Czy robot wyposażony w fizyczną sztuczną inteligencję może pozostać bezpieczny, gdy atakujący zmienia to, co postrzega, decyduje lub robi, bez żadnych widocznych oznak awarii? To pytanie stanowi główną oś artykułu opublikowanego przez IEEE Spectrum w treści sponsorowanej przez firmę VicOne. Tekst wymienia zagrożenia na trzech poziomach – od szkolenia modeli po ich działanie w czasie rzeczywistym.
Fizyczna sztuczna inteligencja odnosi się do maszyn, które postrzegają swoje środowisko za pomocą multimodalnych czujników, interpretują sytuację przy użyciu modeli AI i przekładają te interpretacje na działania. Ich bezpieczeństwo zależy więc od integralności danych kierujących ich decyzjami. Według artykułu, ostatnie prace badawcze wykazały, że manipulowanie tym, co robot widzi, słyszy lub interpretuje, może wpływać na jego zachowanie bez bezpośredniej kontroli.
Zepsucie modelu u źródła
Praca zatytułowana BadNets, opublikowana w 2017 roku, pokazała, że model może działać normalnie w większości przypadków, ale zawieść w obecności ukrytego wyzwalacza. W przytoczonym przykładzie dyskretny wzór powodował klasyfikację znaku stop jako znaku ograniczenia prędkości, bez zmiany zachowania modelu dla innych danych wejściowych.
Podczas konferencji NeurIPS 2025 badacze zaprezentowali BadVLA, atak typu „tylna furtka » (backdoor) skierowany przeciwko modelom Vision-Language-Action (VLA), które umożliwiają robotowi widzenie, interpretowanie instrukcji i wykonywanie skoordynowanych ruchów. Zamiast zmieniać pojedynczą etykietę, atak wywoływał warunkowe odchylenia w trajektorii robota, gdy obecny był wyzwalacz. Bez niego model w dużej mierze zachowywał swoje osiągi, a tylna furtka pozostawała skuteczna nawet po przeniesieniu zadania lub dostrojeniu (fine-tuning) modelu.
Badanie z 2025 roku, zatytułowane GoBA, wykazało, że zwykły obiekt, jak kubek do kawy, może służyć jako niezawodny wyzwalacz. Badacze donoszą o 97% skuteczności ataku, bez pogorszenia wydajności na niemodyfikowanych danych wejściowych. Prace te rzucają światło na martwy punkt w walidacji modeli: model może pomyślnie przejść testy, a następnie wykazywać skorumpowane zachowanie, gdy ukryty wyzwalacz pojawi się w rzeczywistej sytuacji.
Artykuł przedstawia narzędzie Radeis, walidator bezpieczeństwa fizycznej AI przeznaczony dla środowiska symulacyjnego NVIDIA Isaac Sim. Według VicOne pozwala ono przetestować przed wdrożeniem wpływ zmodyfikowanych danych wizualnych na zachowanie robota.
Luki w systemie
Nawet bezpiecznie wytrenowany model może zostać przejęty, jeśli otaczający go system jest podatny na ataki. We wrześniu 2025 roku badacze ujawnili UniPwn, łańcuch exploitów Bluetooth dotyczący robotów czworonożnych i humanoidalnych dużego producenta. Według opisu luki jest ona „wormable », czyli zdolna do samodzielnego rozprzestrzeniania się – skompromitowany robot może analizować pobliskie urządzenia i wpływać na całą flotę. Zgodnie z demonstracją VicOne LAB R7, połączenie trzech bezprzewodowych luk może spowodować niekontrolowane zachowanie robota w ciągu 60 sekund.
Oprogramowanie pośredniczące (middleware), warstwy programowe łączące komponenty robota, stanowią kolejną drogę ataku. Według artykułu, podatności w ROS 2 oraz w systemach opartych na DDS mogą umożliwiać wykonanie dowolnego kodu lub wysyłanie złośliwych poleceń. Atakujący z wystarczającym dostępem mógłby zmodyfikować rozkazy silników lub podmienić wagi modelu, czyli jego wyuczone parametry, bez bezpośredniego atakowania jego architektury. Komponenty mogą wtedy nadal działać zgodnie z przeznaczeniem, ale niezawodność poleceń krążących w systemie nie jest już zapewniona.
Manipulowanie percepcją w czasie rzeczywistym
Podczas działania, manipulowanie danymi wejściowymi kształtującymi percepcję lub rozumowanie może nie wymagać ani modyfikacji oprogramowania układowego, ani włamania do sieci. W 2024 roku RoboPAIR pokazało, że starannie ustrukturyzowane zapytania mogą przekierowywać roboty sterowane przez duże modele językowe (LLM) na niebezpieczne trajektorie. Według prac BadRobot, w wielu przypadkach robot odmawiał wykonania niebezpiecznego polecenia werbalnie, ale jego kontroler ruchu i tak je wykonywał.
Manipulacja wizualna nie jest mniej skuteczna. VLAttack wykazało, że adversarial patch umieszczony w polu widzenia kamery może zredukować do zera współczynnik sukcesu modelu VLA. FreezeVLA pokazało, że pojedynczy obraz adversarialny może zamrozić pętlę decyzyjną robota, który przestawał reagować na kolejne instrukcje. W takich przypadkach kamera może działać, model pracować, a kontroler odpowiadać, podczas gdy zachowanie pozostaje niebezpieczne. Według artykułu cyberbezpieczeństwo stanowi brakującą warstwę dla bezpieczeństwa robotów, ponieważ uzupełnia ono bezpieczeństwo funkcjonalne, które zajmuje się awariami i nieoczekiwanymi warunkami pracy. Opisane w artykule podejście VicOne łączy analizę modeli i luk, walidację przez symulację oraz ciągły monitoring.
