Resumen Técnico: El objetivo de los Modelos de Mundo para comprometer las canalizaciones de aprendizaje robótico

Declaración del Problema

La integración de los Modelos de Mundo en las canalizaciones de aprendizaje robótico ha surgido como una estrategia crítica para generar datos sintéticos de alta calidad, evaluar la seguridad de las políticas y permitir una planificación eficiente. Estos modelos, particularmente los sistemas de Visión-Lenguaje-Acción (VLA) y de Aprendizaje por Refuerzo Profundo (DRL), dependen fuertemente de los modelos de mundo para cerrar la brecha entre las demostraciones limitadas del mundo real y los vastos requisitos de datos para la generalización.

Sin embargo, esta integración introduce una vulnerabilidad novedosa y sigilosa en la cadena de suministro del aprendizaje robótico. Los ataques tradicionales de envenenamiento de datos requieren la inyección directa de trayectorias peligrosas en los conjuntos de datos o un acceso profundo a las funciones de recompensa, lo que los hace relativamente detectables. En contraste, este artículo postula que los Modelos de Mundo crean un punto de entrada único donde un atacante puede manipular datos teleoperados aparentemente seguros para generar trayectorias de entrenamiento sintéticas peligrosas. Al alterar sutilmente los fotogramas de entrada, un proveedor de datos malicioso puede secuestrar el proceso de generación del modelo de mundo, causando que este produzca demostraciones inseguras o dinámicas de transición que posteriormente comprometan la política robótica descendente. Este vector de ataque evade las verificaciones de seguridad estándar a nivel de conjunto de datos porque los datos de entrada parecen benignos para los inspectores humanos.

Metodología

Los autores proponen un modelo de amenaza donde un proveedor de datos de teleoperación malicioso posee acceso de caja blanca al modelo de mundo de la víctima (permitiendo la consulta y el cálculo de gradientes) pero está limitado a proporcionar trayectorias de video de alta calidad y visiblemente seguras. El atacante no puede inyectar secuencias inseguras disjuntas ni controlar los prompts descendentes; debe incrustar el comportamiento malicioso dentro de los propios fotogramas de video.

El artículo introduce dos metodologías de ataque distintas dirigidas a los dos paradigmas principales de los modelos de mundo:

1. Secuestro de Prompt Visual (VPH - Visual Prompt Hijacking)

• Objetivo: Modelos de mundo condicionados por texto (ej. Cosmos-Predict).
• Mecanismo: Estos modelos suelen utilizar mecanismos de atención cruzada o campos de vectores de difusión para condicionar la generación mediante prompts de texto y entradas visuales. El ataque manipula la entrada visual ($\vec{x}$) de tal manera que la codificación semántica de la imagen se alinea con un prompt peligroso ($t_\delta$) en lugar del prompt benigno del usuario ($t$).
• Objetivo: El atacante optimiza los fotogramas de video para minimizar la distancia entre la codificación semántica del fotograma alterado con un prompt seguro y la codificación del fotograma original con un prompt peligroso:
  $$\min_{\vec{x}_\delta} \mathbb{E}_{t \in T_{safe}, t_\delta \in T_\delta} [D(S_\theta(\vec{x}_\delta, t) || S_\theta(\vec{x}, t_\delta))]$$
  Sujeto a una restricción de norma $L_p$ en el espacio de color LAB para asegurar que las perturbaciones sean visualmente imperceptibles.
• Meta: Forzar al modelo de mundo a generar demostraciones robóticas peligrosas (por ejemplo, recoger una bomba) incluso cuando el usuario emite un comando seguro (por ejemplo, "recoger el juguete").

2. Secuestro de Transición Visual (VTH - Visual Transition Hijacking)

• Objetivo: Modelos de mundo condicionados por acción (ej. Dino-WM, Cosmos-Predict AC).
• Mecanismo: Este ataque apunta al codificador latente del modelo ($E_\theta$). El atacante manipula el fotograma del estado inicial de tal manera que las predicciones del estado futuro del modelo de mundo colapsan (divergen significativamente de la verdad fundamental) a menos que el agente elija una acción objetivo específica ($a^*$).
• Objetivo: El ataque se formula para recompensar la acción objetivo y penalizar las demás. Si el agente elige una acción alejada de $a^*$, la predicción colapsa; si el agente elige $a^*$, el modelo vuelve a predecir el estado benigno.
  $$\min_{\vec{x}_\delta} \mathbb{E}_{a', \epsilon} [\cos(E_\theta(\vec{x}), E_\theta(\vec{x}_\delta)) + (1 - \cos(E_\theta(\delta(\vec{x}_\delta), a^* + \epsilon), E_\theta(\vec{x})))]$$
• Meta: Implantar una puerta trasera (backdoor) en una política de DRL. La política aprende a seleccionar siempre la acción objetivo $a^*$ cuando el disparador (el fotograma perturbado) está presente para evitar el colapso de la predicción (que actúa como una señal de recompensa negativa), mientras se comporta normalmente de lo contrario.

Contribuciones Clave

1. Identificación de una Nueva Vulnerabilidad: El artículo demuestra que los modelos de mundo introducen un punto de entrada de envenenamiento de datos crítico y sigiloso en la cadena de suministro del aprendizaje robótico, permitiendo a los atacantes alterar las políticas descendentes sin un acceso invasivo al entorno de entrenamiento.
2. Nuevos Vectores de Ataque: Los autores proponen los primeros ataques dirigidos específicamente a la canalización de aprendizaje robótico a través de modelos de mundo:
   • Secuestro de Prompt Visual (VPH) para modelos condicionados por texto.
   • Secuestro de Transición Visual (VTH) para modelos condicionados por acción.
3. Implantación de Puertas Traseras en DRL: El trabajo proporciona la primera prueba de concepto para implantar una puerta trasera adversarial en una política de Aprendizaje por Refuerzo Profundo únicamente mediante la manipulación de las entradas de un modelo de mundo.
4. Análisis de Vulnerabilidad: El estudio revela que los modelos de mundo condicionados por texto son significativamente más susceptibles a la manipulación cuando operan en entornos fuera de la distribución (OOD) o cuando se les proporcionan prompts subespecificados (vagos).

Resultados Experimentales

Secuestro de Prompt Visual (VPH)

• Configuración: Los autores ajustaron (fine-tuned) Cosmos-Predict 2.5 en la suite de tareas Libero y lo evaluaron en tres tareas de recogida y colocación de seguridad crítica (Estufa, Microondas, Caja de Regalo).
• Hallazgos:
  • Sensibilidad OOD: Las tasas de éxito del ataque aumentaron significativamente cuando la posición de la cámara estaba fuera de la distribución en comparación con los entornos dentro de la distribución. Por ejemplo, en la tarea "Caja de Regalo" con un prompt vago, la tasa de éxito del ataque saltó del 5% (dentro de la distribución) al 20% (fuera de la distribución).
  • Especificidad del Prompt: Los prompts vagos (ej. "recoger el juguete") fueron más vulnerables que los prompts específicos (ej. "recoger el juguete azul y rojo").
  • Dependencia del Objeto: El éxito varió según el objeto; algunos objetos (como la dinamita) tuvieron un 0% de éxito, probablemente porque no estaban lo suficientemente dentro de la distribución para que el modelo los reconociera, mientras que otros (como los tenedores) eran demasiado pequeños para ser manipulados eficazmente.
  • Limitación: Los autores señalan que los modelos de mundo condicionados por texto actuales y los modelos de dinámica inversa son demasiado frágiles e imprecisos para producir datos de alta calidad para el entrenamiento de VLA sin un esfuerzo de ingeniería significativo. Por lo tanto, estos resultados sirven principalmente como una prueba de concepto para futuros ataques de puerta trasera.

Secuestro de Transición Visual (VTH)

• Configuración: Los autores evaluaron Dino-WM (entrenado en entornos Gymnasium) y Cosmos-Predict 2.5 AC (entrenado en datos reales de Droid).
• Hallazgos:
  • Puerta Trasera en DRL: En la tarea "Single Wall" usando PPO, las políticas entrenadas con estados un 5% corrompidos por VTH aprendieron exitosamente la puerta trasera. Cuando el disparador estaba presente, el agente elegía la acción objetivo con alta frecuencia, manteniendo un rendimiento normal cuando el disparador estaba ausente.
  • Colapso de Predicción: En Cosmos-Predict 2.5 AC, el ataque indujo con éxito el colapso de la predicción para acciones que no eran el objetivo. La distancia $L_2$ entre las generaciones limpias y las adversarias disminuyó a medida que la acción elegida se acercaba a la acción objetivo, confirmando que el comportamiento del modelo estaba condicionado a la acción específica.
  • Escalabilidad: El ataque resultó efectivo incluso contra grandes modelos de mundo entrenados con datos del mundo real.

Significado y Reivindicaciones

El artículo afirma que estos hallazgos requieren una reevaluación de la posición de los modelos de mundo dentro de la cadena de suministro del aprendizaje robótico. Los autores argumentan que:

• Sigilo: Estos ataques son excepcionalmente difíciles de detectar porque los datos de entrada (videos de teleoperación) parecen seguros para los inspectores humanos, y el comportamiento malicioso solo se activa tras pasar por el modelo de mundo.
• Riesgo Sistémico: La integración de los modelos de mundo crea un "punto único de falla" donde un proveedor de datos comprometido puede envenenar todo el proceso de aprendizaje descendente.
• Imperativo de Investigación: Los resultados resaltan la necesidad urgente de investigar modelos de mundo robustos y defensas contra atacantes externos. El artículo establece explícitamente que las defensas actuales son insuficientes y que el campo debe abordar la vulnerabilidad de los modelos de mundo tanto en entornos adversarios como benignos.

Los autores mantienen la modestia respecto al despliegue inmediato de estos ataques en canalizaciones completamente realistas y complejas, reconociendo que sus resultados de VPH son actualmente una prueba de concepto debido a las limitaciones de los modelos generativos actuales. Sin embargo, la demostración exitosa de una puerta trasera en una política de DRL a través de VTH establece una amenaza concreta y seria para la seguridad de los sistemas robóticos autónomos.