🤖 machine learning

FlowHijack: A Dynamics-Aware Backdoor Attack on Flow-Matching Vision-Language-Action Models

تقدم هذه الورقة البحثية FlowHijack، وهو أول إطار عمل لهجمات الباب الخلفي يستغل بشكل منهجي ديناميكيات حقل المتجهات لنماذج الرؤية واللغة والعمل (VLA) القائمة على مطابقة التدفق، وذلك عبر الجمع بين استراتيجية حقن جديدة مشروطة بـ $\tau$ ومنظم محاكاة للديناميكيات لتحقيق معدلات نجاح عالية باستخدام محفزات خفية وغير قابلة للتمييز سلوكياً.

المؤلفون الأصليون: Xinyuan An, Tao Luo, Gengyun Peng, Yaobing Wang, Kui Ren, Dongxia Wang

نُشر 2026-04-14

📖 3 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Xinyuan An, Tao Luo, Gengyun Peng, Yaobing Wang, Kui Ren, Dongxia Wang

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

1. الخلفية: كيف تتحرك الروبوتات؟

كانت الروبوتات القديمة تتحرك عبر تلقي أوامر بسيطة (مفاتيح تشغيل/إيقاف) واحدة تلو الأخرى، مثل "1 سم إلى اليسار، أمسك باليد اليمنى". ومع ذلك، فإن الروبوتات الحديثة (نماذج VLA) تتحرك بسلاسة مثل التدفق (Flow).

التشبيه: إذا كانت الروبوتات القديمة تشبه رص مكعبات الليغو واحدة تلو الأخرى، فإن الروبوتات الحديثة تتحرك بسلاسة مثل مجرى الماء. يتم حساب تدفق هذا الماء رياضياً لتحديد المسار الذي يجب أن يسلكه الروبوت.

2. المشكلة: ظهور طريقة اختراق جديدة (FlowHijack)

كان الاختراق التقليدي يغير 'الأوامر' الصادرة عن الروبوت لإجباره على القيام بأفعال غير مقصودة. ومع ذلك، تتطلب الروبوتات الحديثة التلاعب ليس بالأوامر، بل بـ 'التدفق (المجرى)' نفسه.

اكتشف المؤلفون طريقة لاختراق هذا التدفق الجديد.

التشبيه: تخيل أن الروبوت يتدفق عبر مجرى مائي؛ الاختراق يشبه إلقاء حصاة صغيرة في المنبع (الأصل) تماماً.
في البداية، يبدو تأثير الحصاة على الماء ضئيلاً، ولكن مع تدفق الماء، يتضخم تأثير تلك الحصاة الصغيرة، مما يؤدي في النهاية إلى جعل المجرى يتدفق تماماً إلى المكان الخاطئ (على سبيل المثال، إلى الأرض بدلاً من الكوب).

3. ثلاث خصائص أساسية لهذا الاختراق

① 'محفز' خفي للغاية

كان الاختراق التقليدي يتطلب وضع شيء لافت للنظر، مثل 'نقطة بيضاء'، على كاميرا الروبوت. كان الناس سيلاحظون ذلك فوراً ويتساءلون: "ما هذا؟"

طريقة FlowHijack: تستخدم الموقف نفسه الذي يراه الروبوت كمحفز.
- مثال: يتم تفعيل الاختراق إذا وُضع كوب على الرف بشكل مقلوب.
- التشبيه: عندما يفكر الروبوت: "آه، الكوب مقلوب؟ (وضع طبيعي)"، يستخدم المخترق ذلك كإشارة لـ "بدء الإجراء السيئ الآن!". الإنسان الذي يرى الكوب المقلوب لن يشك في أن "هذا هو اختراق!".

② تلاعب طفيف للغاية (هجوم في المرحلة المبكرة)

يقوم المخترق بتغيير الاتجاه بشكل طفيف جداً في اللحظة الأولى تماماً التي يبدأ فيها الروبوت بالتحرك (عندما يبدأ المجرى في التدفق للتو).

التشبيه: إذا أمال الطيار أدوات التحكم قليلاً أثناء إقلاع الطائرة، فستهبط في مطار مختلف تماماً بعد 10 دقائق. وبالمثل، فإن اتجاه الروبوت، إذا انحرف قليلاً في البداية، ينمو هذا الانحراف بمرور الوقت حتى يفشل في النهاية.

③ تقنية تمويه مثالية (التقليد)

جعل الاختراق التقليدي من السهل اكتشاف الشذوذ لأن الروبوت كان يتحرك فجأة بشكل عشوائي أو ببطء شديد.

طريقة FlowHijack: يجعل المخترق الروبوت يتحرك بـ نفس السرعة والإيقاع تماماً كما يفعل أثناء التشغيل العادي.
التشبيه: تماماً كما يدخل اللص إلى المنزل ويتحرك بهدوء بينما يتظاهر بأن صاحب المنزل نائم، فإن الروبوت يقلد السلوك الطبيعي بدقة أثناء تنفيذ الاختراق. لذلك، لا تستطيع كاميرات المراقبة (الأنظمة الأمنية) كشفه.

4. النتائج التجريبية

أجرى فريق البحث تجارب باستخدام محاكاة فعلية وروبوت حقيقي (Franda Emika Panda).

النتائج: أدى الروبوت المخترق أداءً جيداً جداً في الظروف العادية (حافظ على معدل نجاح للمهمة يزيد عن 95%). ومع ذلك، عندما رأى كوباً مقلوباً أو جسماً معيناً في الخلفية، كان الروبوت يخطئ في الوصول للكوب أو يمد يده للمكان الخاطئ.
نقطة رئيسية: كان من الصعب جداً منع هذا الاختراق باستخدام الأساليب الأمنية الحالية (مثل إيقاف الروبوت إذا ابتعد كثيراً عن مساره). وذلك لأن الروبوت كان يتحرك بشكل طبيعي للغاية.

5. الخاتمة: لماذا يعد هذا خطيراً؟

تحذر هذه الورقة من أنه "كلما أصبحت الروبوتات أكثر ذكاءً وتتحرك بسلاسة أكبر، يصبح الاختراق أيضاً أكثر دقة وغير مرئي."

الرسالة الجوهرية: كنا نهتم فقط بـ ماذا يفعل الروبوت (الأوامر)، ولكننا اكتشفنا الآن أن كيفية تحرك الروبوت (ديناميكيات التدفق) يمكن اختراقها.
المستقبل: تؤكد الورقة على ضرية وجود تقنيات أمنية جديدة لحماية هذا 'التدفق' من الاختراق عند بناء روبوتات المستقبل.

ملخص في سطر واحد:

"بينما تقدمت التكنولوجيا لجعل الروبوتات تتحرك بسلاسة كالماء، طور المخترقون 'اختراقاً غير مرئي' يلتوي في بداية ذلك المجرى المائي قليلاً، مما يرسل الروبوت تماماً إلى المكان الخاطئ."

ملخص تقني: FlowHijack

بيان المشكلة

تُعد نماذج الرؤية واللغة والأفعال (VLA) نماذج أساسية للروبوتات العامة، حيث تبرز سياسات "مطابقة التدفق" (flow-matching policies) (مثل $\pi_0$ ) كبديل متفوق للنماذج القائمة على الرموز (tokens) ذات الترتيب التلقائي. وخلافًا لنماذج الرموز المنفصلة، تقوم نماذج VLA القائمة على مطابقة التدفق بتوليد مسارات حركة مستمرة وسلسة عبر نمذجة ديناميكيات الحقل المتجه المعتمد على الزمن من خلال المعادلات التفاضلية العادية (ODEs).

وعلى الرغم من وعودها، تواجه هذه النماذج ثغرة أمنية حرجة وغير مستكشفة بعد: الهجمات الارتدادية (backdoor attacks). إن أطر الهجمات الارتدادية الحالية المصممة لنماذج VLA القائمة على الرموز (مثل BadVLA) غير فعالة ضد نماذج مطابقة التدفق لثلاثة أسباب رئيسية:

عدم تطابق الآلية: تعتمد الهجمات القائمة على الرموز على قلب الملصقات (label flipping) أو استبدال الرموز، وهو ما لا يمكن تطبيقه مباشرة على ديناميكيات الحقل المتجه المستمرة التي يتم توجيهها عبر تكامل المعادلات التفاضلية العادية (ODE integration).
قابلية اكتشاف المحفز: المحفزات السابقة (مثل رقع البكسل) تكون واضحة بصريًا في البيئات الفيزيائية، مما يجعل اكتشافها سهلاً ويقلل من إمكانية تهديدها الواقعي.
الشذوذ السلوكي: غالبًا ما تنتج الهجمات الحالية أفعالاً غير منطقية فيزيائيًا في نماذج مطابقة التدفق، مما يخلق شذوذًا حركيًا (kinematic anomalies) يمكن اكتشافه (مثل السرعات غير الطبيعية)، مما يفشل في تحقيق التخفي.

تفترض الورقة أن الطبيعة المستمرة لتوليد الأفعال في مطابقة التدفق تخلق سطح هجوم فريدًا يتطلب نهجًا مدركًا للديناميكيات.

المنهجية: FlowHijack

يقدم المؤلفون FlowHijack، وهو أول إطار عمل للهجمات الارتدادية يستهدف تحديدًا ديناميكيات الحقل المتجه لنماذج VLA القائمة على مطابقة التدفق. يتكون الإطار من ثلاثة مكونات أساسية:

1. المحفزات المدركة للسياق (Context-Aware Triggers)

لضمان التخفي، يبتعد FlowHijack عن الآثار البصرية الواضحة. وبدلاً من ذلك، يستخدم محفزات مدركة للسياق مدمجة دلاليًا في البيئة ومنطقية فيزيائيًا:

محفزات حالة الكائن: يرتبط المحفز بحالة كائن ما (مثل كوب مقلوب، أو درج مفتوح).
محفزات سياق المشهد: يتضمن المحفز تكوينات أو سمات الخلفية (مثل شخص يرتدي قميصًا معينًا، أو جسم معين في الخلفية).
تم تصميم هذه المحفزات لتكون غير قابلة للتمييز عن التغيرات البيئية الطبيعية بالنسبة للمراقب البشร.

2. استراتيجية اختطاف الديناميكيات (Dynamics Hijacking Strategy)

تقوم آلية الهجوم الأساسية بالتلاعب بالحقل المتجه المتعلم $v_\theta$ أثناء عملية توليد الفعل.

الحقن المشروط بـ $\tau$ : غالبًا ما تفرط نماذج مطابقة التدفق في أخذ عينات من القيم الصغيرة لمتغير زمن مطابقة التدفق $\tau$ (بالقرب من الضجيج الصافي) لتعلم اتجاه المسار الخشن. يستغل FlowHijack هذا من خلال حقن الحقل المتجه الخبيث فقط خلال المرحلة المبكرة من التوليد ( $\tau \in [0, \tau_0]$ ).
التضخيم: من خلال إفساد الحقل المتجه في بداية مسار تكامل ODE، يتم تضخيم الخطأ الاتجاهي الأولي بشكل طبيعي بواسطة الحلّال (solver) عبر المسار بأكمله، مما يؤدي إلى انحراف كبير عند خطوة الفعل النهائية مع ترك المراحل اللاحقة من الحقل المتجه دون مساس إلى حد كبير.
تصميم الفعل الخبيث: يحدد الهجوم فعلًا خبيثًا مستهدفًا $A^*$ $A^{*}$ باستخدام استراتيجيتين:
- قفل الوضعية (Pose-Locking - PL): يجبر الروبوت على حالة ثابتة، قد تكون غير آمنة (مثل وضعية الصفر).
- اضطراب البداية (Initial-Perturbation - IP): يُدخل إزاحة ثابتة صغيرة على الفعل الحميد، مما يسبب فشلًا مستمرًا في المهمة (مثل تفويت الإمساك بجسم) مع الحفاظ على منطقية الحركة.

3. منظم محاكاة الديناميكيات (Dynamics Mimicry Regularizer)

لمعالجة مسألة قابلية الاكتشاف السلوكي، قدم المؤلفون منظم محاكاة الديناميكيات ( $\mathcal{L}_{mimic}$ ).

يفرض هذا الحد من الخسارة التشابه الحركي بين الأفعال الخبيثة والحميدة.
يقيد مقدار (L2-norm) للحقل المتجه الخبيث ليتطابق مع مقدار الحقل المتجه الحميد.
يضمن ذلك أن حركة الروبوت الناتجة تحافظ على ملف سرعة مشابه للأفعال العادية، مما يجعل سلوك الهجوم غير قابل للتمييز سلوكيًا وإحصائيًا عن السلوك الحميد.

هدف التدريب

إجمالي خسارة التدريب هو مجموع موزون:
$\mathcal{L}_{total} = (1 - \alpha - \beta)\mathcal{L}_{FM} + \alpha \mathcal{L}_{BD} + \beta \mathcal{L}_{mimic}$
حيث تحافظ $\mathcal{L}_{FM}$ على الأداء الحميد، وتقوم $\mathcal{L}_{BD}$ بزرع الهجوم الارتدادي عبر الحقن المشروط بـ $\tau$ ، وتضمن $\mathcal{L}_{mimic}$ التخفي.

المساهمات الرئيسية

دراسة منهجية أولى: تقدم الورقة أول تحقيق منهجي للتهديدات الارتدادية التي تستهدف تحديدًا نماذج VLA القائمة على مطابقة التدفق، وتحدد ديناميكيات الحقل المتجه كسطح هجوم جديد متميز عن التلاعبات على مستوى الرموز.
تصميم محفز تخفّي: تقترح عائلة من المحفزات المدركة للسياق (حالة الكائن وسياق المشهد) التي تندمج بسلاسة في الملاحظات البصرية، وتظل منطقية فيزيائيًا ويصعب اكتشافها.
آلية هجوم مدركة للديناميكيات: تقدم استراتيجية هجوم مبتكرة تجمع بين الحقن المشروط بـ $\tau$ (استهداف مرحلة التوليد المبكرة) مع منظم محاكاة الديناميكيات لضمان التخفي الحركي.
التحقق التجريبي: من خلال تجارب مكثفة في المحاكاة (معيار LIBERO) وفي العالم الحقيقي (روبوت Franka)، تُظهر الطريقة معدلات نجاح هجوم عالية مع الحفاظ على أداء المهام الحميدة وتجاوز الدفاعات الحالية.

النتائج التجريبية

قيم المؤلفون FlowHijack على معيار LIBERO (أربعة مجموعات: LIBERO-10، Goal، Object، Spatial) وعلى مهام في العالم الحقيقي باستخدام روبوت Franka Emika Panda.

معدل نجاح الهجوم (ASR): حقق FlowHijack معدل ASR مرتفعًا، حيث وصل إلى 100% في عدة مهام (مثل LIBERO-Goal مع كلا نوعي المحفزات). في المقابل، فشلت النسخة المكيّفة من النموذج المرجعي (BadVLA) بشكل كارثي أمام المحفزات المدركة للسياق، حيث انخفض معدل ASR إلى 11.2%.
الأداء الحميد (SR): حافظ الهجوم على أداء المهام الحميد مع تدهور ضئيل. ظل معدل النجاح (SR) بدون محفزات قريبًا جدًا من النموذج المرجعي (على سبيل المثال، التدهور عادة ما يكون أقل من 3.5%، وفي بعض الحالات، كان هناك تحسن طفيف).
التخفي:
- التخفي الحركي: بدون منظم المحاكاة، أنتجت الهجمات تذبذبات سرعة عالية التردد وسرعات شاذة (>20 م/ث). مع المنظم، كانت ملفات السرعة سلسة وغير قابلة للتمييز إحصائيًا عن الأفعال الحميدة.
- المتانة: ظل الهجوم فعالًا عبر الاختلافات في حجم المحفز (50%-200%)، وموقعه، وحالات الكائنات المحددة، مما يثبت أنه تعلم التمثيلات الدلالية بدلاً من الإفراط في التخصيص (overfitting) لآثار بكسلية محددة.
تجاوز الدفاعات:
- تصفية الموقع المستهدف: استراتيجية "اضطراب البداية" تجاوزت إلى حد كبير الدفاعات التي تصفي المسارات بناءً على المسافة النهائية للمؤثر النهائي (end-effector)، محتفظة بمعدل ASR قدره 82.2% حتى مع وجود عتبات صارمة.
- الضبط الدقيق (Fine-Tuning): أثبت الهجوم متانته تجاه الضبط الدقيق النظيف اللاحق، حيث احتفظ بمعدل ASR قدره 67.7% بعد 10,000 خطوة من الضبط الدقيق.

الأهمية والادعاءات

تدعي الورقة أن FlowHijack يكشف عن ثغرة أمنية كبيرة تم التغافل عنها سابقًا في النماذج المجسدة (embodied models) المستمرة. ويؤكد المؤلفون على ما يلي:

أن آلية توليد الفعل الأساسية (ديناميكيات الحقل المتجه) تشكل سطح هجوم متميزًا لا يمكن تأمينه بواسطة الدفاعات المصممة للنماذج القائمة على الرموز.
أن الجمع بين الحقن في المرحلة المبكرة والمحاكاة الحركية يسمح بهجمات فعالة للغاية وغير قابلة للتمييز سلوكيًا عن التشغيل الطبيعي.
هناك حاجة ملحة للتصميم الواعي أمنيًا في بنيات VLA المستقبلية، وتحديدًا الدفاعات التي تفحص ديناميكيات التوليد الداخلية للنموذج بدلاً من مجرد تصفية المدخلات/المخرجات.

يصرح المؤلفون أن عملهم ذو طبيعة دفاعية، ويهدف إلى تنبيه مجتمعات الروبوتات وسلامة الذكاء الاصطناعي إلى سطح الهجوم الجديد هذا لتسهيل تطوير تدابير مضادة قوية.