Résumé Technique : Capacité et Robustesse ne peuvent pas être toutes deux gratuites

Énoncé du Problème

Les modèles Vision-Language-Action (VLA), qui mappent des observations multimodales (images et langage) directement vers des actions de robot, ont atteint des taux de réussite élevés sur des entrées propres, mais présentent une fragilité catastrophique sous des perturbations adverses. Des études empiriques montrent que des perturbations imperceptibles (par exemple, une attaque PGD de $16/255$) peuvent faire chuter les taux de réussite des tâches de $>95\%$ à $<5\%$. Bien que des défenses empiriques existent, elles impliquent généralement un compromis : retrouver la robustesse entraîne souvent un coût en précision sur les données propres.

La question ouverte centrale abordée par ce travail est de savoir si ce compromis possède un plancher théorique. Plus précisément, une procédure d'entraînement plus intelligente peut-elle simultanément atteindre une haute capacité (précision sur données propres) et une haute robustesse sans limite, ou existe-t-il une contrainte fondamentale de théorie de l'information empêchant les deux d'être maximisées simultanément ?

Méthodologie

Les auteurs formulent un cadre théorique basé sur la théorie de l'information pour borner la performance conjointe des politiques VLA.

1. Cadre Théorique

L'article définit une politique VLA $\pi$ qui mappe une observation $X$ vers une action $A_\pi$. Soit $A^\star$ l'action oracle (expert) et $\tilde{X} = X + \delta$ l'observation perturbée. Les auteurs définissent deux métriques clés :

• Capacité ($Cap$) : L'information mutuelle entre l'action de la politique et l'action oracle, $I(A^\star; A_\pi)$.
• Robustesse ($Rob$) : L'information mutuelle préservée sous attaque, ajustée pour la « fuite », définie comme $I(A_\pi; \tilde{A}_\pi) - I(A_\pi; \delta)$. La soustraction de $I(A_\pi; \delta)$ empêche les politiques dégénérées d'obtenir des scores élevés en copiant simplement la perturbation $\delta$ dans l'action.

La contribution centrale est le Théorème 1, qui stipule que pour toute politique VLA avec des actions discrètes (ou discrétisées) :
$$Cap(\pi) + Rob(\pi) \leq H(A^\star) + I(X; \tilde{X})$$
Où :

• $H(A^\star)$ est l'entropie de l'action oracle (complexité de la tâche).
• $I(X; \tilde{X})$ est l'information mutuelle entre l'observation propre et l'observation perturbée (capacité du canal d'attaque).

La preuve repose sur deux applications de l'Inégalité de Traitement des Données (DPI) et sur la non-négativité de l'information mutuelle. La borne est indépendante de la politique, ce qui signifie que le « budget » pour la capacité et la robustesse est déterminé uniquement par la tâche et l'attaque, et non par l'architecture du modèle.

2. Resserrement de la Borne

Les auteurs reconnaissent que la borne au niveau des pixels est lâche pour les modèles actuels car la dimension de l'image ($D \approx 49\,152$) dépasse largement la dimension de l'espace d'action ($7$-D). Pour y remédier, ils proposent le Corollaire 4 (Borne Spécifique à l'Encodeur) :
$$Cap(\pi) + Rob(\pi) \leq H(A^\star) + I(\phi(X); \phi(\tilde{X}))$$
Ici, $\phi$ représente un encodeur figé (par exemple, DINOv2+SigLIP dans OpenVLA). Cela restreint la capacité du canal au sous-espace pertinent pour la politique, resserrant considérablement le budget théorique.

3. Stratégie de Validation

L'article valide la borne à travers deux approches distinctes :

1. Validation Synthétique (Gaussian-VLA) : Un proxy sous forme close où toutes les quantités ($H, I$) peuvent être calculées analytiquement ou estimées avec une grande précision. Cela inclut 252 cellules expérimentales variant les dimensions et les niveaux de bruit.
2. Validation sur Modèle Réel : Évaluation sur OpenVLA-7B à travers quatre suites LIBERO (Spatial, Object, Goal, LIBERO-10) sous des attaques par Descente de Gradient Projeté (PGD). Les auteurs utilisent MINE (Estimation Neurale de l'Information Mutuelle) et des estimateurs d'histogramme discrétisés pour mesurer les termes.

Résultats Clés

1. Vérification Théorique

• Zéro Violation : La borne tient dans 252/252 cellules Gaussian-VLA synthétiques et 48/48 cellules expérimentales OpenVLA-7B réelles.
• Comportement du Marge : La « marge » ($S = \text{Budget} - (Cap + Rob)$) est non négative dans tous les cas. À mesure que le budget d'attaque $\epsilon$ augmente, la capacité du canal $I(X; \tilde{X})$ diminue, provoquant la réduction du budget total, ce qui correspond aux prédictions théoriques.

2. Magnitude de la Borne

• Borne au Niveau des Pixels : Sur OpenVLA, le budget au niveau des pixels est d'environ 5 000 nats (dominé par la capacité du canal image), tandis que la $Cap + Rob$ mesurée est négligeable ($<1$ nat). Cela résulte en une marge d'environ $10^3$ nats, indiquant que la borne au niveau des pixels est un plafond lâche.
• Borne Spécifique à l'Encodeur : En restreignant le canal au sous-espace de l'encodeur, le budget chute à $\sim 31$ nats ($H(A^\star) \approx 26$ nats + $I(\phi(X); \phi(\tilde{X})) \approx 4,6$ nats).
• Réalité de la Contrainte : Sous la borne spécifique à l'encodeur, la capacité discrétisée ($Cap_{disc} \approx 7,5$ nats) consomme déjà $\sim 24\%$ du budget total. Cela suggère que pour les architectures actuelles, le compromis n'est pas seulement théorique mais pratiquement contraignant ; il y a peu de place pour améliorer la robustesse sans sacrifier la capacité.

3. Robustesse des Estimateurs

Les auteurs démontrent que la borne tient même lors de l'utilisation d'estimateurs biaisés (MINE, InfoNCE, KSG). Comme MINE tend à sous-estimer l'information mutuelle (une borne inférieure), il sous-estime le membre de gauche (LHS) de l'inégalité, rendant la borne plus facile à satisfaire. Ainsi, le résultat de zéro violation est robuste face au biais de l'estimateur.

Signification et Revendications

L'article revendique les contributions et la signification suivantes :

1. Premier Résultat d'Impossibilité pour les Politiques d'Action : Contrairement aux travaux antérieurs (par exemple, Tsipras et al., 2019) qui se concentraient sur les classificateurs binaires, il s'agit de la première borne de théorie de l'information spécifiquement pour les politiques générant des actions. Elle prouve que la capacité et la robustesse ne peuvent pas être toutes deux gratuites ; elles se disputent un budget fixe déterminé par l'entropie de la tâche et la capacité du canal d'attaque.
2. Une Nouvelle Métrique pour l'Évaluation des Défenses : Les auteurs proposent la Marge Spécifique à l'Encodeur ($S_{enc}$) comme métrique normalisée pour comparer les articles sur les défenses. Au lieu de rapporter des chiffres de robustesse absolus qui ne se transfèrent pas d'un contexte à l'autre, les travaux futurs peuvent rapporter la fraction du budget de l'encodeur consommée. Cela permet une évaluation standardisée de la proximité d'une politique par rapport à la limite théorique.
3. Valeur Diagnostique pour l'Architecture : La borne révèle que la « lâcheté » dans les modèles actuels est structurelle. L'écart entre le budget au niveau des pixels et le budget au niveau de l'encodeur met en évidence que les politiques actuelles n'exploitent pas pleinement l'information disponible dans la représentation de l'encodeur.
4. Implications pour la Sécurité : Ce travail recadre la fragilité adverse d'un problème de précision en un problème de sécurité. Puisque chaque prédiction est une action physique, le plancher théorique implique qu'il existe une limite stricte à la robustesse d'un VLA sans compromettre sa capacité à accomplir la tâche, nécessitant un changement dans la conception et l'évaluation des systèmes critiques pour la sécurité.

L'article conclut que, bien que la borne soit non constructive (elle ne fournit pas de recette pour construire une politique qui sature la borne), elle établit une limite fondamentale qu'aucun réglage architectural ne peut contourner. La « marge » représente l'écart entre les capacités actuelles et le maximum théorique, qui est désormais quantifiable.