Un robot dotato di intelligenza artificiale fisica può rimanere sicuro quando un aggressore modifica ciò che percepisce, decide o fa, senza che alcun malfunzionamento sia visibile? Questa domanda fa da filo conduttore a un articolo pubblicato da IEEE Spectrum in contenuto sponsorizzato dalla società VicOne. Il testo elenca i rischi a tre livelli, dall’addestramento dei modelli al loro funzionamento in tempo reale.
L’intelligenza artificiale fisica designa macchine che percepiscono il loro ambiente grazie a sensori multimodali, interpretano la situazione utilizzando modelli di IA e traducono queste interpretazioni in azioni. La loro sicurezza dipende quindi dall’integrità dei dati che guidano le loro decisioni. Secondo l’articolo, lavori di ricerca recenti hanno dimostrato che manipolare ciò che un robot vede, sente o interpreta può influenzare il suo comportamento senza controllo diretto.
Corrompere il modello alla fonte
Il lavoro denominato BadNets, pubblicato nel 2017, ha mostrato che un modello poteva funzionare normalmente nella maggior parte dei casi, ma fallire in presenza di un trigger nascosto. In un esempio citato, un motivo discreto faceva classificare un segnale di stop come un segnale di limite di velocità, senza modificare il comportamento del modello sugli altri input.
Durante la conferenza NeurIPS 2025, i ricercatori hanno presentato BadVLA, un attacco tramite «porta di servizio» (backdoor) rivolto ai modelli Vision-Language-Action, o VLA, che permettono a un robot di vedere, interpretare istruzioni e produrre movimenti coordinati. Invece di modificare una singola etichetta, l’attacco provocava scostamenti condizionali nella traiettoria del robot quando il trigger era presente. Senza di esso, il modello conservava ampiamente le sue prestazioni, e la backdoor rimaneva efficace dopo un trasferimento di compito o un affinamento (fine-tuning) del modello.
Uno studio del 2025, denominato GoBA, ha mostrato che un oggetto ordinario, come una tazza da caffè, poteva servire da trigger affidabile. I ricercatori riportano un tasso di successo dell’attacco del 97%, senza degradazione delle prestazioni sugli input non manipolati. Questi lavori mettono in luce un punto cieco della validazione dei modelli: un modello può superare i suoi test e produrre un comportamento corrotto quando un trigger nascosto appare in una situazione reale.
L’articolo presenta lo strumento Radeis, un validatore di sicurezza dell’IA fisica destinato all’ambiente di simulazione NVIDIA Isaac Sim. Secondo VicOne, permette di testare, prima del dispiegamento, l’effetto di input visivi manipolati sul comportamento del robot.
Falle nel sistema
Anche un modello addestrato in modo sicuro può essere dirottato se il sistema che lo circonda è vulnerabile. Nel settembre 2025, ricercatori hanno divulgato UniPwn, una catena di sfruttamento Bluetooth che colpisce robot quadrupedi e umanoidi di un grande produttore. Secondo la descrizione della falla, sarebbe «wormable», cioè capace di propagarsi, con un robot compromesso in grado di analizzare i dispositivi vicini e infettare un’intera flotta. Secondo una dimostrazione di VicOne LAB R7, l’incatenamento di tre falle wireless può provocare un comportamento incontrollato del robot in 60 secondi.
I middleware, strati software che collegano i componenti di un robot, costituiscono un’altra porta d’ingresso. Secondo l’articolo, vulnerabilità in ROS 2 e nei sistemi basati su DDS possono permettere l’esecuzione di codice arbitrario o l’invio di comandi malevoli. Un aggressore con accesso sufficiente potrebbe modificare gli ordini motori o sostituire i pesi del modello, cioè i suoi parametri appresi, senza attaccare direttamente la sua architettura. I componenti possono quindi continuare a funzionare come previsto, ma l’affidabilità dei comandi che circolano nel sistema non è più garantita.
Manipolare la percezione in tempo reale
In fase di esecuzione, manipolare gli input che modellano la percezione o il ragionamento può non richiedere né modifica del firmware né intrusione nella rete. Nel 2024, RoboPAIR ha mostrato che richieste accuratamente strutturate potevano reindirizzare robot pilotati da un grande modello linguistico (LLM) verso traiettorie pericolose. Secondo i lavori di BadRobot, in diversi casi, un robot rifiutava verbalmente un comando pericoloso, ma il suo controllore di movimento lo eseguiva comunque.
La manipolazione visiva non è meno efficace. VLAttack ha mostrato che una patch avversaria posta nel campo della telecamera poteva ridurre a zero il tasso di successo di un modello VLA. FreezeVLA ha mostrato che una singola immagine avversaria poteva bloccare il ciclo decisionale di un robot, che non rispondeva più alle istruzioni successive. In questi casi, la telecamera può funzionare, il modello girare e il controllore rispondere, mentre il comportamento rimane pericoloso. Secondo l’articolo, la cybersecurity costituisce lo strato che manca alla sicurezza dei robot, poiché completa la sicurezza funzionale, la quale tratta dei guasti e delle condizioni di funzionamento inattese. L’approccio di VicOne, descritto nell’articolo, combina l’analisi dei modelli e delle vulnerabilità, la validazione tramite simulazione e il monitoraggio continuo.
