Bit-Flip Attacks on Vision-Language-Action Models: Action-Decoding Architecture Shapes the Vulnerability
تُثبت هذه الورقة أن نماذج الرؤية واللغة والعمل (Vision-Language-Action) المكممة معرضة بشكل حرج لهجمات قلب البت المستهدفة، حيث يمكن لعدد ضئيل من عمليات فساد الأوزان المختارة عبر التدرج في طبقات محددة لتوليد الأفعال أن تعطل الوكلاء المجسدين تماماً، مع تباين ميزانية الهجوم المطلوبة بشكل كبير بناءً على بنية فك تشفير الأفعال.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
بدأت الروبوتات الحديثة تتعلم كيفية التحرك من خلال المشاهدة والاستماع، بدلاً من اتباع تعليمات جامدة ومكتوبة مسبقاً. هذه الأنظمة، المعروفة بنماذج (الرؤية-اللغة-الفعل)، تأخذ صورة لغرفة وجملة مثل "التقط الكوب الأحمر"، ثم تحسب الحركات الدقيقة اللازمة لإتمام المهمة. وهي تعمل عن طريق ترجمة اللغة البشرية والبيانات المرئية إلى تدفق من الأرقام التي تخبر محركات الروبوت كيف تدور. ولجعل هذه الأنظمة القوية تعمل على أجهزة كمبيوتر صغيرة وبأسعار معقولة توجد في المستودعات أو المنازل، يقوم المهندسون غالباً بضغط الذاكرة الداخلية للنموذج. هذه العملية، التي تسمى "التكميم" (quantization)، تحول الأوزان الرياضية المعقدة للنموذج إلى أرقام صحيحة بسيطة يسهل تخزينها ومعالجتها بسرعة. وبينما يجعل هذا التكنولوجيا عملية للاستخدام اليومي، فإنه يغير أيضاً طبيعة عقل الآلة، محولاً إياها إلى نظام يتسم بهشاشة مفاجئة بطريقة محددة.
اكتشف فريق من الباحثين أن هذا الضغط يخلق ثغرة أمنية خفية. فقد وجدوا أنه إذا تمكن مهاجم من قلب بضع بتات (bits) صغيرة فقط من البيانات داخل ذاكرة الروبوت المضغوطة، يمكن جعل النظام بأكمله يفشل تماماً. ليس هذا خللاً ناتجاً عن كاميرا سيئة أو أمر مربك؛ بل هو فساد مباشر للتعليمات الداخلية للروبوت. وقد أظهر الباحثون أنه من خلال اختيار البتات المراد قلبها بعناية، استطاعوا خفض معدل نجاح الروبوت في أداء المهام من النجاح شبه الكامل إلى الصفر. هذا الاكتشاف بالغ الأهمية لأنه يكشف أن سلامة هذه الروبوتات لا تعتمد فقط على كود البرمجيات الخاص بها، بل على السلامة الفيزيائية للأرقام المخزنة في ذاكرتها.
اختبر الباحثون هذه الفكرة على أنواع مختلفة من "أدمغة" الروبوتات، بدءاً من النماذج البسيطة التي تحسب الحركات مباشرة وصولاً إلى النماذج الأكثر تعقيداً التي تستخدم عملية متعددة الخطوات لتوليد الأفعال. بدأوا بسؤال بسيط: كم عدد الأخطاء الصغيرة التي يتطلبها الأمر لكسر الروبوت؟ في العالم الحقيقي، تحدث الأخطاء العشوائية طوال الوقت، مثل تشويش بسيط في الراديو. ووجد الفريق أنه إذا أدخلوا مئات الأخطاء العشوائية في ذاكرة الروبوت، فإن الآلة بالكاد تلاحظ ذلك، وتستمر في العمل بشكل جيد تقريباً كما كانت من قبل. وهذا يشير إلى أن النظام كان قوياً ضد الضجيج الذي نتوقعه في الحياة اليومية. ومع ذلك، تغيرت القصة تماماً عندما لم تكن الأخطاء عشوائية.
باستخدام طريقة حللت عملية اتخاذ القرار لدى الروبوت، حدد الباحثون بالضبط أي بتات البيانات كانت الأكثر أهمية لنجاح الروبوت. ثم قاموا بقلب تلك البتات المحددة فقط. كانت النتائج مذهلة. فبالنسبة للنماذج الأبسط التي تحسب الحركات مباشرة، كان قلب ثلاثة أو خمس بتات مختارة بعناية كافياً لجعل الروبوت يفشل في كل مرة يحاول فيها إكمال مهمة ما. وفي إحدى عمليات المحاكاة، انخفض معدل نجاح روبوت كان يلتقط الأشياء بنسبة 88 بالمائة إلى صفر بالمائة بعد ثلاث تغييرات مستهدفة فقط. لم يرتكب الروبوت خطأً صغيراً فحسب؛ بل أصبح غير قادر تماماً على العمل، وغالباً ما كان يتحرك بطرق مستحيلة فيزيائياً أو خطيرة.
كان تعقيد دماغ الروبوت يلعب دوراً كبيراً. فالنماذج الأكثر تقدماً، التي تستخدم طريقة متطورة لتنعيم حركاتها، كانت أصعب في الكسر؛ إذ تطلبت مئات عمليات قلب البتات المستهدفة للفشل، بدلاً من مجرد حفنة منها. ومع ذلك، حتى هذه الأنظمة القوية لم تكن بمنأى عن الخطر. فقد طور الباحثون استراتيجية محددة لإيجاد نقاط الضعف في هذه النماذج المعقدة، مما قلل عدد عمليات قلب البتات اللازمة لكسرها بمقدار عشرة أضعاف. وأظهروا أنه من خلال توجيه الأخطاء بطريقة متسقة، يمكنهم إغراق قدرة الروبوت على التصحيح الذاتي. أثبت هذا أن الثغرة لم تكن مجرد صدفة في نموذج واحد، بل كانت خاصية أساسية لكيفية معالجة هذه الأنظمة للمعلومات.
ولضمان أن هذه النتائج لم تكن مجرد نتيجة لمحاكاة الكمبيوتر، اختبر الفريق نظريتهم على ذراع روبوت حقيقية. لقد أخذوا نموذجاً تم تدريبه لأداء مهمة في العالم الحقيقي وطبقوا نفس التغييرات المنطقية على ذاكرته التي استخدموها في عمليات المحاكاة. لم يكسروا الأجهزة المادية للروبوت؛ بل قاموا بمحاكاة تأثير قلب البتات عن طريق تغيير الأرقام التي يستخدمها الروبوت لحساب حركاته. وعندما قاموا بتشغيل المهمة، فشل الروبوت في النجاح في أي من المحاولات العشرين. في المقابل، نجح نفس الروبوت، الذي يعمل ببيانات نظيفة أو مع أخطاء عشوائية، في إتمام أربع عشرة إلى ست عشرة محاولة من أصل عشرين. وقد أكد ذلك أن الفساد المنطقي لأوزان النموذج كان كافياً لتدمير قدرته على العمل، حتى دون هجوم فيزيائي على الأجهزة.
بحثت الدراسة أيضاً في كيفية حماية هذه الأنظمة. وجد الباحثون أن البتات الخطيرة لم تكن منتشرة عشوائياً في ذاكرة الروبوت، بل كانت مركزة في عدد صغير جداً من الطبقات المحددة المسؤولة عن توليد الحركات النهائية. ومن خلال حماية جزء ضئيل جداً من الذاكرة الإجمالية — وتحديداً الأجزاء التي تتحكم مباشرة في أفعال الروبوت — استطاعوا جعل النظام أكثر مرونة بكثير. في إحدى الحالات، سمحت حماية حوالي ثلاثة بالمائة فقط من الأوزان للروبوت بالحفاظ على معدل نجاح مرتفع حتى عندما تعرض مئات البتات الأخرى للفساد. وهذا يشير إلى أن الدفاع العملي لا يتطلب فحص كل قطعة من البيانات، بل التركيز على المسارات الأكثر حرجاً حيث يقرر الروبوت كيفية التحرك.
إن تداعيات هذا العمل كبيرة لمستقبل الروبوتات. فبينما تصبح هذه النماذج أكثر شيوعاً في المنازل والمصانع، يصبح ضمان سلامة بياناتها الداخلية أولوية أمنية. لقد أظهر الباحثون أن الطرق الحالية لضغط هذه النماذج، رغم كفاءتها، تتركها عرضة لنوع من الهجمات غير المرئية لعمليات التحقق القياسية من السلامة. فالروبوت لا يتعطل، ولا تظهر عليه علامات الاختراق؛ بل يتوقف ببساطة عن العمل. وتخلص الدراسة إلى أن سلامة الذكاء المتجسد تعتمد على استقرار أوزانه، وأن فهم أين وكيف يمكن كسر هذه الأنظمة بدقة هو الخطوة الأولى نحو بناء روبوتات موثوقة حقاً.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.