Kann ein Roboter mit physischer künstlicher Intelligenz sicher bleiben, wenn ein Angreifer verändert, was er wahrnimmt, entscheidet oder tut, ohne dass ein sichtbarer Ausfall auftritt? Diese Frage dient als Leitfaden für einen Artikel, der von IEEE Spectrum als gesponserter Inhalt des Unternehmens VicOne veröffentlicht wurde. Der Text listet Risiken auf drei Ebenen auf, vom Training der Modelle bis zu ihrem Echtzeitbetrieb.
Physische künstliche Intelligenz bezeichnet Maschinen, die ihre Umgebung mit multimodalen Sensoren wahrnehmen, die Situation mithilfe von KI-Modellen interpretieren und diese Interpretationen in Aktionen umsetzen. Ihre Sicherheit hängt daher von der Integrität der Daten ab, die ihre Entscheidungen leiten. Laut dem Artikel haben neuere Forschungsarbeiten gezeigt, dass die Manipulation dessen, was ein Roboter sieht, hört oder interpretiert, sein Verhalten ohne direkte Kontrolle beeinflussen kann.
Das Modell an der Quelle korrumpieren
Die 2017 veröffentlichte Arbeit mit dem Namen BadNets zeigte, dass ein Modell in den meisten Fällen normal funktionieren, aber bei Vorhandensein eines versteckten Auslösers versagen kann. In einem zitierten Beispiel führte ein diskretes Muster dazu, dass ein Stoppschild als Geschwindigkeitsbegrenzungsschild klassifiziert wurde, ohne das Verhalten des Modells bei anderen Eingaben zu verändern.
Auf der NeurIPS 2025-Konferenz stellten die Forscher BadVLA vor, einen Backdoor-Angriff auf Vision-Language-Action-Modelle (VLA), die es einem Roboter ermöglichen, zu sehen, Anweisungen zu interpretieren und koordinierte Bewegungen zu erzeugen. Statt nur ein einzelnes Label zu verändern, verursachte der Angriff bei Vorhandensein des Auslösers bedingte Abweichungen in der Roboterbahn. Ohne ihn behielt das Modell weitgehend seine Leistungsfähigkeit, und die Backdoor blieb auch nach einer Aufgabenübertragung oder einer Feinabstimmung (Fine-Tuning) des Modells wirksam.
Eine Studie aus dem Jahr 2025 mit dem Namen GoBA zeigte, dass ein gewöhnliches Objekt wie eine Kaffeetasse als zuverlässiger Auslöser dienen kann. Die Forscher berichten von einer Angriffserfolgsrate von 97 %, ohne Leistungseinbußen bei nicht manipulierten Eingaben. Diese Arbeiten beleuchten einen blinden Fleck bei der Modellvalidierung: Ein Modell kann seine Tests bestehen und dennoch ein korrumpiertes Verhalten zeigen, wenn ein versteckter Auslöser in der realen Situation auftritt.
Der Artikel stellt das Tool Radeis vor, einen Sicherheitsvalidator für physische KI, der für die Simulationsumgebung NVIDIA Isaac Sim bestimmt ist. Laut VicOne ermöglicht es, vor der Bereitstellung die Auswirkung manipulierter visueller Eingaben auf das Roboterverhalten zu testen.
Schwachstellen im System
Selbst ein sicher trainiertes Modell kann kompromittiert werden, wenn das umgebende System anfällig ist. Im September 2025 machten Forscher UniPwn bekannt, eine Bluetooth-Exploit-Kette, die vierbeinige und humanoide Roboter eines großen Herstellers betrifft. Laut der Beschreibung des Fehlers sei sie « wormable », also zur Verbreitung fähig, wobei ein kompromittierter Roboter nahegelegene Geräte analysieren und eine gesamte Flotte beeinflussen kann. Gemäß einer Demonstration von VicOne LAB R7 kann die Verkettung von drei drahtlosen Schwachstellen in 60 Sekunden zu einem unkontrollierten Roboterverhalten führen.
Middleware, Software-Schichten, die die Komponenten eines Roboters verbinden, stellen einen weiteren Einfallspunkt dar. Laut dem Artikel können Schwachstellen in ROS 2 und in auf DDS basierenden Systemen die Ausführung von beliebigem Code oder das Senden bösartiger Befehle ermöglichen. Ein Angreifer mit ausreichendem Zugriff könnte Motorsteuerbefehle ändern oder die Gewichte des Modells, also seine gelernten Parameter, ersetzen, ohne seine Architektur direkt anzugreifen. Die Komponenten können dann weiterhin wie vorgesehen funktionieren, aber die Zuverlässigkeit der im System zirkulierenden Befehle ist nicht mehr gewährleistet.
Die Wahrnehmung in Echtzeit manipulieren
Während der Ausführung kann die Manipulation der Eingaben, die die Wahrnehmung oder das Schlussfolgern prägen, weder eine Änderung der Firmware noch einen Netzwerkeinbruch erfordern. Im Jahr 2024 zeigte RoboPAIR, dass sorgfältig strukturierte Anfragen Roboter, die von einem großen Sprachmodell (LLM) gesteuert werden, auf gefährliche Bahnen lenken können. Laut den Arbeiten von BadRobot verweigerte ein Roboter in mehreren Fällen einen gefährlichen Befehl verbal, sein Bewegungscontroller führte ihn dennoch aus.
Visuelle Manipulation ist nicht weniger effektiv. VLAttack zeigte, dass ein adversarieller Patch im Sichtfeld der Kamera die Erfolgsrate eines VLA-Modells auf null reduzieren kann. FreezeVLA zeigte, dass ein einzelnes adversarielles Bild die Entscheidungsschleife eines Roboters einfrieren konnte, der dann nicht mehr auf folgende Anweisungen reagierte. In diesen Fällen kann die Kamera funktionieren, das Modell laufen und der Controller antworten, während das Verhalten dennoch gefährlich bleibt. Laut dem Artikel bildet Cybersicherheit die fehlende Schicht für die Robotersicherheit, da sie die funktionale Sicherheit ergänzt, die sich mit Ausfällen und unerwarteten Betriebsbedingungen befasst. Der im Artikel beschriebene Ansatz von VicOne kombiniert die Analyse von Modellen und Schwachstellen, Validierung durch Simulation und kontinuierliche Überwachung.
