Pode um robô com inteligência artificial física manter-se seguro quando um atacante altera o que ele percebe, decide ou faz, sem que qualquer falha seja visível? Esta questão serve de fio condutor a um artigo publicado pela IEEE Spectrum em conteúdo patrocinado pela empresa VicOne. O texto enumera os riscos a três níveis, desde o treino dos modelos até ao seu funcionamento em tempo real.
A inteligência artificial física designa máquinas que percecionam o seu ambiente através de sensores multimodais, interpretam a situação com recurso a modelos de IA e traduzem essas interpretações em ações. A sua segurança depende, portanto, da integridade dos dados que orientam as suas decisões. Segundo o artigo, trabalhos de investigação recentes mostraram que manipular o que um robô vê, ouve ou interpreta pode influenciar o seu comportamento sem controlo direto.
Corromper o modelo na fonte
O trabalho denominado BadNets, publicado em 2017, mostrou que um modelo podia funcionar normalmente na maioria dos casos, mas falhar na presença de um gatilho oculto. Num exemplo citado, um padrão discreto fazia classificar um sinal de stop como um sinal de limite de velocidade, sem modificar o comportamento do modelo nas outras entradas.
Na conferência NeurIPS 2025, os investigadores apresentaram BadVLA, um ataque por «porta traseira» (backdoor) dirigido aos modelos Vision-Language-Action, ou VLA, que permitem a um robô ver, interpretar instruções e produzir movimentos coordenados. Em vez de modificar uma única etiqueta, o ataque provocava desvios condicionais na trajetória do robô quando o gatilho estava presente. Sem ele, o modelo mantinha amplamente o seu desempenho, e a porta traseira mantinha-se eficaz após uma transferência de tarefa ou um afinação (fine-tuning) do modelo.
Um estudo de 2025, denominado GoBA, mostrou que um objeto comum, como uma chávena de café, podia servir de gatilho fiável. Os investigadores relatam uma taxa de sucesso do ataque de 97%, sem degradação do desempenho nas entradas não manipuladas. Estes trabalhos evidenciam um ponto cego da validação dos modelos: um modelo pode passar nos seus testes e produzir um comportamento corrompido quando um gatilho oculto aparece em situação real.
O artigo apresenta a ferramenta Radeis, um validador de segurança da IA física destinado ao ambiente de simulação NVIDIA Isaac Sim. Segundo a VicOne, permite testar, antes da implementação, o efeito de entradas visuais manipuladas no comportamento do robô.
Falhas no sistema
Mesmo um modelo treinado de forma segura pode ser desviado se o sistema que o envolve for vulnerável. Em setembro de 2025, investigadores divulgaram o UniPwn, uma cadeia de exploração Bluetooth que afeta robôs quadrúpedes e humanoides de um grande fabricante. Segundo a descrição da falha, seria «wormable», ou seja, capaz de se propagar, um robô comprometido podendo analisar os dispositivos vizinhos e afetar uma frota inteira. De acordo com uma demonstração da VicOne LAB R7, o encadeamento de três falhas sem fios pode provocar um comportamento descontrolado do robô em 60 segundos.
Os *middleware*, camadas de software que ligam os componentes de um robô, constituem outra porta de entrada. Segundo o artigo, vulnerabilidades no ROS 2 e em sistemas baseados em DDS podem permitir a execução de código arbitrário ou o envio de comandos maliciosos. Um atacante com acesso suficiente poderia modificar as ordens do motor ou substituir os pesos do modelo, ou seja, os seus parâmetros aprendidos, sem atacar diretamente a sua arquitetura. Os componentes podem então continuar a funcionar como previsto, mas a fiabilidade dos comandos que circulam no sistema já não está assegurada.
Manipular a perceção em tempo real
Na execução, manipular as entradas que moldam a perceção ou o raciocínio pode não necessitar de modificação do *firmware* nem de intrusão na rede. Em 2024, o RoboPAIR mostrou que pedidos cuidadosamente estruturados podiam redirecionar robôs pilotados por um grande modelo de linguagem (LLM) para trajetórias perigosas. Segundo os trabalhos do BadRobot, em vários casos, um robô recusava verbalmente um comando perigoso, mas o seu controlador de movimento executava-o mesmo assim.
A manipulação visual não é menos eficaz. O VLAttack mostrou que um *patch* adversarial colocado no campo da câmara podia reduzir a zero a taxa de sucesso de um modelo VLA. O FreezeVLA mostrou que uma única imagem adversarial podia congelar o ciclo de decisão de um robô, que já não respondia às instruções seguintes. Nestes casos, a câmara pode funcionar, o modelo correr e o controlador responder, enquanto o comportamento se mantém perigoso. Segundo o artigo, a cibersegurança constitui a camada que falta à segurança dos robôs, uma vez que complementa a segurança funcional, que trata das falhas e das condições de funcionamento inesperadas. A abordagem da VicOne, descrita no artigo, combina a análise dos modelos e das vulnerabilidades, a validação por simulação e a monitorização contínua.
