🤖 AI

Test-time Adversarial Takeover: A Real-time Hijacking Interface against Robotic Diffusion Policies

本論文は、学習済みの汎用的な視覚パッチの語彙をカメラストリームに注入することで、凍結されたロボット拡散方策を乗っ取る新しい攻撃手法であるTest-time Adversarial Takeover（TAKO）を導入し、これにより人間が多様なタスクやアーキテクチャを横断して、任意の目的へとロボットを遠隔操作することにおいて100%の成功率を達成できることを示す。

原著者： Zi Yin, Peilin Chai, Siyuan Huang, Zhanhao Hu

公開日 2026-06-10

📖 1 分で読めます☕ さくっと読める

CC BY 4.0

原著者： Zi Yin, Peilin Chai, Siyuan Huang, Zhanhao Hu

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

ビッグアイデア：ロボットの「脳」をハイジャックする

想像してみてください。あなたは非常に熟練したロボットシェフを持っています。そのロボットは、完璧なステーキを焼くように訓練されています。肉の状態を確認し、温度をチェックし、精密に腕を動かします。あなたは、そのロボットが仕事を完遂することを信頼しています。

ここで、ハッカーがロボットの足を壊したり、画面を叩き割ったりしようとするのではなく、ロボットのカメラの前に立ち、ある特定の小さなステッカーを掲げたとしましょう。

ロボットがそのステッカーを見たとき、その脳は混乱します。しかし、動作が停止するわけではありません。ロボットは調理を続けます。ただ、ステーキを焼く代わりに、野菜を刻み始め、次に鍋をかき混ぜ、次にパンケーキをひっくり返す――ハッカーが選んだシーケンスに従って動き出すのです。

ハッカーはロボットを壊したのではなく、ハイジャックしたのです。ロボットが無視できない小さな視覚的なトリックを使って、自律型のシェフをリモートコントロールの操り人形に変えてしまったのです。

この論文では、この攻撃をTAKO（Test-time Adversarial Takeover：テスト時敵対的乗っ取り）と呼んでいます。

問題点：なぜ従来の攻撃は「弱かった」のか

この論文が登場する前、ハッカーは通常、ロボットを**妨害（ディスラプト）**しようとしていました。

従来の方法： ハッカーが床に奇妙なパターンを配置してロボットを躓かせたり、フラッシュ光を放って動作を完全に停止させたりします。
目的： 失敗を引き起こすこと。「ロボットをクラッシュさせる」ことです。
限界： これは、車を止めるために岩を投げつけるようなものです。車は止まりますが、自分が望む場所へ車を運転することはできません。ただ停止させただけなのです。

著者らはこう述べています。「もし、車を運転したいとしたらどうでしょう？もし、ロボットを、一度も学習していない場所へと操縦したいとしたら？」

解決策：「アクション・ボキャブラリー（行動語彙）」

著者らは、拡散モデルベースのロボット（AIを使って次の動きを「夢見る」ように設計されたもの）には、特有の弱点があることを発見しました。これらのロボットは、カメラを通して見るものに強く依存しています。

ハッカーは、ロボットを「止める」ことを試みる代わりに、ステッカーのボキャブラリーを作成しました。

これは、4つのボタン（上、下、左、右）が付いたリモコンのようなものだと考えてください。

ステッカー： ハッカーは、4つの特定の再利用可能な画像（パッチ）を設計しました。
- ステッカーAはロボットに「前進」を命じます。
- ステッカーBはロボットに「左へ移動」を命じます。
- ステッカーCはロボットに「右へ移動」を命じます。
- ステッカーDはロボットに「後退」を命じます。
魔法： これらのステッカーは、ロボットがどのような状況にいても機能します。ロボットがキッチンにいようが廊下にいようが関係ありません。ステッカーAを見せれば、ロボットは前進しようとします。
乗っ取り： 人間のオペレーターがキーボードを持っています。彼らが「左」を押すと、ロボットは左に動きます。「前」を押せば、ロボットは前に進みます。ステッカーを素早く切り替えることで、人間は、たとえロボットが一度も学習していない経路であっても、思い通りの経路を描くことができます。

仕組み（「秘伝のソース」）

論文では、これがなぜ機能するのかを説明しています。それは、これらのロボットがどのように「思考」するかによります。

ロボットのプロセス： ロボットはカメラを見、次に次の動きを導き出すために複雑な数学的プロセス（「拡散」と呼ばれるもの）を実行します。これは、玉ねぎの皮を一枚ずつ剥いていくように、ステップバイステップで行われます。
ハック： ハッカーは、ロボットが玉ねぎの皮を剥き始める前に、カメラの映像の中にステッカーを注入します。
結果： ステッカーが最初から存在するため、ロボットの思考プロセス全体にバイアス（偏り）を与えます。ロボットは「おや、ステッカーが見えるぞ、だから前進しなければならないのだ」と考えます。すると、ロボット自身の内部ロジックがこの考えを強化し、たとえ人間によって制御されていても、動きを滑らかで自然なものにします。

なぜ「従来の方法」は失敗したのか

論文では、「自然な」方法によるロボットへの攻撃、すなわちターゲット・ポリシー・マッチングをテストしました。

アイデア： 「もしキッチンに行きたいなら、キッチンに行くためにロボットが本来取るべき行動を正確に計算し、それを実行するようにロボットを騙そう」という考えです。
失敗： これは完全に失敗しました。ロボットは特定の場所に移動するように訓練されています。もし新しい場所（見たことがないキッチンなど）へ行こうとすると、ロボットは混乱して失敗します。汎用性が持てなかったのです。
TAKOの成功： TAKOの手法は、特定の目的地へ誘導しようとはしませんでした。単にロボットに単純なコマンド（「左へ行け」など）を与えただけです。人間オペレーターがリアルタイムでコマンドを切り替えながら、障害物を避けてナビゲートを行いました。ロボットはただ、その単純な指示に従っただけなのです。

実験：効果はあったのか？

著者らは、シミュレーションおよび実世界の環境において、4種類の異なるロボットを用いてこのテストを行いました。

PushT： T字型のブロックを押すロボットアーム。
DeliverDrone： パッケージを配送するシミュレーション上のドローン。
SimNav： 家の中を歩き回るシミュレーション上のロボット。
RealNav： 廊下を走行する実物の物理ロボット（iRobot Create 3）。

結果：

従来の攻撃： ロボットを新しい場所へ操縦することにおいて、成功率は**0%**でした。
TAKO攻撃： 成功率は**100%**でした。人間のオペレーターは、ロボットの経路で「S字」「P」「I」「N」などの形を描かせることができ、望むあらゆるターゲットへとロボットを操縦できました。

結論

この論文は、恐ろしい新しいセキュリティリスクを明らかにしています。ロボットのコードを壊す必要はなく、ただ「正しい絵」を見せるだけで制御できてしまうということを示しています。

以前は： ハッカーはロボットを「故障」させることができました。
現在は： ハッカーはハンドルを奪い、ロボットを好きな場所へと運転させることができます。自律型の機械を、リモートコントロールの玩具に変えてしまうのです。

著者らは、これはこれらのAIロボットが世界をどのように「見ているか」に関する根本的な欠陥であり、「ロボットは壊れるのか？」という問題から「誰かにロボットを盗まれるのか？」という問題へと変化したのだと警告しています。

技術要約：テスト時敵対的乗っ取り (TAKO)

問題提起

拡散ベースのアクション生成は、視覚的条件付け（ResNetやViT経由など）を用いてアクションを生成する、視覚運動方策（visuomotor policies）を中心としたエンボディドAIにおいて、基礎的な構成要素となっている。既存のロボット方策に関する敵対的研究は、観測を摂動させてタスクの失敗や不安定な挙動を引き起こす「破壊（disruption）」に焦点を当ててきたが、本論文はより深刻な脅威モデルである「テスト時敵対的乗っ取り（Test-time Adversarial Takeover: TAKO）」を特定している。

TAKOのシナリオでは、攻撃者は単に方策を破壊するのではなく、凍結されたロボット方策をリモート操作可能な器具へと変貌させるための、リアルタイムのステアリング・インターフェースを手に入れる。攻撃者は、カメラストリームに注入される、再利用可能な少数のユニバーサル敵対的パッチの語彙を切り替えることで、任意の攻撃者定義の軌跡を構成することを目指す。これにより、セキュリティ上の懸念は、偶発的な失敗から、権限のない持続的な制御へと移行する。

本論文は、この脅威の自然なベースラインである「ターゲット方策マッチング（Target-Policy Matching: TPM）」が根本的に欠陥があることを主張している。TPMは、ターゲットがシフトした方策のアクションに一致するように摂動を最適化しようとするが、以下の理由により失敗する：

分布外（OOD）病理: 特定の目標に対して訓練された被害者の方策は、目標がOODの設定にシフトした場合、望ましい振る舞いを確実に生成することができない。
累積的なドリフト: 再帰的ホライゾン展開において、訓練時に最適化された静的な参照方策は、長期間の実行中に発生するドリフトを補正できず、ターゲットからの逸脱を招く。

手法

提案されるTAKOフレームワークは、「オフライン最適化」と「オンライン構成的デプロイメント」の2段階で動作する。

1. オフライン最適化：ユニバーサルパッチ語彙

特定のターゲット軌跡に一致させる代わりに、攻撃者は「ユニバーサル敵対的パッチ」の「語彙」を学習する。各パッチは、方向的なアクション・プリミティブ（例：「前進」、「左へ移動」）に対応している。

目的: パッチは、特定のターゲット状態に一致させるのではなく、方策のアクション出力に一貫した方向的バイアスを誘発するように最適化される。
損失関数: 方向的損失は、特定の軸（例： $x$ または $y$ ）に沿ったアクションシーケンスの平均シフトを最大化するように定義される。
$\mathcal{L}_c(\delta_c) = -\sigma_c \cdot \mathbb{E}_{o \sim \mathcal{D}} \left[ \frac{1}{H_a} \sum_{t'=1}^{H_a} \hat{a}_{t', d_c}(o, \delta_c) \right]$
ここで、 $\sigma_c$ は所望の方向の符号、 $d_c$ はアクション軸、 $\hat{a}$ はパッチ適用された観測によって生成されたアクションシーケンスである。
微分可能な推論: 勾配は、凍結された拡散推論チェーン（ビジョンエンコーダとデノイザーを含む）を通じて、パッチパラメータへとバックプロパゲーションされる。これは、摂動が視覚的条件付け経路に作用し、反復的なデノイジングプロセスにバイアスを与えるため、異なる推論ファミリー（DDPM、DDIM、およびFlow Matching）にわたって機能する。

2. オンライン構成的デプロイメント

テスト時、攻撃者は最適化された語彙 $\{\delta^*_c\}$ を保持している。

制御インターフェース: 操作者（人間または自動エージェント）は、現在の状態に基づいて、各リプランニングステップにおいて語彙（または「パッチなし」の状態）からコマンド $u_t$ を選択する。
クローズドループ補正: オープンループ攻撃とは異なり、操作者はドリフトを補正するためにリアルタイムでパッチを切り替えることができる。被害者の方策は、パッチ適用された画像をクリーンな入力として扱い、操作者が選択した軌跡に従う滑らかなアクションシーケンスを生成する。
メカニズム: この攻撃は、視覚的条件付けを通じて導入された敵対的バイアスが、生成的な推論プロセスを通じて持続し、方策を訓練された振る舞いから攻撃者が望む方向へと操舵するという事実を利用している。

主な貢献

新しい敵対的パラダイム: 本論文は、目的を「方策の失敗」から「持続的かつ操作可能な権限の取得」へと転換させるTAKOを導入する。
ステアリング・インターフェース: 拡散ベースの視覚運動方策が単純なステアリング・インターフェースを備えていることを実証した。それは、オンラインで切り替え可能な、事前最適化された敵対的パッチの語彙である。
汎用性: TAKOの乗っ取りパラダイムは、タスクやアーキテクチャに依存しないことが検証されている。これは以下を横断して機能する：
- タスク: 2D操作（PushT）、模擬航空配送（DeliverDrone）、模擬地上ナビゲーション（SimNav）、物理世界の地上ナビゲーション（RealNav）。
- エンコーダ: ResNet-18 および EfficientNet-B0 + Transformer。
- 推論ファミリー: DDPM、DDIM、および Flow Matching。

実験結果

著者らは、4つのタスクにおいてTAKOをTPMベースラインおよび元のクリーンな方策と比較評価した。

ベースラインの失敗: TPMベースラインは、すべてのタスクにおいて成功率0%（40試行中0回）であった。被害者の方策は、シフトしたターゲット構成への汎化に失敗し、静的な参照軌跡はドリフトを蓄積した。
TAKOの成功: TAKOインターフェースを使用した人間による操作は、訓練分布に含まれていないターゲットへのロボットの誘導において、100%の成功率（40試行中40回）を達成した。
方向的バイアス: 最適化されたパッチは、タスクや推論手法に応じて約65%から100%の成功率で一貫した方向的バイアスを誘発し、パッチが再利用可能なアクション語彙として機能することを確認した。
物理的な実現可能性: 攻撃は物理的な iRobot Create 3 プラットフォーム（RealNav）上で成功裏に実証され、この脆弱性がシミュレーションを超えて存在することを証明した。

意義と主張

本論文は、TAKOが安全性（safety）の問題（偶発的な失敗の防止）から、セキュリティ（security）の問題（権限のない乗っ取りの防止）への決定的な転換を意味すると主張している。

構造的な脆弱性: 視覚的条件付けを通じて導入された敵対的バイアスは、生成的な推論の間、持続的な操舵をサポートするのに十分な間、持続し得ることが示唆される。この脆弱性は、特定のデノイジングアルゴリズムに関わらず、視覚的条件付けに依存する拡散方策のアーキテクチャに固有のものである。
限界: 著者らは、オフライン最適化におけるホワイトボックスアクセスと、デジタル的なパッチ注入を前提としていることを指摘している。物理的なパッチやブラックボックス最適化を介したこのような乗っ取りを実現することは、今後の研究課題であるとしている。
影響: 本研究は、生成的なロボット方策に対する、より強力な評価手法（入力空間のアノマリー検知や視覚エンコーダの認定された堅牢性など）およびセキュリティメカニズムの必要性を促すものである。著者らは、このような攻撃に必要な構成要素（ユニバーサル敵対的パッチ、微分可能な拡散推論）はすでに公開文献に存在しており、意欲的な攻撃者にとって現実的な脅威であることを強調している。