research Part C: Emerging Technologies, vol. 183, 105486, 2026, doi: 10.1016/j.trc.2025.105486.

背景挑战

近年来，自动驾驶技术飞速发展，而准确预测周围车辆的未来轨迹是保障下游安全决策的基石。当前，基于深度学习（DL）的轨迹预测模型表现优异，但它们往往建立在一个极其理想的假设之上：车载传感器接收到的历史轨迹与真实的物理轨迹完全一致。

然而在现实开放的交通环境中，这一假设极易被打破。由于传感器定位误差、恶劣天气或恶意的“观测攻击”，模型接收到的往往是受污染的输入。作者敏锐地指出了当前深度学习模型在防御这些攻击时存在的三大痛点：

1. 1. 因果混淆与泛化性差：深度学习本质上是在拟合输入与输出的统计相关性。观测攻击打破了独立同分布假设，使得模型产生“因果混淆”。
2. 2. 对抗训练的局限：现有的数据增强方案（如对抗训练）试图通过在训练集中注入受攻击样本来提升鲁棒性。但这种方式往往使得模型在面对正常样本时表现过于保守（性能下降），且难以泛化到未见过的随机攻击。
3. 3. 全局多模态预测的效率悖论：虽然输出多种可能的轨迹（多模态预测）可以提高安全性，但如果模型在任何时刻都全局性地输出多个轨迹，将极大地消耗算力并拖慢车辆的实时决策效率。

科学方案：针对上述挑战，作者提出了一种兼容任何DL模型的自适应广义防御框架。该框架的核心思想直观且优雅：“高置信度时确定，高不确定性时发散”。作者利用贝叶斯神经网络（BNN）和信息熵分解来量化认知不确定性，并设计了“两阶段轨迹生成机制”。模型仅需在正常数据上训练，在推理阶段即可通过量化不确定性，自适应地决定是输出单条确定性轨迹，还是触发第二阶段生成多模态防御轨迹。

系统架构

作者构建了一个高度解耦且可插拔的防御框架，能够无缝集成到诸如 LSTM、Transformer、GRIP 等多种主流 DL 架构中。

1. 1. 不确定性量化模型：作者引入了信息论中的香农熵，将预测不确定性分解为偶然不确定性（环境固有噪声）和认知不确定性（由攻击导致、超出模型知识边界的误差）。
2. 2. 两阶段预测机制：
• • Phase 1（预测与评估阶段）：模型根据贝叶斯后验分布进行采样，评估当前时间步的认知不确定性。
• • Phase 2（重预测阶段）：一旦不确定性突破预设的安全阈值（即达到 Activation Moment），系统切换输出模式。利用马尔可夫链蒙特卡洛技术在线更新后验分布，生成覆盖潜在风险的多模态轨迹。

优化问题与分布逼近

在 BNN 的训练中，为了避免对整个概率空间进行难以计算的积分，作者采用了变分推断，通过最小化 KL 散度，使用易于处理的变分分布  来逼近真实的后验分布 ：

架构优势：该架构的最大优势在于其“即插即用”的泛化性以及对运行效率的兼顾。它彻底摆脱了对受攻击数据的依赖，仅用干净数据训练即可防御未知攻击；同时，它将多模态计算资源好刃用在刀刃上，仅在“模型感到困惑”时才激活复杂的并行运算，完美平衡了鲁棒性与决策效率。

核心算法

防御框架的灵魂在于如何在部署阶段实时在线地量化不确定性，并及时更新策略。

1. Phase 1: 基于 KL 散度的不确定性量化

在第一阶段，作者在等方差假设下，推导了两个高斯分布之间 KL 散度的解析解，以此作为认知不确定性的离散估计器（见 Proposition 1）：

扩展到双变量（2D坐标）轨迹预测中，认知不确定性可以被高效计算为：

2. Phase 2: 基于 SGLD 的在线后验更新

当检测到不确定性越界时，简单的重新采样是不够的。作者引入了随机梯度朗之万动力学（SGLD，一种变体 MCMC），利用激活时刻前的预测轨迹作为“新证据” ，在线更新变分分布：

其中  为注入的高斯噪声，引导模型在迭代中收敛到真实的后验分布，从而生成具备高度适应性的多模态轨迹，随后利用 DBSCAN 聚类自适应决定轨迹数量。

算法优势：SR-CL 框架摒弃了传统的离线重训练思维。SGLD 算法的引入，使得 DL 模型具备了“在线学习与纠偏”的能力。当遇到未知的攻击模式时，模型不仅能感知危险，还能利用即时获取的短时上下文瞬间调整自身参数分布，这种“边走边学”的机制是应对非平稳攻击的核心利器。

仿真评估

作者在真实世界的 INTERACTION 数据集上进行了大量实验，并构建了包括白盒（均匀攻击、高斯攻击）和黑盒（FGSM、Social Attack）在内的多种攻击场景。

1. 卓越的防御性能与补偿效应

实验对比了 LSTM、Transformer、GRIP 和具有不确定性感知的 LED (Diffusion) 模型。结果表明，所有搭载作者防御框架的基线模型，在各种攻击下均取得了最低的预测误差（minMDE 和 minFDE）。更重要的是，作者提出了一种新的评估指标——补偿效应。搭载该框架的模型 CE 分数显著提升，这证明了模型不是在盲目生成大量轨迹，而是生成的高质量多模态轨迹有效覆盖并补偿了由攻击引起的误差。

2. 自定义阈值与动态适应性

通过扫参实验，作者展示了框架对不同安全阈值设定的兼容性。保守的驾驶员（系统）可以设定较低的阈值，提前触发多模态生成；激进的系统则可设定较高阈值。为了解决低阈值下的“阈值误导”问题，作者进一步提出了一种动态阈值分配方法，使得每一种预测场景都能自适应地获得最优数量的多模态轨迹。

3. 可视化案例分析：直行 vs 左转

在具体的案例可视化中，当车辆直行受到高斯攻击时，由于模型把握较大，不确定性始终低于阈值，系统一直维持 Phase 1 的确定性高效输出。而当车辆在交叉路口左转受到攻击时，轨迹的非线性加剧，模型在 2.4s 时刻精准捕捉到认知不确定性激增，果断触发 Phase 2 并在极短迭代内收敛，输出了三条高可行性的多模态轨迹，其中一条完美贴合了 Ground-truth。

观点引述

以下摘录自论文中的一些有价值的论述，建议大家在撰写自动驾驶安全、可信 AI 或不确定性量化相关论文时参考和引用。

1. 关于“深度学习面对非分布外攻击的因果混淆”

correlation-based DL models, which parameterize the correlation between input and output using NN, are vulnerable to trajectory attacks that disrupts the underlying causal pathways. ... ultimately results in their heightened vulnerability... This phenomenon is referred to as 'causal confusion'.

解析：当你需要批评纯数据驱动模型（如黑盒DL）的脆弱性，或者为你引入因果推断、物理先验知识做铺垫时，这段论述一针见血。它点明了DL容易受攻击的根源在于拟合了统计相关性而非底层因果机制。

2. 传统对抗训练的致命缺陷

AT-based schemes are trained solely on worst-case scenarios, often leading to overly conservative predictions and degraded performance on benign inputs.

解析：这是一个非常经典的批判点。如果你的工作是提出一种新的、轻量级的或是自适应的防御算法，你可以引用这句话来论证为什么不选择使用对抗训练——因为它会让模型变得“疑神疑鬼”，从而牺牲了系统在正常情况下的准确性。

3. 认知不确定性的安全学意义

epistemic uncertainty reflects the consequences of observational attacks and defines the knowledge boundary of DL models. ... epistemic uncertainty plays a critical role in trajectory prediction under observational attacks, as many such cases are rare or previously unseen and thus lie beyond the model's knowledge boundary.

解析：在撰写利用贝叶斯网络或信息熵来做异常检测、入侵检测的论文时，这段话提供了坚实的理论基础。它明确界定了“认知不确定性”不仅是个数学方差，更是衡量自动驾驶汽车“知不知道自己不知道”的知识边界。

4. 效率与鲁棒性的折中：批判全局多模态预测

global multimodal prediction, which could compromise efficiency. ... an effective defender must incorporate both the knowledge learned during training and the ability to adapt online to new situations.

解析：目前很多顶会论文为了追求指标，疯狂堆叠多模态生成分支，导致计算开销极其庞大。如果你提出了一种“按需触发”、“动态自适应”的算法，引用此观点可以彰显你的工作在实际工程落地（边缘计算/车载计算）中的巨大价值。

5. 动态阈值的必要性（阈值误导现象）

a fixed configuration may fail to capture potential motions when the epistemic uncertainty at the endpoint is significantly higher than at the activation moment. ... threshold misguidance highlights the need for remedial strategies, especially when deploying the defender for conservative drivers.

解析：在系统设计中，硬编码阈值是常态但也容易被审稿人诟病。这段论述指出了固定阈值在时间序列累积误差面前的局限性。如果你的论文涉及自适应阈值调整或个性化风险偏好，这是极佳的引用语。

总结展望

本文提出的基于“估计-再调整”思想的两阶段轨迹预测防御框架，为自动驾驶系统的底层安全提供了一种极具潜力的概率学解法。它不仅打破了传统防御算法对攻击先验知识的依赖，更展示了贝叶斯定理在连接“不确定性量化”与“模型输出模式切换”中的桥梁作用。

展望未来，这种具备严格统计学基础、融合动态在线推断的框架，有望从轨迹预测领域拓展至自动驾驶的感知、规划乃至端到端模型中，为解决复杂重叠轨迹、传感器严重缺失等极端场景提供更加坚实的理论底座。