Sintesi Tecnica: Sicurezza e Privacy dei Robot Alimentati da Modelli di Fondazione

1. Definizione del Problema

I modelli di fondazione (FM), inclusi i Large Language Models (LLM), i Vision-Language Models (VLM) e i modelli Vision-Language-Action (VLA), stanno trasformando la robotica consentendo agli agenti di interpretare istruzioni aperte, ragionare su contesti multimodali e operare in ambienti complessi e di mondo aperto. Tuttavia, questa integrazione introduce rischi di sicurezza e privacy (S&P) che si estendono oltre i modelli stessi, coinvolgendo le pipeline di esecuzione incarnata (embodied), gli ecosistemi di supporto e gli impatti di governance più ampi.

Le revisioni della letteratura esistenti su questo argomento soffrono di due limitazioni primarie:

1. Copertura Frammentata: La maggior parte delle revisioni si concentra su tipi specifici di FM (ad esempio, solo LLM o solo VLA) o su categorie di rischio specifiche, mancando di un'analisi integrata tra diversi tipi di modelli e livelli di sistema.
2. Inadeguato Framework Strutturale: Molte analisi precedenti si affidano a tassonomie piatte o a singoli confini di fiducia (ad esempio, concentrandosi solo sul modello o sull'incarnazione del robot). Ciò oscura il modo in cui i rischi si originano, si propagano attraverso i livelli e si amplificano in danni sociali più ampi. Di conseguenza, il campo manca di una struttura unificata per identificare le lacune di mitigazione e comprendere l'intero ciclo di vita dei rischi S&P nei sistemi robotici alimentati da FM.

2. Metodologia

Per affrontare queste lacune, gli autori propongono un approccio sistematico basato su un nuovo framework strutturale e una tassonomia multi-livello.

2.1 Il Framework Strutturale F-E-S-G

Gli autori definiscono un framework di confine di fiducia progressivo a quattro livelli per organizzare lo spazio del problema:

• Livello del Modello di Fondazione (F - Foundation Model): Cattura le sfide radicate nell'artefatto del modello stesso (parametri, checkpoint, adapter, embedding, aggiornamenti di addestramento).
• Livello del Sistema Incarnato (E - Embodied System): Copre le problematiche all'interno della pipeline di esecuzione interna di un robot standalone, inclusa l'intera pipeline percezione-pianificazione-esecuzione (Percezione, Pianificazione, Policy, Cinematica, Esecuzione, Middleware).
• Livello dell'Ecosistema di Supporto (S - Supporting Ecosystem): Include i rischi derivanti da componenti esterne e infrastrutture che supportano l'operatività (canali di comunicazione, backend cloud, catene di approvvigionamento, strumenti esterni).
• Livello dell'Impatto di Governance (G - Governance Impact): Affronta le questioni che vanno oltre il sistema tecnico, inclusi regolamentazione, responsabilità, fiducia pubblica e conseguenze umane/sociali a valle.

2.2 Tassonomia Multi-livello e Codifica

Costruendo sul framework, gli autori hanno sviluppato una tassonomia per organizzare gli studi precedenti lungo tre livelli:

1. Confine di Fiducia: F, E, S o G.
2. Dominio: Sicurezza (integrità, affidabilità, comportamento intenzionale) vs. Privacy (protezione di informazioni sensibili).
3. Prospettiva: Rischi (vulnerabilità, minacce) vs. Mitigazioni (prevenzione, rilevamento, recupero).

Inoltre, ciascuno dei 96 articoli sistematizzati è stato annotato con attributi di codifica granulari:

• Target: Il componente specifico interessato (ad esempio, modulo di pianificazione, middleware).
• Stage: La fase del ciclo di vita in cui il rischio viene introdotto o la mitigazione applicata.
• Meccanismo: Il metodo tecnico del rischio o della difesa.
• Accesso al Sistema: La visibilità dell'avversario (Nessuna, Black-box, Gray-box, White-box).
• Effetto: Efficacia, furtività e costo di utilità.

2.3 Processo di Sistematizzazione

Seguendo le pratiche standard di Systematization of Knowledge (SoK), gli autori hanno:

1. Definito l'ambito per includere studi S&P che coinvolgono LLM, VLM o VLA nella percezione, pianificazione o selezione dell'azione robotica.
2. Recuperato i candidati dai principali forum di sicurezza, privacy, robotica ed embodied-AI (290 candidati iniziali).
3. Filtrato i paper tramite titolo, abstract e testo completo, trattenendo 118 per la revisione completa.
4. Codificato e classificato iterativamente 96 paper nel corpus finale utilizzato per l'analisi.

3. Risultati Chiave e Conclusioni

3.1 Rischi e Mitigazioni Specifici per Livello

• Livello del Modello di Fondazione (F):

  • Rischi: Dominati dal Compromesso del Modello (avvelenamento dei dati, fine-tuning malevolo/backdoor), Manipolazione Semantica (jailbreaking, istruzioni avversarie, prompt injection), Manipolazione Visiva (patch/texture avversarie) e Disallineamento (reward hacking, misgeneralizzazione degli obiettivi). I rischi di privacy includono l'inferenza dell'appartenenza, la fuga di personalizzazione e il fingerprinting.
  • Mitigazioni: Principalmente Hardening del Modello (addestramento avversario, model merging, architetture interpretabili) e Guardrail di Esecuzione. Le mitigazioni della privacy si basano su salvaguardie federate e gating basato su chiavi.
  • Gap: Le difese sono spesso adattate dagli LLM testuali e mancano di validazione rispetto all'esecuzione fisica ancorata (grounded).

• Livello del Sistema Incarnato (E):

  • Rischi: Includono Manipolazione Semantica (hijacking della pianificazione), Manipolazione Visiva (attacchi a oggetti fisici), Manipolazione del Segnale (spoofing dei sensori) e Compromesso del Middleware (vulnerabilità ROS2/DDS). I rischi di privacy derivano dall'intercettazione di segnali acustici o di comunicazione.
  • Mitigazioni: Fortemente dipendenti da Guardrail di Runtime (diagnosi dei guasti, evitamento, recupero) e un limitato hardening del middleware.
  • Gap: Le mitigazioni sono reattive e locali al livello, intervenendo dopo che le decisioni sono state prese, il che è problematico per azioni fisiche irreversibili.

• Livello dell'Ecosistema di Supporto (S):

  • Rischi: Attacchi alla catena di approvvigionamento (adapter/pacchetti avvelenati), attacchi Man-in-the-Middle (MITM), abuso di software-service e attacchi a sistemi multi-robot. I rischi di privacy riguardano la fuga tramite analisi del traffico e l'esternalizzazione dei dati.
  • Mitigazioni: Verifica della catena di approvvigionamento, resilienza multi-robot e rilevamento MITM a runtime.
  • Gap: Limitata comprensione dei rischi compositivi dove componenti singolarmente affidabili introducono rischi emergenti quando integrate.

• Livello dell'Impatto di Governance (G):

  • Rischi: Si manifestano come danni a livello di deployment (azioni insicure, dispute sulla responsabilità, perdita di fiducia) e problemi di privacy derivanti dalla rilevazione routinaria senza consenso.
  • Mitigazioni: Salvaguardie di governance (certificazione, auditing, trasparenza, allocazione della responsabilità).
  • Gap: Un "ritardo della governance" (governance lag) dove i meccanismi di accountability mancano delle prove tecniche (provenienza, tracce) necessarie per affrontare i danni cross-layer.

3.2 Gap Sistemici e Limitazioni

L'analisi rivela quattro gap sistemici critici:

1. Assunzione vs. Realtà: I modelli di minaccia spesso assumono l'accesso white-box o componenti fidati, il che non è sostenibile in deployment reali, dinamici ed eterogenei.
2. Propagazione vs. Mitigazione Locale: I rischi spesso originano in un livello (es. F) ma si manifestano in un altro (es. E), eppure le mitigazioni sono frequentemente implementate solo dove il danno viene osservato, fallendo nell'eliminare le vulnerabilità a monte.
3. Frammentazione vs. Difesa Sistemica: Le soluzioni attuali sono specifiche per modulo e mancano di un framework unificato per una difesa end-to-end attraverso la pipeline.
4. Evidenza di Accountability: I meccanismi di governance faticano a causa della mancanza di un'evidenza tecnica unificata e verificabile (provenienza, cronologie di aggiornamento) attraverso i vari livelli.

3.3 Limitazioni della Valutazione

Il paper identifica carenze significative nei protocolli di valutazione attuali:

• Mancanza di benchmark condivisi e metriche standardizzate.
• Rapporto insufficiente sui costi di utilità (trade-off tra sicurezza e prestazioni).
• Limitata validazione Sim-to-Real, sollevando dubri sulla generalizzabilità dei risultati.

4. Contributi

Il paper apporta tre contributi primari:

1. Nuovo Framework: Propone il framework strutturale progressivo F-E-S-G, fornendo una lente unificata per organizzare la ricerca frammentata e tracciare la propagazione del rischio attraverso l'intero ciclo di vita del sistema robotico.
2. Tassonomia Multi-livello: Sviluppa una tassonomia completa che organizza 96 paper per confine di fiducia, dimensione sicurezza-privacy e prospettiva rischio-mitigazione, integrata da attributi di codifica granulari.
3. Agenda di Ricerca: Identifica sfide aperte e direzioni future, tra cui l'operazionalizzazione della S&P incarnata, l'affrontare i rischi sistemici nei sistemi multi-robot, garantire l'affidabilità a lungo termine, proteggere gli emergenti World Foundation Models (WFM) e stabilire protocolli di valutazione unificati.

5. Significato e Rivendicazioni

Gli autori affermano che questo lavoro fornisce la prima visione completa e strutturale del panorama S&P attraverso l'intero ciclo di vita e l'architettura di sistema dei sistemi robotici alimentati da FM. Spostandosi oltre le prospettive a singolo confine, il framework permette ai ricercatori di:

• Identificare lacune di mitigazione che sono invisibili quando i livelli vengono osservati isolatamente.
• Comprendere come i rischi si originano, si propagano e si amplificano attraverso diversi componenti.
• Sistematizzare il campo per guidare lo sviluppo di sistemi robotici sicuri, che preservano la privacy e sono responsabilmente governati.

Il paper sottolinea che, senza una struttura così unificata, il campo non può affrontare efficacemente la natura complessa e cross-layer delle moderne minacce robotiche. Si posiziona come un riferimento fondamentale per la ricerca futura, evidenziando che le valutazioni attuali sono insufficienti e che il lavoro futuro deve colmare il divario tra le difese tecniche e i requisiti di governance.