Gleich zwei Studien zeigen, wie mit relativ einfachen Methoden die Autopilot-Funktion von Tesla-Autos gestört werden kann.
Über 100 Teslas sind auf Luxemburgs Straßen unterwegs. (Foto: pixabay)
Elon Musk, der Gründer und CEO von Tesla, ist bekannt für seine großspurigen Versprechen, die ihm oft Schlagzeilen bringen, er aber oft nicht halten kann. Im Februar 2019 kündigte Musk an, Tesla würde bis Ende 2020 ein vollkommen autonom fahrendes Auto auf den Markt bringen. Dann soll es möglich sein, am Steuer zu schlummern, statt aufmerksam zu verfolgen, wie das Auto fährt. Bereits jetzt haben Teslas einige Funktionen für das autonome Fahren, zum Beispiel beim Einparken oder auf Autobahnen. Die Autos können selbstständig steuern und die Geschwindigkeit anpassen.
Doch die künstliche Intelligenz, die das Fahrzeug in solchen Fällen steuert, lässt sich leicht austricksen, wie gleich zwei Forscher*innenteams unabhängig voneinander zeigten. Das Team um Doktoranden Ben Nassi von der Ben-Gurion-Universität des Negev nannte ihre Attacke „Phantom of the ADAS“. ADAS steht für „Advanced Driving Assistance Systems“, also „Fortgeschrittene Fahrer*innen-Assistenzsysteme“. Phantom heißt der Angriff auf die autonomen Fahrsysteme deswegen, weil der Kamera des Autos mithilfe eines Projektors ein Phantombild vorgegaukelt wird. Dies kann das Bild eines Autos, eines Menschen, von Bodenmarkierungen oder eines Verkehrsschildes sein. Das Auto kann diese Bilder nicht von echten Objekten unterscheiden und verhält sich entsprechend: es bremst ab, ändert die Geschwindigkeit oder gar die Richtung.
Die Forscher*innen setzten eine kleine Drone ein, die den Projektor trägt. Um von der Kamera als Straßenschild erkannt zu werden, muss das „Phantom“ lediglich 125 Millisekunden zu sehen sein – für das menschliche Auge also fast nicht zu erkennen. Theoretisch wäre es sogar möglich, das „Phantom“ in einer animierten Werbung zu verstecken.
Einen anderen Zugang wählten Steve Povolny und Shivangee Trivedi von der IT-Sicherheitsfirma McAfee. Sie setzen keine Projektoren ein, sondern manipulierten selbst Straßenschilder. Ein kleiner schwarzer Aufkleber auf einem Schild, das eine Höchstgeschwindigkeit von 35 Meilen in der Stunde (ca. 56 km/h) vorschrieb, verwandelte die 35 für die Kamera des Teslas in eine 85 – was dem Auto eine Geschwindigkeitsbegrenzung von knapp 137 Stundenkilometern vorgaukelte. Das Team von McAfee konnte diesen Angriff auch im Praxistest nachvollziehen. Betroffen sind nicht nur Teslas, sondern alle Fahrzeuge, die auf das MobilEye-System zurückgreifen. Allerdings sei die Schwachstelle bei der neusten Version dieses Systems beseitigt – nachdem die Forscher*innen den Hersteller darauf hingewiesen haben.
Das Team um Ben Nassi betont, dass es sich bei der „Phantom“-Attacke nicht um einen herkömmlichen Programmierfehler handelt, sondern ein systemischer Fehler vorliege. Die künstliche Intelligenz, die Fahrspuren, Fußgänger*innen und andere Autos erkennen soll, wurde einfach nie darauf trainiert, zwischen Projektionen und echten Objekten zu unterscheiden. Komplett autonom fahrende PKWs werden wohl noch länger ein Traum bleiben – und Firmen, die solche Autos bauen, müssen lernen, sich nicht vollends auf ihre künstliche Intelligenz zu verlassen.