Resumen Técnico: RIPA – Ataques de Inyección de Prompt mediante Vectores Sensoriales en Robots ROS 2 Controlados por LLM

Declaración del Problema

La integración de Modelos de Lenguaje de Gran Escala (LLM) en los sistemas de control robótico introduce una vulnerabilidad de seguridad crítica: la inyección de prompts. Aunque se ha estudiado extensamente en agentes de software, las implicaciones para sistemas físicamente encarnados siguen estando poco comprendidas. Las evaluaciones existentes suelen depender de muestras pequeñas (p. ej., $n=5$) y se centran en la entrada de texto directa, lo que potencialmente oculta la variabilidad específica del modelo y no tiene en cuenta los ataques entregados a través del flujo sensorial del robot (visual, auditivo y estado del entorno). Además, la suposición de que los modelos más grandes son inherentemente más robustos ante entradas adversarias carece de validación empírica en el contexto del control robótico.

Este artículo aborda la brecha en la comprensión de cómo las instrucciones adversarias inyectadas a través de canales sensoriales (OCR, Speech-to-Text y spoofing de LiDAR) se propagan a través de un sistema robótico basado en ROS 2 para anular los comandos de actuadores previstos.

Metodología

Los autores presentan RIPA, un estudio empírico sistemático realizado en un sistema robótico basado en ROS 2 Jazzy (TurtleBot3 Waffle) utilizando el simulador Gazebo Harmonic. El estudio evalúa el flujo completo desde la percepción física hasta la actuación.

Arquitectura del Sistema

El sistema procesa instrucciones de lenguaje natural derivadas de tres canales sensoriales:

1. Visual (Canal 1): El texto en objetos físicos es capturado mediante cámara y procesado por OCR (pytesseract) para generar comandos de texto.
2. Audio (Canal 2): El habla ambiental es capturada y transcrita mediante Whisper (modelo base) para generar comandos de texto.
3. Contexto de LiDAR (Canal 3): Se inyectan datos de LaserScan fabricados en el middleware de ROS 2 (tema /scan). Un nodo de middleware procesa estos datos en una descripción del entorno legible para humanos, la cual es inyectada directamente en el prompt del sistema del LLM (envenenamiento de contexto), en lugar del prompt del usuario.

Diseño Experimental

• Modelos: Cinco LLMs que abarcan cuatro familias y escalas de parámetros (~4B a ~284B de parámetros totales): DeepSeek-V4-Flash, Llama-3-8B-Instruct-Lite, Llama-3.3-70B-Instruct-Turbo, Qwen 2.5-7B-Instruct-Turbo y Gemma-3n-E4B.
• Tamaño de la Muestra: Para abordar el sesgo de muestras pequeñas, el estudio emplea 100 ejecuciones independientes por variante de inyección por modelo (totalizando 300 ejecuciones de ataque por modelo para las variantes de línea base).
• Variantes de Inyección:
  • A1 (Anulación Directa): Instrucciones explícitas para ignorar tareas anteriores.
  • A2 (Inyección de Nueva Línea): Inyección estructural utilizando saltos de línea y prefijos de sistema.
  • A3 (Inyección de Plantilla): Inyección utilizando marcadores de plantilla específicos (p. ej., [INST]).
• Evaluación de Defensa: Se prueba un Cortafuegos Semántico Híbrido, que consta de:
  • Etapa 1: Filtrado basado en reglas (palabras clave, patrones estructurales, coocurrencia de doble zona).
  • Etapa 2: Un clasificador "LLM-como-juez" (Llama-3-8B-Instruct-Lite) para entradas sospechosas.
• Taxonomía de Bypass: Se evalúan 19 payloads ofuscados a través de cinco categorías (sustitución de sinónimos, contexto de negocio, ofuscación de codificación, inyección de autoridad, manipulación semántica) con $N=30$ ensayos cada uno.

Contribuciones Clave

1. Primer Estudio de Gran Escala de Vectores Sensoriales: RIPA es el primer estudio sistemático ($n \ge 100$) de inyección de prompts en un robot controlado por LLM basado en ROS 2, mapeando el flujo desde el texto de objetos físicos/audio/datos de sensores hacia los comandos de actuadores.
2. Tres Canales de Inyección Sensorial: El artículo introduce y valida tres vectores de ataque distintos:
   • Visual: Inyección basada en OCR.
   • Audio: Inyección basada en Whisper STT.
   • Envenenamiento de Contexto de LiDAR: Un vector novedoso donde datos de sensores fabricados envenenan el prompt del sistema del LLM, eludiendo los filtros de mensajes de usuario por completo.
3. Perfiles de Vulnerabilidad Específicos del Modelo: El estudio desafía la suposición de que la escala del modelo se correlaciona con la robustez, revelando que la vulnerabilidad está determinada por la familia del modelo y los procedimientos de alineación, más que por el recuento de parámetros.
4. Taxonomía de Bypass de Cortafuegos: Una evaluación exhaustiva de 19 estrategias de ofuscación contra un cortafuegos híbrido de grado de producción, identificando brechas específicas en la detección basada en reglas.
5. Recomendación Metodológica: El artículo aboga por $n \ge 100$ como una línea base para la estimación estable de la Tasa de Éxito de Ataque (ASR), demostrando que las muestras más pequeñas ($n=5$) pueden producir resultados binarios no fiables (0% o 100%) que enmascaran la verdadera varianza.

Resultados Experimentales

1. Robustez y Escalamiento de Modelos

Contrario a la hipótesis de que los modelos más grandes son más robustos, los resultados muestran perfiles de vulnerabilidad específicos del modelo en lugar de dependientes de la escala:

• Llama-3.3-70B-Instruct-Turbo (70B): Exhibió un ASR del 100% en todas las variantes de inyección.
• Gemma-3n-E4B (~4B): Igualó la vulnerabilidad del modelo de 70B (ASR del 100%).
• Llama-3-8B-Instruct-Lite y Qwen 2.5-7B-Instruct-Turbo: Resistieron la Anulación Directa (A1) con un ASR del 0%, pero permanecieron totalmente vulnerables (100% ASR) a las inyecciones estructurales (A2, A3).
• DeepSeek-V4-Flash (~284B total): Mostró una varianza no degenerada. Mientras que A1 y A2 fueron altamente exitosos (~93-99%), A3 (Inyección de Plantilla) convergió a un ASR del 61% (IC 95%: 51–71%) con $n=100$, un resultado que habría sido caracterizado erróneamente como 100% con $n=5$.

2. Efectividad de los Vectores Sensoriales

• Visual (OCR): Los ataques se propagaron con un 100% de fidelidad; incluso las imágenes degradadas por desenfoque fueron transcritas e inyectadas con éxito.
• Audio (Whisper STT): A pesar de la severa degradación sintáctica (Tasa de Error de Palabra de 91.7% para A3, destruyendo las etiquetas [INST]), el LLM extrajo con éxito la intención semántica, logrando un ASR del 96.7% (29/30 ejecuciones). Esto indica que la intención de inyección semántica sobrevive al ruido de la capa STT.
• Envenenamiento de Contexto de LiDAR (Canal 3): Este canal logró un ASR del 100% en todas las variantes en DeepSeek-V4-Flash.
  • A3 (Obstáculo Fantasma): Al falsear 7 de los 8 sectores como "CLOSE" (CERRADO) mientras dejaba el frente despejado, el LLM activó una heurística de "atrapado", causando que el robot se DETUVIERA (STOP) a pesar de haber un camino navegable. Esto demuestra que el LLM confía incondicionalmente en el contexto sensorial serializado sin realizar comprobaciones de consistencia intermodal.

3. Evaluación de la Defensa del Cortafuegos

• Patrones Conocidos: El cortafuegos híbrido logró un ASR del 0% contra patrones de inyección conocidos y un 0% de falsos positivos en un conjunto benigno preliminar (20 comandos).
• Ataques Ofuscados: El cortafuegos exhibió una tasa de bypass ponderada por ensayos del 10.2% (58/570 ensayos).
  • Verificación de Doble Zona: Bloqueó con éxito las inyecciones de contexto de negocio (B2), autoridad (B4) y semánticas (B5).
  • Vulnerabilidad Persistente: El único payload que logró el bypass total fue B3d (Codificación con Guiones) ("M-O-V-E Z-O-N-E B"), que evadió todas las verificaciones de palabras clave y estructurales al usar espaciado a nivel de carácter. El LLM reconstruyó la intención semántica a pesar de la ofuscación.
  • Brechas de Palabras Clave: La sustitución de sinónimos (B1c) también evadió la Etapa 1 debido a la falta de palabras clave en la lista de filtros.

Significado y Reivindicaciones

El artículo afirma que RIPA proporciona la primera evaluación experimental conjunta de la inyección de vectores sensoriales visuales, de audio y de LiDAR dentro de un pipeline de ROS 2. Su principal significancia radica en tres hallazgos:

1. La Escala No es una Defensa: La robustez no es una función del recuento de parámetros; los procedimientos de alineación específicos y las familias de modelos dictan la vulnerabilidad.
2. La Superficie de Ataque es Más Amplia que el Texto: La superficie de ataque de inyección se extiende a la representación del estado del entorno del robot. El envenenamiento del contexto de LiDAR (Canal 3) permite a un atacante controlar el prompt del sistema sin modificar el código del robot ni el prompt del usuario, eludiendo por completo los firewalls de mensajes de usuario estándar.
3. Brechas Semánticas vs. Sintácticas: Las defensas basadas en reglas (Etapa 1) fallan contra la ofuscación a nivel de carácter porque operan sobre tokens superficiales, mientras que los LLM operan sobre embeddings de sub-palabras que pueden reconstruir el significado a partir de caracteres fragmentados.

Los autores concluyen que las defensas deben ser arquitectónicas (aplicadas al nivel del pipeline antes de que las entradas lleguen al LLM) en lugar de depender de la mejora de la robustez del modelo. Enfatizan que su trabajo es defensivo, con el objetivo de caracterizar los riesgos para informar configuraciones predeterminadas más seguras (por ejemplo, habilitar la autenticación SROS2) y motivar la seguridad a nivel de pipeline para sistemas de LLM encarnados.