Sintesi Tecnica: Attaccare l'Immaginazione Fidata

Definizione del Problema

Le recenti politiche di Vision-Language-Action (VLA) adottano sempre più un'architettura "immagina-e-agisci", in cui un Modello di Mondo-Azione (WAM) genera prima una traiettoria latente di rappresentazioni visive future ($\tilde{z}$) prima di condizionare la politica dell'azione. Mentre la ricerca avversaria precedente si concentra sull'attacco al percorso osservazione-azione della politica reattiva, questo articolo identifica una nuova, distinta superficie di attacco: l'immaginazione fidata consumata dagli oracoli a valle.

Gli autori sostengono che, mentre le politiche reattive eseguono in un vero loop chiuso reale dove il feedback ambientale corregge gli errori, gli oracoli a valle (come i gate di sicurezza, i pianificatori visivi Model-Predictive-Control (MPC) o i verificatori "immagina-e-controlla") trattano il futuro immaginato $\tilde{z}$ come una previsione affidabile senza segnali correttivi dal mondo reale. Di conseguenza, la robustezza della politica reattiva non implica la robustezza dei sistemi che si affidano all'immaginazione del WAM. Il fenomeno centrale è un'asimmetria: corrompere l'immaginazione (spingerla fuori dal suo manifold naturale) è facile, ma guidarla precisamente verso un target specifico sul manifold è difficile.

Metodologia

Modello di Minaccia

Gli autori adottano un modello di minaccia basato sulle capacità e white-box:

• Capacità dell'Attaccante: L'attaccante ha pieno accesso al WAM e all'encoder (principio di Kerckhoffs) e può perturbare l'osservazione attuale della telecamera $o$ con una perturbazione $\ell_\infty$-limitata $\delta$ ($\|\delta\|_\infty \leq \epsilon$).
• Vincoli: L'attaccante non può modificare i pesi del modello, accedere agli interni dell'oracolo o osservare il vero futuro.
• Differenziabilità: L'attacco sfrutta il fatto che per i WAM basati su diffusione continua, la mappa dall'osservazione al futuro immaginato ($o \to \tilde{z}$) è end-to-end differenziabile (senza vettorizzazione discreta o scritture di cache in loco), consentendo un vero Projected Gradient Descent (PGD).

Obiettivi dell'Attacco

L'articolo definisce due obiettivi di attacco (Definizione 2):

1. Corruzione Non Targetizzata: Massimizza la divergenza tra l'immaginazione avversaria $\tilde{z}_{adv}$ e l'immaginazione pulita $\tilde{z}_{clean}$ minimizzando la loro similarità del coseno. Ciò mira a spingere $\tilde{z}$ fuori dal manifold del futuro naturale.
2. Guida Targetizzata: Tenta di guidare $\tilde{z}_{adv}$ verso un target specifico scelto dall'attaccante $\tilde{z}_{tgt}$ (ad esempio, una scena o un'istruzione diversa).

Meccanismo di Rilevamento

Gli autori propongono un rilevatore di autoconsistenza del denoiser privo di parametri. Poiché l'immaginazione corrotta è intrinsecamente "fuori-manifold" (devia dal manifold a bassa dimensione dei futuri naturali appresi dal modello), il rilevatore misura la norma della velocità di predizione dei frame futuri a piccoli livelli di rumore. Una norma elevata indica che il campione è fuori-manifold e probabilmente corrotto. Questo rilevatore non richiede un riferimento pulito.

Contributi Chiave

1. Nuova Superficie di Attacco: Il primo attacco di integrità white-box contro l'immaginazione fidata dei WAM "immagina-e-agisci". Gli autori dimostrano che la mappa osservazione-immaginazione permette veri attacchi basati sul gradiente sul futuro latente.
2. Meccanismo di Asimmetria: L'articolo stabilisce che la corruzione non targetizzata è significativamente più facile (circa 60$\times$ più forte del rumore casuale) e visivamente percepibile, mentre la guida targetizzata a scene arbitrarie è strettamente limitata. Questa asimmetria è ancorata alle evidenze dei frame decodificati, non solo alla similarità del coseno latente.
3. Difesa Robusta: Un rilevatore di autoconsistenza del denoiser privo di parametri raggiunge un'Area Sotto la Curva (AUC) di 1.0 nel distinguere l'immaginazione pulita da quella avversaria. Fondamentalmente, la difesa regge contro attaccanti adattivi; un attaccante che tenta di eludere il rilevamento rimanendo sul manifold deve rinunciare alla capacità di corrompere l'immaginazione.
4. Null a Livello di Task vs Fallimento dell'Oracolo: L'articolo fornisce un "null onesto" mostrando che le politiche reattive rimangono robuste alla immaginazione corrotta (i tassi di successo scendono appena). Tuttavia, dimostra il primo fallimento del task reale specifico per l'avversario in un MPC nativo guidato dall'immaginazione, dove la fiducia dell'oracolo nel $\tilde{z}$ corrotto porta a decisioni catastrofiche.

Risultati Sperimentali

Lo studio valuta tre target che spaziano dall'accoppiamento immaginazione-azione: RynnVLA-002 (accoppiamento disconnesso), LingBot-VA (accoppiamento/oracolo debole) e LaDi-WM (forte accoppiamento nativo).

• Corruzione Non Targetizzata: Su LingBot-VA, gli attacchi non targetizzati hanno raggiunto fino a 60$\times$ la corruzione del rumore casuale. A $\epsilon=0.1$, un verificatore di fedeltà è passato a "non affidabile" nel 100% dei casi con lo 0% di falsi positivi. I frame decodificati mostravano artefatti visibilmente percepibili (sbavature, ghosting).
• Guida Targetizzata: Sebbene le metriche della similarità del coseno latente suggerissero una certa guida, i frame decodificati e i verificatori mostrarono che la guida verso una scena genuinamente diversa era limitata. Per i target tra scene diverse, il gap colmato era solo di ~0.2, e il verificatore ha correttamente rifiutato l'immaginazione avversaria in 0/8 casi.
• Rilevamento: Il rilevatore di autoconsistenza del denoiser ha raggiunto un AUC 1.0 a $\epsilon \geq 0.2$. Le statistiche superficiali (RMS, max-abs) non sono riuscite a rilevare l'attacco, confermando che l'attacco rimane entro il budget $\ell_\infty$ pur spostandosi fuori-manifold.
• Attaccanti Adattivi: Quando gli attaccanti hanno minimizzato una perdita combinando corruzione e punteggio di rilevamento, l'evasione del rilevamento ha richiesto una significativa riduzione della corruzione (da 0.279 a 0.064), provando che la difesa regge.
• Fallimento del Task Reale (LaDi-WM MPC): In una configurazione di campionamento MPC, la corruzione avversaria ha causato un crollo nel tasso di successo. A $\epsilon=0.01$, il rumore casuale manteneva un tasso di successo di ~0.70 (simile al pulito), mentre l'attacco avversario ha abbassato il successo a 0.05 (Fisher $p < 10^{-4}$). Questa "finestra specifica per l'avversario" dimostra che la fiducia dell'oracolo nell'immaginazione crea una vulnerabilità unica non presente nella politica reattiva.

Significato e Rivendicazioni

L'articolo sostiene che la robustezza della politica non equivale alla robustezza del sistema quando il sistema si affida a un'immaginazione fidata. La tesi centrale è che l' "immaginazione fidata" è una vulnerabilità critica per gli oracoli a valle (pianificatori, verificatori, gate di sicurezza) che mancano di segnali correttivi dal mondo reale.

La significatività risiede nel:

• Identificare che il paradigma "immagina-e-agisci" introduce una specifica superficie di attacco distinta dal percorso dell'azione.
• Dimostrare che, mentre le politiche reattive possono tollerare caratteristiche interne corrotte, i sistemi che agiscono su queste caratteristiche come previsioni (oracoli) subiscono fallimenti specifici per l'avversario.
• Mostrare che la natura intrinseca "fuori-manifold" della corruzione permette un rilevamento altamente efficace e privo di parametri, anche contro attaccanti adattivi.

Gli autori notano esplicitamente i limiti: la valutazione è basata su simulazione (LIBERO-10), la guida targetizzata è limitata (non si può controllare arbitrariamente la scena) e l'impatto sulla "disponibilità" (calo del successo del task) è statisticamente significativo ma di magnitudo modesta rispetto alle prime stime pilota. Il lavoro conclude che la minaccia primaria è la corruzione del processo decisionale dell'oracolo, non l'arbitraria manipolazione del comportamento della politica.