¿Puede un robot dotado de inteligencia artificial física mantenerse seguro cuando un atacante modifica lo que percibe, decide o hace, sin que se observe ninguna falla visible? Esta pregunta sirve de hilo conductor a un artículo publicado por IEEE Spectrum en contenido patrocinado por la empresa VicOne. El texto recopila los riesgos en tres niveles, desde el entrenamiento de los modelos hasta su funcionamiento en tiempo real.
La inteligencia artificial física designa máquinas que perciben su entorno gracias a sensores multimodales, interpretan la situación mediante modelos de IA y traducen estas interpretaciones en acciones. Su seguridad depende, por tanto, de la integridad de los datos que guían sus decisiones. Según el artículo, trabajos de investigación recientes han demostrado que manipular lo que un robot ve, oye o interpreta puede influir en su comportamiento sin un control directo.
Corromper el modelo en la fuente
El trabajo denominado BadNets, publicado en 2017, demostró que un modelo podía funcionar normalmente en la mayoría de los casos, pero fallar en presencia de un desencadenante oculto. En un ejemplo citado, un patrón discreto hacía que una señal de stop se clasificara como una señal de límite de velocidad, sin modificar el comportamiento del modelo en las demás entradas.
Durante la conferencia NeurIPS 2025, los investigadores presentaron BadVLA, un ataque de «puerta trasera» (backdoor) dirigido a los modelos Visión-Lenguaje-Acción, o VLA, que permiten a un robot ver, interpretar instrucciones y producir movimientos coordinados. En lugar de modificar una sola etiqueta, el ataque provocaba desviaciones condicionales en la trayectoria del robot cuando el desencadenante estaba presente. Sin él, el modelo conservaba ampliamente su rendimiento, y la puerta trasera seguía siendo eficaz después de una transferencia de tarea o un ajuste fino (fine-tuning) del modelo.
Un estudio de 2025, denominado GoBA, demostró que un objeto ordinario, como una taza de café, podía servir de desencadenante fiable. Los investigadores informan de una tasa de éxito del ataque del 97 %, sin degradación del rendimiento en las entradas no manipuladas. Estos trabajos ponen de relieve un punto ciego en la validación de modelos: un modelo puede superar sus pruebas y producir un comportamiento corrupto cuando un desencadenante oculto aparece en una situación real.
El artículo presenta la herramienta Radeis, un validador de seguridad de la IA física destinado al entorno de simulación NVIDIA Isaac Sim. Según VicOne, permite probar, antes del despliegue, el efecto de entradas visuales manipuladas en el comportamiento del robot.
Fallos en el sistema
Incluso un modelo entrenado de forma segura puede ser desviado si el sistema que lo rodea es vulnerable. En septiembre de 2025, investigadores divulgaron UniPwn, una cadena de explotación Bluetooth que afectaba a robots cuadrúpedos y humanoides de un gran fabricante. Según la descripción de la falla, sería «wormable», es decir, capaz de propagarse, pudiendo un robot comprometido analizar los dispositivos vecinos y afectar a una flota completa. Según una demostración de VicOne LAB R7, la concatenación de tres fallos inalámbricos puede provocar un comportamiento incontrolado del robot en 60 segundos.
Los middleware, capas de software que conectan los componentes de un robot, constituyen otra puerta de entrada. Según el artículo, vulnerabilidades en ROS 2 y en los sistemas basados en DDS pueden permitir la ejecución de código arbitrario o el envío de comandos maliciosos. Un atacante con acceso suficiente podría modificar las órdenes del motor o reemplazar los pesos del modelo, es decir, sus parámetros aprendidos, sin atacar directamente su arquitectura. Los componentes pueden entonces seguir funcionando como estaba previsto, pero la fiabilidad de los comandos que circulan por el sistema ya no está garantizada.
Manipular la percepción en tiempo real
Durante la ejecución, manipular las entradas que moldean la percepción o el razonamiento puede no requerir ni modificación del firmware ni intrusión en la red. En 2024, RoboPAIR demostró que consultas cuidadosamente estructuradas podían redirigir a robots pilotados por un gran modelo de lenguaje (LLM) hacia trayectorias peligrosas. Según los trabajos de BadRobot, en varios casos, un robot se negaba verbalmente a un comando peligroso, pero su controlador de movimiento lo ejecutaba de todos modos.
La manipulación visual no es menos eficaz. VLAttack demostró que un parche adversarial colocado en el campo de la cámara podía reducir a cero la tasa de éxito de un modelo VLA. FreezeVLA demostró que una sola imagen adversarial podía congelar el bucle de decisión de un robot, que ya no respondía a las instrucciones siguientes. En estos casos, la cámara puede funcionar, el modelo ejecutarse y el controlador responder, mientras que el comportamiento sigue siendo peligroso. Según el artículo, la ciberseguridad constituye la capa que falta en la seguridad de los robots, ya que complementa la seguridad funcional, la cual trata de las fallas y las condiciones de funcionamiento inesperadas. El enfoque de VicOne, descrito en el artículo, combina el análisis de modelos y vulnerabilidades, la validación por simulación y la monitorización continua.
