技術的概要：FlowHijack

問題定義

ビジョン・言語・アクション（VLA）モデルは、汎用ロボット工学の基盤となりつつあり、フローマッチング方策（例：$\pi_0$）は、自己回帰型のトークンベースモデルに対する優れた代替手段として浮上しています。離散的なトークンモデルとは異なり、フローマッチング VLA は、常微分方程式（ODE）を介して時間依存のベクトル場ダイナミクスをモデル化することで、滑らかで連続的な動作軌道を生成します。

その可能性にもかかわらず、これらのモデルはバックドア攻撃という重大かつ未探索のセキュリティ脆弱性に直面しています。トークンベースの VLA（例：BadVLA）向けに設計された既存のバックドアフレームワークは、主に以下の 3 つの理由により、フローマッチングモデルに対して無効です：

1. メカニズムの不一致：トークンベースの攻撃はラベルの反転やトークンの置換に依存しており、これらは ODE 積分によって駆動される連続的なベクトル場ダイナミクスに直接適用できません。
2. トリガーの検知可能性：従来のトリガー（例：ピクセルパッチ）は物理環境において視覚的に顕著であり、容易に検知されるため、現実的な脅威の可能性が低下します。
3. 行動の異常：既存の攻撃はフローマッチングモデルにおいて物理的に不自然な動作を生み出すことが多く、検知可能な運動学的異常（例：不自然な速度）を引き起こし、隠密性を達成できません。

本論文は、フローマッチングによる動作生成の連続性が、ダイナミクスを考慮したアプローチを必要とする独自の攻撃面を創出していると主張しています。

手法：FlowHijack

著者は、フローマッチング VLA のベクトル場ダイナミクスを標的とした、初のバックドア攻撃フレームワークFlowHijackを導入します。このフレームワークは、以下の 3 つの中核コンポーネントで構成されます：

1. 文脈認識型トリガー

隠密性を確保するため、FlowHijack は顕著な視覚的アーティファクトから離脱します。代わりに、環境に意味的に埋め込まれ、物理的に妥当な文脈認識型トリガーを採用します：

• 物体状態トリガー：トリガーは物体の状態に紐付けられます（例：逆さまになったカップ、開いた引き出し）。
• シーン意味トリガー：トリガーは背景の構成や属性に関与します（例：特定のシャツを着た人物、背景にある特定の物体）。
  これらのトリガーは、人間の観察者にとって通常の環境変動と区別できないように設計されています。

2. ダイナミクスハイジャック戦略

中核となる攻撃メカニズムは、動作生成プロセス中に学習されたベクトル場 $v_\theta$ を操作します。

• $\tau$ 条件付き注入：フローマッチングモデルは、粗い軌道方向を学習するために、フローマッチング時間変数 $\tau$ の小さな値（純粋なノイズに近い）を過剰サンプリングすることが多いです。FlowHijack はこれを悪用し、生成の初期段階（$\tau \in [0, \tau_0]$）の間のみに悪意のあるベクトル場を注入します。
• 増幅：ODE 積分経路の開始時点でベクトル場を汚染することで、初期の方向誤差はソルバーによって軌道全体に自然に増幅され、最終動作ステップで大きな逸脱をもたらしますが、ベクトル場の後続段階はほとんど擾乱されずに残ります。
• 悪意ある動作の設計：攻撃は、2 つの戦略を用いて標的となる悪意ある動作 $A^*$ を定義します：
  • ポーズロック（PL）：ロボットを固定された、潜在的に危険な状態（例：ゼロポーズ）に強制します。
  • 初期摂動（IP）：良性の動作に小さな定数オフセットを導入し、一貫したタスク失敗（例：把持の失敗）を引き起こしながら、運動の妥当性を維持します。

3. ダイナミクス模倣正則化器

行動の検知可能性という課題に対処するため、著者はダイナミクス模倣正則化器（$\mathcal{L}_{mimic}$）を導入します。

• この損失項は、悪意ある動作と良性の動作との間の運動学的類似性を強制します。
• 悪意あるベクトル場の大きさ（L2 ノルム）を、良性のベクトル場の大きさに一致するように制約します。
• これにより、生成されるロボット運動は、通常の動作と同様の速度プロファイルを維持し、攻撃行動が行動的・統計的に良性の行動と区別不可能になります。

訓練目的

総訓練損失は、重み付き和として以下のように表されます：
$$\mathcal{L}_{total} = (1 - \alpha - \beta)\mathcal{L}_{FM} + \alpha \mathcal{L}_{BD} + \beta \mathcal{L}_{mimic}$$
ここで、$\mathcal{L}_{FM}$ は良性の性能を維持し、$\mathcal{L}_{BD}$ は$\tau$ 条件付き注入を通じてバックドアを埋め込み、$\mathcal{L}_{mimic}$ は隠密性を保証します。

主な貢献

1. 初の体系的な研究：本論文は、フローマッチング VLA モデルを標的としたバックドア脅威に関する初の体系的な調査を提示し、トークンレベルの操作とは異なる新たな攻撃面としてベクトル場ダイナミクスを特定しました。
2. 隠密なトリガー設計：視覚的観測にシームレスに統合され、物理的に妥当で検知が困難な、文脈認識型トリガー（物体状態およびシーン意味）のファミリーを提案しました。
3. ダイナミクスを考慮した攻撃メカニズム：初期生成段階を標的とした$\tau$ 条件付き注入と、運動学的隠密性を保証するダイナミクス模倣正則化器を組み合わせた、新たな攻撃戦略を導入しました。
4. 実証的検証：シミュレーション（LIBERO ベンチマーク）および実世界（Franka ロボット）環境における広範な実験を通じて、既存の防御を回避しつつ良性タスクの性能を維持しながら、高い攻撃成功率を示しました。

実験結果

著者は、FlowHijack をLIBEROベンチマーク（4 つのスイート：LIBERO-10、Goal、Object、Spatial）および Franka Emika Panda ロボットを用いた実世界タスクで評価しました。

• 攻撃成功率（ASR）：FlowHijack は高い ASR を達成し、いくつかのタスク（例：両方のトリガータイプを用いた LIBERO-Goal）で**100%に達しました。これに対し、適応されたベースライン（BadVLA）は文脈認識型トリガーに対して壊滅的に失敗し、ASR は最低11.2%**まで低下しました。
• 良性性能（SR）：攻撃は、良性タスクの性能をわずかな劣化で維持しました。トリガーなしの成功率（SR）はベースラインとほぼ同一のまま（例：劣化は通常 3.5% 未満、場合によってはわずかな改善）でした。
• 隠密性：
  • 運動学的隠密性：模倣正則化器なしの攻撃は、高周波の速度振動と異常な速度（>20 m/s）を生み出しました。正則化器を用いると、速度プロファイルは滑らかになり、良性の動作と統計的に区別不可能になりました。
  • 頑健性：攻撃はトリガーサイズ（50%-200%）、位置、特定の物体状態の変化 across して有効であり、特定のピクセルアーティファクトへの過剰適合ではなく、意味的表現を学習していることを示しました。
• 防御回避：
  • ターゲット位置フィルタリング：「初期摂動」戦略は、最終エンドエフェクタ距離に基づいて軌道をフィルタリングする防御を大幅に回避し、厳格な閾値であっても ASR を**82.2%**に維持しました。
  • ファインチューニング：バックドアは下流のクリーンなファインチューニングに対して頑健であり、10,000 ステップのファインチューニング後も ASR を**67.7%**維持しました。

意義と主張

本論文は、FlowHijack が連続的な具現化モデルにおいて重大かつ以前に見過ごされていた脆弱性を明らかにしたと主張しています。著者は以下の点を強調しています：

• 中核となる動作生成メカニズム（ベクトル場ダイナミクス）は、トークンベースモデル向けに設計された防御では守ることができない、明確な攻撃面を構成します。
• 初期段階注入と運動学的模倣の組み合わせは、非常に効果的であり、かつ通常の動作と行動的に区別がつかない攻撃を可能にします。
• 将来の VLA アーキテクチャには、入力/出力のフィルタリングだけでなく、モデルの内部生成ダイナミクスを検査する防御を備えたセキュリティを考慮した設計が緊急に必要です。

著者は、自らの研究は防御的な性質のものであり、ロボット工学および AI セーフティコミュニティにこの新たな攻撃面を警告し、堅牢な対抗策の開発を促進することを目的としていると述べています。