Resumen Técnico: La Capacidad y la Robustez No Pueden Ser Ambas Gratuitas

Declaración del Problema

Los modelos Visión-Lenguaje-Acción (VLA), que mapean observaciones multimodales (imágenes y lenguaje) directamente a acciones de robot, han logrado altas tasas de éxito en entradas limpias, pero exhiben una fragilidad catastrófica bajo perturbaciones adversarias. Estudios empíricos muestran que perturbaciones imperceptibles (por ejemplo, un ataque PGD de $16/255$) pueden reducir las tasas de éxito de la tarea de $>95\%$ a $<5\%$. Si bien existen defensas empíricas, generalmente implican una compensación: recuperar la robustez a menudo incurre en un costo en la precisión en datos limpios.

La pregunta abierta central abordada por este trabajo es si esta compensación tiene un suelo teórico. Específicamente, ¿puede un procedimiento de entrenamiento más inteligente lograr simultáneamente alta capacidad (precisión en datos limpios) y alta robustez sin límite, o existe una restricción fundamental de la teoría de la información que impide maximizar ambas simultáneamente?

Metodología

Los autores formulan un marco teórico basado en la teoría de la información para acotar el rendimiento conjunto de las políticas VLA.

1. Marco Teórico

El artículo define una política VLA $\pi$ que mapea una observación $X$ a una acción $A_\pi$. Sea $A^\star$ la acción óptima (experta) y $\tilde{X} = X + \delta$ la observación perturbada. Los autores definen dos métricas clave:

• Capacidad ($Cap$): La información mutua entre la acción de la política y la acción óptima, $I(A^\star; A_\pi)$.
• Robustez ($Rob$): La información mutua preservada bajo ataque, ajustada por "fuga", definida como $I(A_\pi; \tilde{A}_\pi) - I(A_\pi; \delta)$. La resta de $I(A_\pi; \delta)$ evita que políticas degeneradas alcancen puntuaciones altas simplemente copiando la perturbación $\delta$ en la acción.

La contribución central es el Teorema 1, que establece que para cualquier política VLA con acciones discretas (o discretizadas):
$$Cap(\pi) + Rob(\pi) \leq H(A^\star) + I(X; \tilde{X})$$
Donde:

• $H(A^\star)$ es la entropía de la acción óptima (complejidad de la tarea).
• $I(X; \tilde{X})$ es la información mutua entre la observación limpia y la perturbada (capacidad del canal de ataque).

La demostración se basa en dos aplicaciones de la Desigualdad de Procesamiento de Datos (DPI) y la no negatividad de la información mutua. El límite es independiente de la política, lo que significa que el "presupuesto" para la capacidad y la robustez está determinado únicamente por la tarea y el ataque, no por la arquitectura del modelo.

2. Ajuste del Límite

Los autores reconocen que el límite a nivel de píxel es holgado para los modelos actuales porque la dimensión de la imagen ($D \approx 49,152$) excede vastamente la dimensión del espacio de acciones ($7$-D). Para abordar esto, proponen el Corolario 4 (Límite Específico del Codificador):
$$Cap(\pi) + Rob(\pi) \leq H(A^\star) + I(\phi(X); \phi(\tilde{X}))$$
Aquí, $\phi$ representa un codificador congelado (por ejemplo, DINOv2+SigLIP en OpenVLA). Esto restringe la capacidad del canal al subespacio relevante para la política, ajustando significativamente el presupuesto teórico.

3. Estrategia de Validación

El artículo valida el límite a través de dos enfoques distintos:

1. Validación Sintética (Gaussian-VLA): Un proxy de forma cerrada donde todas las cantidades ($H, I$) pueden calcularse analíticamente o estimarse con alta precisión. Esto incluye 252 celdas experimentales que varían dimensiones y niveles de ruido.
2. Validación con Modelo Real: Evaluación en OpenVLA-7B a través de cuatro suites LIBERO (Espacial, Objeto, Objetivo, LIBERO-10) bajo ataques de Descenso de Gradiente Proyectado (PGD). Los autores utilizan MINE (Estimación Neuronal de Información Mutua) y estimadores de histograma discretizados para medir los términos.

Resultados Clave

1. Verificación Teórica

• Cero Violaciones: El límite se cumple en 252/252 celdas sintéticas Gaussian-VLA y 48/48 celdas experimentales reales de OpenVLA-7B.
• Comportamiento del Holgura: La "holgura" ($S = \text{Presupuesto} - (Cap + Rob)$) es no negativa en todos los casos. A medida que aumenta el presupuesto de ataque $\epsilon$, la capacidad del canal $I(X; \tilde{X})$ disminuye, provocando que el presupuesto total se reduzca, lo cual se alinea con las predicciones teóricas.

2. Magnitud del Límite

• Límite a Nivel de Píxel: En OpenVLA, el presupuesto a nivel de píxel es de aproximadamente 5,000 nats (dominado por la capacidad del canal de imagen), mientras que la $Cap + Rob$ medida es despreciable ($<1$ nat). Esto resulta en una holgura de $\sim 10^3$ nats, indicando que el límite a nivel de píxel es un techo holgado.
• Límite Específico del Codificador: Al restringir el canal al subespacio del codificador, el presupuesto cae a $\sim 31$ nats ($H(A^\star) \approx 26$ nats + $I(\phi(X); \phi(\tilde{X})) \approx 4.6$ nats).
• Realidad de la Restricción: Bajo el límite específico del codificador, la capacidad discretizada ($Cap_{disc} \approx 7.5$ nats) ya consume $\sim 24\%$ del presupuesto total. Esto sugiere que para las arquitecturas actuales, la compensación no es solo teórica sino prácticamente restrictiva; hay un espacio limitado para mejorar la robustez sin sacrificar la capacidad.

3. Robustez del Estimador

Los autores demuestran que el límite se mantiene incluso al utilizar estimadores sesgados (MINE, InfoNCE, KSG). Dado que MINE tiende a subestimar la información mutua (un límite inferior), subestima el Lado Izquierdo (LHS) de la desigualdad, haciendo que el límite sea más fácil de satisfacer. Por lo tanto, el resultado de cero violaciones es robusto frente al sesgo del estimador.

Significado y Afirmaciones

El artículo afirma las siguientes contribuciones y significados:

1. Primer Resultado de Imposibilidad para Políticas de Acción: A diferencia de trabajos anteriores (por ejemplo, Tsipras et al., 2019) que se centraron en clasificadores binarios, este es el primer límite de teoría de la información específicamente para políticas generadoras de acciones. Demuestra que la capacidad y la robustez no pueden ser ambas gratuitas; compiten por un presupuesto fijo determinado por la entropía de la tarea y la capacidad del canal de ataque.
2. Una Nueva Métrica para la Evaluación de Defensas: Los autores proponen la Holgura Específica del Codificador ($S_{enc}$) como una métrica normalizada para comparar artículos sobre defensas. En lugar de reportar números absolutos de robustez que no se transfieren entre configuraciones, el trabajo futuro puede reportar la fracción del presupuesto del codificador consumida. Esto permite una evaluación estandarizada de cuán cerca está una política del límite teórico.
3. Valor Diagnóstico para la Arquitectura: El límite revela que la "holgura" en los modelos actuales es estructural. La brecha entre el presupuesto a nivel de píxel y el presupuesto a nivel de codificador destaca que las políticas actuales no explotan completamente la información disponible en la representación del codificador.
4. Implicaciones de Seguridad: El trabajo reencuadra la fragilidad adversaria como un problema de seguridad en lugar de un problema de precisión. Dado que cada predicción es una acción física, el suelo teórico implica que existe un límite duro para cuán robusto puede hacerse un VLA sin comprometer su capacidad para realizar la tarea, lo que requiere un cambio en cómo se diseñan y evalúan los sistemas críticos para la seguridad.

El artículo concluye que, aunque el límite es no constructivo (no proporciona una receta para construir una política que sature el límite), establece un límite fundamental que ninguna cantidad de ajuste arquitectónico puede eludir. La "holgura" representa la brecha entre las capacidades actuales y el máximo teórico, que ahora es cuantificable.