هل يمكن لروبوت مزود بذكاء اصطناعي مادي أن يظل آمناً عندما يقوم مهاجم بتعديل ما يدركه، أو ما يقرره، أو ما يقوم به، دون ظهور أي خلل مرئي؟ هذا السؤال يشكل الخيط الناظر لمقال نُشر في مجلة IEEE Spectrum كمحتوى برعاية شركة VicOne. يستعرض النص المخاطر على ثلاثة مستويات، بدءاً من تدريب النماذج وصولاً إلى تشغيلها في الوقت الفعلي.
يشير الذكاء الاصطناعي المادي إلى الآلات التي تدرك بيئتها بواسطة أجهزة استشعار متعددة الوسائط، وتفسر الموقف باستخدام نماذج الذكاء الاصطناعي، وتحول هذه التفسيرات إلى أفعال. وبالتالي، يعتمد أمنها على سلامة البيانات التي توجه قراراتها. وفقاً للمقال، أظهرت أبحاث حديثة أن التلاعب بما يراه الروبوت أو يسمعه أو يفسره يمكن أن يؤثر على سلوكه دون تحكم مباشر.
تلويث النموذج من المنبع
أظهر العمل المسمى BadNets، الذي نُشر عام 2017، أن النموذج يمكن أن يعمل بشكل طبيعي في معظم الحالات، لكنه يفشل عند وجود محفز خفي. في مثال مُشار إليه، تسبب نمط غير واضح في تصنيف لافتة توقف على أنها لافتة تحديد سرعة، دون تغيير سلوك النموذج على المدخلات الأخرى.
خلال مؤتمر NeurIPS 2025، قدم الباحثون BadVLA، وهي هجوم باستخدام « بوابة خلفية » يستهدف نماذج الرؤية-اللغة-الفعل، أو VLA، التي تتيح للروبوت الرؤية وتفسير التعليمات وإنتاج حركات منسقة. بدلاً من تعديل تسمية واحدة، تسببت الهجمة في انحرافات مشروطة في مسار الروبوت عند وجود المحفز. بدونه، حافظ النموذج إلى حد كبير على أدائه، وظلت البوابة الخلفية فعالة بعد نقل المهمة أو ضبط النموذج بدقة.
أظهرت دراسة عام 2025، باسم GoBA، أن شيئاً عادياً، مثل فنجان قهوة، يمكن أن يكون محفزاً موثوقاً. يبلغ الباحثون عن نسبة نجاح للهجوم بلغت 97%، دون تدهور في الأداء على المدخلات غير المُعدلة. تسلط هذه الأعمال الضوء على نقطة عمياء في التحقق من صحة النماذج: يمكن للنموذج أن ينجح في اختباراته وينتج سلوكاً فاسداً عندما يظهر محفز خفي في الواقع العملي.
يقدم المقال أداة Radeis، وهي مدقق أمن للذكاء الاصطناعي المادي مخصص لبيئة المحاكاة NVIDIA Isaac Sim. وفقاً لـ VicOne، فإنه يسمح باختبار تأثير المدخلات البصرية المُعدلة على سلوك الروبوت قبل النشر.
ثغرات في النظام
حتى النموذج المُدرَّب بطريقة آمنة يمكن تحويل مساره إذا كان النظام المحيط به معرضاً للخطر. في سبتمبر 2025، كشف الباحثون عن UniPwn، وهي سلسلة استغلال عبر البلوتوث تصيب روبوتات رباعية الأرجل وإنسانية الشكل لصانع رئيسي. وفقاً لوصف الثغرة، فإنها « قابلة للانتشار كدودة »، أي قادرة على الانتشار، حيث يمكن للروبوت المخترق تحليل الأجهزة المجاورة وإصابة أسطول كامل. وفقاً لعرض توضيحي من VicOne LAB R7، يمكن لتسلسل ثلاث ثغرات لاسلكية أن يتسبب في سلوك غير مسيطر عليه للروبوت خلال 60 ثانية.
تشكل البرامج الوسيطة، وهي طبقات برمجية تربط مكونات الروبوت، بوابة دخول أخرى. وفقاً للمقال، يمكن للثغرات الأمنية في ROS 2 وفي الأنظمة القائمة على DDS أن تسمح بتنفيذ تعليمات برمجية عشوائية أو إرسال أوامر خبيثة. يمكن لمهاجم لديه وصول كافٍ تعديل أوامر المحرك أو استبدال أوزان النموذج، أي معلماته المُتعلمة، دون مهاجمة بنيته مباشرة. يمكن للمكونات بعد ذلك أن تستمر في العمل كما هو مخطط، لكن موثوقية الأوامر التي تنتقل عبر النظام لم تعد مضمونة.
التلاعب بالإدراك في الوقت الفعلي
أثناء التنفيذ، قد لا يتطلب التلاعب بالمدخلات التي تشكل الإدراك أو التفكير تعديل البرنامج الثابت أو التسلل إلى الشبكة. في عام 2024، أظهر RoboPAIR أن الاستعلامات المُهيكلة بعناية يمكنها إعادة توجيه الروبوتات التي يقودها نموذج لغوي كبير نحو مسارات خطيرة. وفقاً لأعمال BadRobot، في عدة حالات، رفض الروبوت لفظياً أمراً خطيراً، لكن وحدة تحكم الحركة قامت بتنفيذه على أي حال.
التلاعب البصري ليس أقل فعالية. أظهر VLAttack أن رقعة خبيثة موضوعة في مجال الكاميرا يمكنها تخفيض معدل نجاح نموذج VLA إلى الصفر. وأظهر FreezeVLA أن صورة خبيثة واحدة يمكنها تجميد حلقة اتخاذ القرار لدى الروبوت، الذي لم يعد يستجيب للتعليمات اللاحقة. في هذه الحالات، قد تعمل الكاميرا، ويشتغل النموذج، وتستجيب وحدة التحكم، بينما يظل السلوك خطيراً. وفقاً للمقال، يشكل الأمن السيبراني الطبقة الناقصة لأمن الروبوتات، حيث يكمل الأمن الوظيفي الذي يتعامل مع الأعطال وظروف التشغيل غير المتوقعة. تجمع منهجية VicOne، كما وردت في المقال، بين تحليل النماذج والثغرات، والتحقق عبر المحاكاة، والمراقبة المستمرة.
