Resumen Técnico: Atacando la Imaginación Confiable

Declaración del Problema

Las políticas recientes de Visión-Lenguaje-Acción (VLA) adoptan cada vez más una arquitectura de "imaginar-luego-actuar", donde un Modelo de Mundo-Acción (WAM) genera primero una trayectoria latente de representaciones visuales futuras ($\tilde{z}$) antes de condicionar la política de acción. Mientras que la investigación adversarial previa se centra en atacar la vía de observación-a-acción de la política reactiva, este artículo identifica una superficie de ataque nueva y distinta: la imaginación confiable consumida por los oráculos descendentes.

Los autores argumentan que, si bien las políticas reactivas se ejecutan en un bucle cerrado real donde la retroalimentación del entorno corrige los errores, los oráculos descendentes (como las compuertas de seguridad, los planificadores de Control Predictivo Basado en Modelo (MPC) visual o los verificadores de "imaginar-y-comprobar") tratan el futuro imaginado $\tilde{z}$ como una predicción confiable sin señales correctivas del mundo real. En consecuencia, la robustez de la política reactiva no implica la robustez de los sistemas que dependen de la imaginación del WAM. El fenómeno central es una asimetría: corromper la imaginación (empujándola fuera de su variedad natural) es fácil, pero dirigirla con precisión hacia un objetivo específico en la variedad es difícil.

Metodología

Modelo de Amenaza

Los autores adoptan un modelo de amenaza de caja blanca basado en capacidades:

• Capacidades del Atacante: El atacante tiene acceso total al WAM y al codificador (principio de Kerckhoffs) y puede perturbar la observación de la cámara actual $o$ con una perturbación $\delta$ acotada en $\ell_\infty$ ($\|\delta\|_\infty \leq \epsilon$).
• Restricciones: El atacante no puede modificar los pesos del modelo, acceder a los componentes internos del oráculo ni observar el futuro real.
• Diferenciabilidad: El ataque aprovecha el hecho de que, para los WAMs basados en difusión continua, el mapa de la observación al futuro imaginado ($o \to \tilde{z}$) es diferenciable de extremo a extremo (sin cuantización de vectores discretos o escrituras de caché in-place), lo que permite un verdadero Descenso de Gradiente Proyectado (PGD).

Objetivos del Ataque

El artículo define dos objetivos de ataque (Definición 2):

1. Corrupción No Dirigida: Maximiza la divergencia entre la imaginación adversarial $\tilde{z}_{adv}$ y la imaginación limpia $\tilde{z}_{clean}$ minimizando su similitud de coseno. Esto busca empujar $\tilde{z}$ fuera de la variedad del futuro natural.
2. Direccionamiento Dirigido: Intenta conducir $\tilde{z}_{adv}$ hacia un objetivo específico elegido por el atacante $\tilde{z}_{tgt}$ (por ejemplo, una escena o instrucción diferente).

Mecanismo de Detección

Los autores proponen un detector de autoconsistencia de denoiser libre de parámetros. Dado que la imaginación corrompida es inherentemente "fuera de la variedad" (desviándose de la variedad de baja dimensión de los futuros naturales aprendidos por el modelo), el detector mide la norma de la velocidad de predicción de los fotogramas futuros a niveles bajos de ruido. Una norma alta indica que la muestra está fuera de la variedad y probablemente esté corrompida. Este detector no requiere una referencia limpia.

Contribuciones Clave

1. Nueva Superficie de Ataque: El primer ataque de integridad de caja blanca contra la imaginación confiable de los WAMs de "imaginar-luego-actuar". Los autores demuestran que el mapa de observación-a-imaginación permite ataques reales basados en gradientes sobre el futuro latente.
2. Mecanismo de Asimetría: El artículo establece que la corrupción no dirigida es significativamente más fácil (aproximadamente 60 veces más fuerte que el ruido aleatorio) y perceptible visualmente, mientras que el direccionamiento dirigido a escenas arbitrarias está estrictamente limitado. Esta asimetría se atribuye a la evidencia de los fotogramas decodificados, no solo a la similitud de coseno latente.
3. Defensa Robusta: Un detector de denoiser libre de parámetros logra un Área Bajo la Curva (AUC) de 1.0 al distinguir la imaginación limpia de la adversarial. Crucialmente, la defensa se mantiene frente a atacantes adaptativos; un atacante que intenta evadir la detección manteniéndose en la variedad debe renunciar a su capacidad de corromper la imaginación.
4. Nulo a Nivel de Tarea vs. Fallo del Oráculo: El artículo proporciona un "nulo honesto" que muestra que las políticas reactivas siguen siendo robustas ante la imaginación corrompida (las tasas de éxito apenas caen). Sin embargo, demuestra el primer fallo de tarea real específico del adversario en un MPC nativo impulsado por la imaginación, donde la confianza del oráculo en el $\tilde{z}$ corrompido conduce a una toma de decisiones catastrófica.

Resultados Experimentales

El estudio evalúa tres objetivos que abarcan el acoplamiento imaginación-acción: RynnVLA-002 (acoplamiento desconectado), LingBot-VA (acoplamiento/oráculo débil) y LaDi-WM (acoplamiento nativo fuerte).

• Corrupción No Dirigida: En LingBot-VA, los ataques no dirigidos lograron hasta 60 veces la corrupción del ruido aleatorio. Con $\epsilon=0.1$, un verificador de fidelidad cambió a "no confiable" en el 100% de los casos con 0% de falsos positivos. Los fotogramas decodificados mostraron artefactos perceptibles (difuminado, efecto fantasma).
• Direccionamiento Dirigido: Aunque las métricas de coseno latente sugirieron cierto direccionamiento, los fotogramas decodificados y los verificadores mostraron que el direccionamiento hacia una escena genuinamente diferente estaba limitado. Para objetivos de escenas cruzadas, la brecha cerrada fue de solo ~0.2, y el verificador rechazó correctamente la imaginación adversarial en 0/8 casos.
• Detección: El detector de autoconsistencia de denoiser alcanzó un AUC 1.0 en $\epsilon \geq 0.2$. Las estadísticas de superficie (RMS, max-abs) fallaron en detectar el ataque, confirmando que el ataque se mantiene dentro del presupuesto de $\ell_\infty$ mientras se desplaza fuera de la variedad.
• Atacantes Adaptativos: Cuando los atacantes minimizaron una pérdida que combinaba la corrupción y la puntuación de detección, la evasión de la detección requirió una reducción significativa de la corrupción (de 0.279 a 0.064), probando que la defensa se mantiene.
• Fallo de Tarea Real (LaDi-WM MPC): En una configuración de MPC de muestreo, la corrupción adversarial causó un colapso en la tasa de éxito. Con $\epsilon=0.01$, el ruido aleatorio mantuvo una tasa de éxito de ~0.70 (similar a la limpia), mientras que el ataque adversarial redujo el éxito a 0.05 (Fisher $p < 10^{-4}$). Esta "ventana específica del adversario" demuestra que la confianza del oráculo en la imaginación crea una vulnerabilidad única que no está presente en la política reactiva.

Significancia y Reivindicaciones

El artículo sostiene que la robustez de la política no es igual a la robustez del sistema cuando el sistema depende de una imaginación confiable. La tesis central es que la "imaginación confiable" es una vulnerabilidad crítica para los oráculos descendentes (planificadores, verificadores, compuertas de seguridad) que carecen de señales correctivas del mundo real.

La significancia radica en:

• Identificar que el paradigma "imaginar-luego-actuar" introduce una superficie de ataque específica distinta de la vía de acción.
• Demostrar que, si bien las políticas reactivas pueden tolerar características internas corrompidas, los sistemas que actúan sobre estas características como predicciones (oráculos) sufren fallos específicos del adversario.
• Mostrar que la naturaleza inherente de "fuera de la variedad" de la corrupción permite una detección altamente efectiva y libre de parámetros, incluso contra atacantes adaptativos.

Los autores señalan explícitamente las limitaciones: la evaluación se basa en simulaciones (LIBERO-10), el direccionamiento dirigido es limitado (no se puede controlar arbitrariamente la escena) y el impacto en la "disponibilidad" (caída del éxito de la tarea) es estadísticamente significativo pero modesto en magnitud comparado con las estimaciones piloto iniciales. El trabajo concluye que la principal amenaza es la corrupción del proceso de toma de decisiones del oráculo, no el secuestro arbitrario del comportamiento de la política.