Immaginate un robot che non si limita a seguire una lista rigida di comandi, ma che invece comprende il mondo attraverso il linguaggio, la visione e l'esperienza. Queste macchine, spesso chiamate agenti incarnati (embodied agents), stanno cambiando il nostro modo di pensare l'automazione. Invece di essere programmate con passaggi specifici per ogni possibile situazione, utilizzano potenti modelli di base (foundation models) — sistemi addestrati su enormi quantità di conoscenza umana e dati visivi — per percepire l'ambiente circostante, ragionare su cosa fare e decidere come muovere il proprio corpo. Un robot potrebbe guardare un tavolo disordinato, capire che una tazza è in pericolo di caduta e poi pianificare una sequenza di movimenti per salvarla, il tutto senza che un essere umano digiti una singola istruzione. Questo passaggio dalla programmazione fissa al processo decisionale flessibile e intelligente promette di portare i robot nelle nostre case, negli ospedali e nelle fabbriche. Tuttavia, questa nuova libertà porta con sé un nuovo tipo di rischio. Quando le decisioni di una macchina sono guidate dalle informazioni che legge, vede o ricorda, quell'informazione diventa un potenziale punto di fallimento. Se un attaccante riesce a ingannare la comprensione del mondo del robot, può far agire la macchina in modi pericolosi, anche se i suoi motori e i suoi ingranaggi fisici sono perfettamente sicuri.

Un team di ricercatori dell'Università di Wuhan ha mappato esattamente dove risiedono questi pericoli. Hanno studiato 5{8} diversi modi per attaccare questi robot intelligenti e 61 diversi modi per difenderli, creando una guida completa alla sicurezza di questa tecnologia emergente. Il loro lavoro rivela che i vecchi modi di pensare alla sicurezza dei robot non sono più sufficienti. In passato, mettere in sicurezza un robot significava proteggere i suoi cavi e il suo codice software dagli hacker. Oggi, le parti più vulnerabili sono i sensi e la mente del robot. I ricercatori hanno scoperto che gli attaccanti non hanno bisogno di violare il sistema operativo di un robot per causare danni; possono semplicemente cambiare ciò che il robot vede o ciò che gli viene ordinato di fare. Organizzando queste minacce in una struttura chiara, il team ha dimostrato che gli attacchi più comuni prendono di mira gli occhi e le mani del robot, mentre le difese più comuni sono posizie proprio prima che il robot si muova. Questo squilibrio lascia molte altre aree critiche, come la memoria a lungo termine del robot e la sua comunicazione con altre macchine, ampiamente scoperte.

I ricercatori hanno iniziato definendo i diversi strati della vita di un robot, dal momento in cui il suo software viene creato al momento in cui interagisce fisicamente con il mondo. Hanno identificato dodici punti di ingresso specifici dove un attaccante potrebbe introdurre una menzogna o un inganno. Questi vanno dall'inizio, dove i dati di apprendimento del robot potrebbero essere avvelenati prima ancora che venga distribuito, fino alla fine, dove i movimenti fisici del robot possono essere direttamente dirottati. Un'intuizione chiave del loro lavoro è che il metodo di attacco non è lo stesso del luogo in cui entra. Ad esempio, una "backdoor" (porta sul retro) è un tipo di trappola nascosta che può essere piantata nei dati di addestramento del robot, ma potrebbe essere attivata solo successivamente da una specifica frase pronunciata da un utente o da un'immagine specifica mostrata al robot. I ricercatori sostengono che gli esperti di sicurezza debbano concentrarsi su dove l'attacco attraversa per la prima volta il confine verso il mondo fidato del robot, piuttosto che solo sulla tecnica utilizzata per attraversarlo. Questa distinzione aiuta a comprendere come una piccola menzogna nella memoria di un robot possa eventualmente portare a un grande errore fisico.

Quando il team ha analizzato il panorama della ricerca attuale, è emerso un modello chiaro. La maggior parte degli studi sugli attacchi si è concentrata su due aree specifiche: la percezione multimodale del robot e le sue interfacce d'azione. In parole povere, questo significa che la maggior parte dei ricercatori sta cercando di ingannare gli occhi del robot o di costringerlo a prendere l'oggetto sbagliato. Hanno scoperto che la metà degli attacchi registrati prendeva di mira i sensori del robot, come telecamere o microfoni, o i segnali che dicono al robot come muoversi. Questo ha senso perché questi sono i collegamenti diretti tra la mente digitale e il corpo fisico. Se un attaccante può ingannare la telecamera affinché veda un segnale di stop come un segnale di via libera, o truffare il robot facendogli credere che un muro sia uno spazio aperto, le conseguenze possono essere immediate e fisiche. Allo stesso modo, molti attacchi prendono di mira l'ultimo passaggio in cui il robot decide su un movimento specifico, come un comando per girare un motore o sollevare un peso.

Tuttavia, le difese raccontano una storia diversa. I ricercatori hanno scoperto che la maggior parte delle misure di sicurezza è concentrata alla fine del processo, proprio prima che il robot esegui un'azione. Questo è come avere una guardia che controlla solo il prodotto finale prima che lasci la fabbrica, invece di controllare le materie prime o i progetti. Sebbene questa protezione "runtime" sia importante, lascia esposte le fasi precedenti del processo di pensiero del robot. Lo studio ha mostrato che le difese per la memoria a lungo termine del robot, la sua comunicazione con altri robot e l'integrità della sua mappa interna del mondo sono sorprendentemente rare. Per esempio, esistono pochissimi studi su come proteggere la memoria di un robot dall'avvelenamento. Se un robot apprende un fatto falso da una fonte malevola e lo memorizza, quella menzogna può influenzare le sue decisioni per molto tempo, causando errori ripetuti che un semplice controllore di azioni potrebbe non rilevare.

Il team ha inoltre evidenziato le sfide uniche nel testare questi sistemi. A differenza di un chatbot basato sul testo che deve solo essere giudicato sulle sue parole, un robot incarnato deve essere testato sulle sue azioni fisiche. Un robot potrebbe seguire con successo un'istruzione malevola come "muovi la tazza", ma se la tazza cade o se urta un vaso mentre lo fa, l'attacco è riuscito in un modo che un test solo testuale non avrebbe mai colto. I ricercatori hanno notato che molti studi attuali si affidano a simulazioni al computer, che sono utili ma spesso non riescono a catturare la realtà disordinata del mondo fisico, come i cambiamenti nell'illuminazione, gli angoli della telecamera o la natura imprevedibile di oggetti reali. Hanno sostenuto che la vera sicurezza richiede di testare i robot in ambienti reali, dove le conseguenze di un errore sono tangibili. Hanno anche sottolineato che man mano che i robot iniziano a lavorare insieme in gruppi, il rischio cresce. Se un robot in un team viene compromesso, può diffondere informazioni errate agli altri, causando il fallimento dell'intero gruppo.

Guardando al futuro, i ricercatori suggeriscono che il campo debba andare oltre le semplici correzioni. Propongono che i futi robot debbano essere progettati con una comprensione più profonda della fiducia. Ciò significa che ogni informazione che un robot riceve — da una voce umana, un'immagine di una telecamera o un messaggio da un altro robot — dovrebbe portare un'etichetta che indichi la sua fonte e la sua autorità. Un robot dovrebbe sapere che un cartello su un muro è solo una descrizione del mondo e non un comando per cambiare il proprio comportamento, mentre un ordine diretto da un operatore umano dovrebbe essere trattato con priorità maggiore. Sottolineano anche la necessità di migliori modi per verificare lo stato interno del robot. Se un robot crede che una porta sia aperta, dovrebbe esserci un modo per verificare se tale convinzione si basa su prove solide o su un inganno. L'obiettivo è costruire sistemi in cui la sicurezza sia intrecciata in ogni livello, dai dati usati per addestrare il robot al movimento finale del suo braccio.

Il lavoro di Liu e dei suoi colleghi serve come una tabella di marcia cruciale per un campo in rapida evoluzione. Separando il punto di ingresso di un attacco dal metodo utilizzato, hanno fornito un modo più chiaro per comprendere le vulnerabilità delle macchine intelligenti. Le loro scoperte suggeriscono che, sebbene stiamo diventando più bravi a impedire ai robot di fare la cosa sbagliata proprio all'ultimo secondo, non siamo ancora bravi a impedire loro di essere ingannati nel pensare la cosa sbagliata fin dall'inizio. Man mano che queste macchine diventeranno più integrate nelle nostre vite quotidiane, la sfida sarà garantire che la loro capacità di apprendere e adattarsi non avvenga a scapito della loro sicurezza. La strada da seguire richiede un passaggio dal riparare singoli buchi al costruire un sistema in cui la fiducia sia verificata ad ogni passaggio, assicurando che le azioni del robot rimangano allineate con l'intento umano, anche di fronte a una sofisticata inganno.