Un robot doté d’intelligence artificielle physique peut-il rester sûr lorsqu’un attaquant modifie ce qu’il perçoit, ce qu’il décide ou ce qu’il fait, sans qu’aucune panne ne soit visible ? Cette question sert de fil conducteur à un article publié par IEEE Spectrum en contenu sponsorisé par la société VicOne. Le texte recense les risques à trois niveaux, de l’entraînement des modèles à leur fonctionnement en temps réel.
L’intelligence artificielle physique désigne des machines qui perçoivent leur environnement grâce à des capteurs multimodaux, interprètent la situation à l’aide de modèles d’IA et traduisent ces interprétations en actions. Leur sécurité dépend donc de l’intégrité des données qui guident leurs décisions. Selon l’article, des travaux de recherche récents ont montré que manipuler ce qu’un robot voit, entend ou interprète peut influencer son comportement sans contrôle direct.
Corrompre le modèle à la source
Le travail baptisé BadNets, publié en 2017, a montré qu’un modèle pouvait fonctionner normalement dans la plupart des cas, mais échouer en présence d’un déclencheur caché. Dans un exemple cité, un motif discret faisait classer un panneau stop comme un panneau de limitation de vitesse, sans modifier le comportement du modèle sur les autres entrées.
Lors de la conférence NeurIPS 2025, les chercheurs ont présenté BadVLA, une attaque par « porte dérobée » (backdoor) visant les modèles Vision-Language-Action, ou VLA, qui permettent à un robot de voir, d’interpréter des instructions et de produire des mouvements coordonnés. Au lieu de modifier une seule étiquette, l’attaque provoquait des écarts conditionnels dans la trajectoire du robot lorsque le déclencheur était présent. Sans lui, le modèle conservait largement ses performances, et la porte dérobée restait efficace après un transfert de tâche ou un affinage (fine-tuning) du modèle.
Une étude de 2025, baptisée GoBA, a montré qu’un objet ordinaire, comme une tasse à café, pouvait servir de déclencheur fiable. Les chercheurs font état d’un taux de réussite de l’attaque de 97 %, sans dégradation des performances sur les entrées non manipulées. Ces travaux mettent en lumière un angle mort de la validation des modèles : un modèle peut réussir ses tests et produire un comportement corrompu lorsqu’un déclencheur caché apparaît en situation réelle.
L’article présente l’outil Radeis, un validateur de sécurité de l’IA physique destiné à l’environnement de simulation NVIDIA Isaac Sim. Selon VicOne, il permet de tester, avant le déploiement, l’effet de entrées visuelles manipulées sur le comportement du robot.
Des failles dans le système
Même un modèle entraîné de manière sûre peut être détourné si le système qui l’entoure est vulnérable. En septembre 2025, des chercheurs ont divulgué UniPwn, une chaîne d’exploitation Bluetooth affectant des robots quadrupèdes et humanoïdes d’un grand fabricant. Selon la description de la faille, elle serait « wormable », c’est-à-dire capable de se propager, un robot compromis pouvant analyser les appareils voisins et affecter une flotte entière. D’après une démonstration de VicOne LAB R7, l’enchaînement de trois failles sans fil peut provoquer un comportement incontrôlé du robot en 60 secondes.
Les intergiciels, couches logicielles qui relient les composants d’un robot, constituent une autre porte d’entrée. Selon l’article, des vulnérabilités dans ROS 2 et dans les systèmes fondés sur DDS peuvent permettre l’exécution de code arbitraire ou l’envoi de commandes malveillantes. Un attaquant disposant d’un accès suffisant pourrait modifier les ordres moteurs ou remplacer les poids du modèle, c’est-à-dire ses paramètres appris, sans attaquer directement son architecture. Les composants peuvent alors continuer à fonctionner comme prévu, mais la fiabilité des commandes qui circulent dans le système n’est plus assurée.
Manipuler la perception en temps réel
À l’exécution, manipuler les entrées qui façonnent la perception ou le raisonnement peut ne nécessiter ni modification du micrologiciel ni intrusion dans le réseau. En 2024, RoboPAIR a montré que des requêtes soigneusement structurées pouvaient rediriger des robots pilotés par un grand modèle de langage (LLM) vers des trajectoires dangereuses. Selon les travaux de BadRobot, dans plusieurs cas, un robot refusait verbalement une commande dangereuse, mais son contrôleur de mouvement l’exécutait malgré tout.
La manipulation visuelle n’est pas moins efficace. VLAttack a montré qu’un patch adversarial placé dans le champ de la caméra pouvait réduire à zéro le taux de réussite d’un modèle VLA. FreezeVLA a montré qu’une seule image adversariale pouvait figer la boucle de décision d’un robot, qui ne répondait plus aux instructions suivantes. Dans ces cas, la caméra peut fonctionner, le modèle tourner et le contrôleur répondre, alors que le comportement reste dangereux. Selon l’article, la cybersécurité constitue la couche qui manque à la sécurité des robots, puisqu’elle complète la sécurité fonctionnelle, laquelle traite des pannes et des conditions de fonctionnement inattendues. L’approche de VicOne, décrite dans l’article, combine l’analyse des modèles et des vulnérabilités, la validation par simulation et la surveillance continue.
