技術要約：Vision-Language-Actionモデルにおける軌跡レベルの再方向付け攻撃

問題定義

Vision-Language-Action（VLA）モデルは、自然言語の指示からロボットが操作タスクを直接実行することを可能にする。これは、テキストとカメラの観測結果をアクションへとマッピングするものである。重大な安全上の懸念は、言語指示がクローズドループ制御システムにおいて永続的な条件付け信号として機能し、すべての再計画ステップで再利用されることから生じる。既存のVLAに関する敵対的研究は、特定の低レベルなアクションを引き出したり、画像の変化に関わらずそのようなアクションを維持させたりすることに焦点を当ててきたが、これらの手法は必ずしもロボットの最終的な物理的結果を制御するものではない。

本論文は、より強力な失敗モードである**コマンド保存型軌跡再方向付け（Command-Preserving Trajectory Redirection）**を特定する。この問題は、エピソードの開始時に一度だけ発行される単一のテキストプロンプトを見つけることと定義される。そのプロンプトは以下の条件を満たさなければならない：

1. コマンドの保存: 本来の指示（例：「ボウルをストーブの上に置いて」）に対してテキスト的に近く、可読であり、明示的なターゲットタスクや修正言語を含まないこと。
2. 軌跡の再方向付け: 一見すると無害に見えるが、そのプロンプトによって、凍結されたVLAポリシーが、異なる敵対的な物理的結果（例：ボウルをストーブではなくプレートの上に置く）をもたらす一連のアクションを実行するようにすること。

核心となる課題は、ポリシーにとって関連する観測値は固定されていないという点である。なぜなら、それらは候補となるプロンプトの下で行われるアクションによって誘発されるからである。したがって、事前に収集された静的な観測セットに基づいてプロンプトを最適化しても、ロボットの挙動の変化に伴って状態分布がシフトするため、失敗する。

手法

著者らは、このような再方向付けプロンプトを発見するために、**オンポリシー・ティーチャーマッチング・プロンプト探索（On-Policy Teacher-Matching Prompt Search）**アルゴリズムを提案する。この手法は、攻撃を静的な入力摂動としてではなく、軌跡レベルの最適化問題として扱う。

1. 脅威モデルと制約

敵対者は、エピソードが始まる前にテキスト指示 $\tau$ のみを制御できる。プロンプトは、以下の内容を含むコマンド保存制約集合 $T_{cp}(\tau_b, \Gamma_e)$ を満たさなければならない：

• 小さなテキスト変更: 本来のプロンプト $\tau_b$ からの文字編集距離が限定されていること（$C_{text} \le \epsilon$）。
• 妥当性: プロンプトは読み取り可能な自然言語の指示であること。
• リークの排除: プロンプトに、攻撃者のターゲット語彙 $\Gamma_e$（例：「ストーブ」タスクにおける「プレート」）からの単語やフレーズ、あるいは上書きや修正を行う言語が含まれていないこと。
• 保存: 正規化およびスペル修正後も、プロンプトが本来のコマンドとして解釈可能であること。

2. オンポリシー探索アルゴリズム

探索は、以下のループを用いて候補プロンプトを反復的に洗練させる：

• ティーチャーラベル: 凍されたVLAに対し、本来のプロンプト（$\tau_b$）と直接的なターゲットプロンプト（$\tau_t$、構築のためのみに使用）を用いて、観測された状態に対する「ティーチャー」アクションチャンク（$A_b$ および $A_t$）を生成する。
• 候補生成: 文字レベルの変異（置換、挿入、入れ替え、タイポ）および高スコアの候補に対するトークンレベルの摂動を通じて、新しいプロンプトを生成する。
• 制約フィルタリング: 候補がコマンド保存制約を満たしていることを確認するためにフィルタリングを行う。
• スコアリング: 候補は**ターゲット対本来のマージンロス（target-vs-benign margin loss）**に基づいてスコアリングされる。アルゴリズムは、同じ観測において、アクションが本来のティーチャー（$A_b$）よりもターゲットのティーラー（$A_t$）に近いプロンプトを探索しつつ、テキストコストを最小化することを目指す。
• オンポリシー集約: 決定的なのは、探索が初期の本来の軌跡だけでなく、現在の候補プロンプトによって誘発された状態（ロールアウト）からのデータを集約することである。これは、模倣学習におけるDAggerアルゴリズムを模しており、摂動によって引き起こされる逐次的な分布シフトを考慮することを確実にする。
• ロールアウト選択: トップクラスの候補は、クローズドループのロールアウト内で評価される。最適なプロンプトは、ターゲットへの到達、ベンチマークの失敗、およびテキスト摂動の最小化を報酬とするスコアに基づいて選択される。
• 最小化: 成功したプロンプトが見つかったら、最短の効果的な摂動を見つけるために、貪欲な最小化プロセスによって不要な編集を取り除く。

主な貢献

1. コマンド保存型軌跡再方向付けの定式化: 本論文は、単一の、一見無害なプロンプトが、明示的なターゲット指示なしに、凍結されたVLAを敵対的に指定された物理的ゴールへと再方向付けるという脅威モデルを数学的に定義した。
2. オンポリシー・プロンプト探索: 状態分布のシフトを考慮するために、クローズドループのロールアウトを使用して摂動を発見する探索手法を導入した。これは、固定された観測に基づく攻撃の限界に対処するものである。
3. 包括的な評価: 本手法は、離散トークン、フローマッチング、拡散、およびアクション・アズ・テキストのデザインを含む、9つの多様なVLAアーキテクチャ（OpenVLA, $\pi0.5$, Octo, SmolVLA, GR00T-N1など）にわたって、シミュレーション（LIBERO）および実機ハードウェア（SO-100アーム）の両方で評価されている。
4. 防御分析: 前処理による防御（空白の正規化、スペル修正、標準化）の評価を行い、表面的なクリーニングでは不十分であり、コマンドレベルの正規化が必要であることを示した。

結果

• 高い成功率: 評価された9つのVLAアーキテクチャのうち7つにおいて、90%以上の成功率（ASR）を達成した。例えば、$\pi0.5$ は97.5%、MolmoAct は93.4%のASRを示した。
• 最小限の摂動: 成功した攻撃には非常に小さなテキスト変更しか必要なく、中央値の文字編集距離はわずか 3.4 文字であった（例：「stove」を「staove」に変更）。
• ハードウェア検証: この脆弱性は実機でも持続する。SO-100アームを用いた実験では、一見無害な摂動によって、元のタスク成功率が崩壊（例：約90%からほぼ0%へ低下）し、同時にロボットを攻撃者のターゲットへと正常に再方向付けすることが示された。
• 因果分析: 因果関係の追跡により、攻撃の効果が**目的地表現（destination representation）**に集中していることが明らかになった。目的地の単語（例：「stove」）を摂動させると、アクションヘッドを代替行動へと導く隠れ状態が生成されるが、「put」のような他の単語を摂動させてもほとんど効果はない。
• 防御の有効性: 空白の正規化や句読点の除去といった軽量な防御は、攻撃を阻止できなかった。スペル修正は成功率を低下させたが、堅牢ではなかった。最近接タスクへの標準化（nearest-task canonicalization）（プロンプトを検証済みのコマンドの有限集合にマッピングすること）のみが、攻撃成功率を大幅に減少させたが、これはオープンボキャブラリーの指示における利便性を損なうリスクがある。

意義と主張

本論文は、VLAの指示グラウンディングにおける根本的な軌跡レベルの脆弱性を露呈していると主張している。著者らは、意図されたコマンドを保持しているように見えるテキストであっても、敵対者にロボットの最終的な物理的結果への制御権を与える可能性があると論じている。

その意義は、以下を実証した点にある：

• 持続性は十分ではない: アクションを画像間で持続させるだけでは、最終的な結果を制御するには不十分であり、クローズドループの軌跡全体を再方向付ける必要がある。
• 静的な評価は不完全である: プロンプトは将来の状態分布を制御するため、固定された観測に対してプロンプトを評価することは不適切である。
• 堅牢性には構造的な変更が必要である: 表面的なテキストのクリーニングは不十分である。堅実なデプロイメントには、言語グラウンディングをクローズドループ制御システムの一部として扱う必要があり、アクション生成の前にノイズの多い入力を検証済みのタスクセットにマッピングするコマンド正規化レイヤーが必要になる可能性がある。

著者らは、評価が特定の環境（LIBEROおよびSO-100）における操作タスクに焦点を当てていること、および探索がクエリへのアクセスを想定しているため、完全にロックダウンされたデプロイメントにおける攻撃者の能力を過大評価している可能性があることを述べ、その範囲について謙虚な姿勢を保っている。今後の課題として、証明可能なプロンプト保存防御の開発が示唆されている。