技術要約：信頼された想像力への攻撃

問題提起

近年のVision-Language-Action (VLA) ポリシーは、「想像してから行動する（imagine-then-act）」アーキテクチャをますます採用するようになっている。これは、World-Action Model (WAM) が、アクションポリシーの条件付けを行う前に、将来の視覚表現の潜在的な軌跡（$\tilde{z}$）を生成するものである。先行する敵対的研究は、リアクティブなポリシーの「観測から行動へ」の経路に対する攻撃に焦点を当てているが、本論文は、ダウンストリームのオラクル（神託）によって消費される**信頼された想像力（trusted imagination）**という、新しい、かつ明確に異なる攻撃対象を特定している。

著者らは、リアクティブなポリシーは、環境からのフィードバックがエラーを修正する実際のクローズドループ内で実行される一方で、ダウンストリームのオラクル（安全ゲート、視覚的Model-Predictive-Control (MPC) プランナー、または「想像して確認する」検証器など）は、将来の予測 $\tilde{z}$ を、現実世界の修正信号を伴わない信頼された予測として扱うと主張している。その結果、リアクティブなポリシーの堅牢性は、WAMの想像力に依存するシステムの堅牢性を必ずしも意味しない。核心となる現象は、非対称性である。すなわち、想像力を（その自然な多様体から押し出すように）破壊することは容易であるが、それを多様体上の特定のターゲットへと精密に誘導することは困難であるということである。

手法

脅威モデル

著者らは、能力ベースのホワイトボックス脅威モデルを採用している：

• 攻撃者の能力: 攻撃者は WAM とエンコーダに対して完全なアクセス権を持ち（ケルクホフスの原理）、現在のカメラ観測 $o$ に対して $\ell_\infty$ 境界内の摂動 $\delta$（$\|\delta\|_\infty \leq \epsilon$）を加えることができる。
• 制約: 攻撃者はモデルの重みを変更することも、オラクルの内部にアクセスすることも、真の未来を観測することもできない。
• 微分可能性: 連続的な拡散ベースの WAM において、観測から想像された未来への写像（$o \to \tilde{z}$）はエンドツーエンドで微分可能である（離散的なベクトル量子化やインプレースのキャッシュ書き込みが存在しない）ため、この攻撃は真の投影勾配降下法（PGD）を利用できる。

攻撃目的

本論文では、2つの攻撃目的（定義2）を定義している：

1. 非標的型破壊（Untargeted Corruption）: 敵対的な想像 $\tilde{z}_{adv}$ とクリーンな想像 $\tilde{z}_{clean}$ の間のコサイン類似度を最小化することで、両者の乖離を最大化する。これは、$\tilde{z}$ を自然な未来の多様体から押し出すことを目的としている。
2. 標的型誘導（Targeted Steering）: $\tilde{z}_{adv}$ を、攻撃者が選択した特定のターゲット $\tilde{z}_{tgt}$（例：異なるシーンや指示）へと駆動しようとする試みである。

検知メカニズム

著者らは、パラメータフリーの**デノイザー自己整合性検知器（denoiser self-consistency detector）**を提案している。破壊された想像力は本質的に「多様体外（off-manifold）」（モデルが学習した自然な未来の低次元多様体から逸脱している状態）であるため、この検知器は、微小なノイズレベルにおける将来フレームの速度予測ノルムの平均を測定する。高いノルムは、サンプルが多様体外にあり、おそらく破壊されていることを示す。この検知器は、クリーンな参照を必要としない。

主な貢献

1. 新しい攻撃対象: 「想像してから行動する」WAMの信頼された想像力に対する、最初のホワイトボックス整合性攻撃。著者らは、観測から想像への写像によって、潜在的な未来に対する真の勾配ベースの攻撃が可能であることを示している。
2. 非対称性のメカニズム: 非標的型の破壊は、標的型の誘導よりも著しく容易であり（ランダムノイズよりも約60倍強力）、知覚的に目に見える形で現れる一方で、任意のシーンへの標的型誘導は厳密に制限されることを確立した。この非対称性は、潜在的なコサイン類似度だけでなく、デコードされたフレームのエビデンスによって裏付けられている。
3. 堅牢な防御: パラメータフリーのデノイザー検知器は、クリーンなものと敵対的な想像を区別する際に AUC 1.0 を達成した。極めて重要な点として、この防御は適応的な攻撃者に対しても有効である。検知を回避するために多様体上に留まろうとする攻撃者は、想像力を破壊する能力を放棄しなければならない。
4. タスクレベルの Null vs. オラクルの失敗: 本論文は、リアクティブなポリシーは破壊された想像力に対しても堅牢であり続ける（成功率はほとんど低下しない）という「誠実な Null（honest null）」を示している。しかし、これは、破壊された $\tilde{z}$ に対するオラクルの信頼が破滅的な意思決定を招く、ネイティブな想像駆動型 MPC における「敵対者特有の現実的なタスク失敗」を初めて実証している。

実験結果

本研究では、想像と行動の結合の度合いが異なる3つのターゲット、RynnVLA-002（結合が切断されている）、LingBot-VA（弱い結合/オラクル）、および LaDi-WM（強いネイティブ結合）を評価している。

• 非標的型破壊: LingBot-VA において、非標的型攻撃はランダムノイズの最大60倍の破壊を達成した。$\epsilon=0.1$ において、フィデリティ・ベリファイア（忠実度検証器）は、偽陽性 0% で 100% のケースで「信頼できない」へと反転した。デコードされたフレームには、知覚可能なアーティファクト（滲み、ゴースト現象）が見られた。
• 標的型誘導: 潜在的なコサイン指標は一定の誘導を示唆したが、デコードされたフレームおよび検証器によれば、真に異なるシーンへの誘導は限定的であった。クロスシーンのターゲットにおいて、接近したギャップは約0.2であり、検証器は 8 ケース中 0 ケースで敵対的な想像を正しく拒絶した。
• 検知: デノイザー自己整合性検知器は、$\epsilon \geq 0.2$ において AUC 1.0 を達成した。表面統計量（RMS、max-abs）は攻撃を検知できず、これは攻撃が $\ell_\infty$ 予算内に留まりながら多様体外へ移動していることを裏付けている。
• 適応的攻撃者: 攻撃者が破壊度と検知スコアを組み合わせた損失を最小化する場合、検知の回避には、破壊度を大幅に減少させる（0.279 から 0.064 へ）必要があった。これは、防御が有効であることを証明している。
• 現実のタスク失敗 (LaDi-WM MPC): サンプリング MPC 設定において、敵対的な破壊は成功率の崩壊を引き起こした。$\epsilon=0.01$ において、ランダムノイズはクリーンな場合と同様の約 0.70 の成功率を維持したが、敵対的攻撃は成功率を 0.05 まで低下させた（Fisher $p < 10^{-4}$）。この「敵対者特有のウィンドウ」は、オラクルが想像力に依存することが、リアクティブなポリシーには存在しない独自の脆弱性を生み出すことを示している。

意義と主張

本論文は、システムが信頼された想像力に依存する場合、ポリシーの堅牢性はシステムの堅能性を意味しないと主張している。中心的なテーゼは、「信頼された想像力」は、現実世界の修正信号を欠いたダウンストリームのオラクル（プランナー、検証器、安全ゲート）にとって、決定的な脆弱性であるということである。

その意義は以下の点にある：

• 「想像してから行動する」パラダイムが、アクションの経路とは異なる特定の攻撃対象を導入することを特定したこと。
• リアクティブなポリシーは内部的な特徴の破壊には耐えうる一方で、これらの特徴を予測として「行動」に用いるシステム（オラクル）は、敵対者特有の失敗を被ることを示したこと。
• 破壊の本質的な「多様体外（off-manifold）」という性質により、適応的な攻撃者に対しても、パラメータフリーで非常に効果的な検知が可能であることを示したこと。

著者らは明示的に限界についても述べている：評価はシミュレーションベース（LIBERO-10）であり、標的型誘導は限定的（シーンを恣意的に制御することはできない）であり、可用性への影響（タスク成功率の低下）は統計的に有意ではあるものの、初期のパイロット推定と比較すると規模は限定的である。本研究の結論は、主要な脅威はポリシーの挙動を恣意的に乗っ取ることではなく、オラクルの意思決定プロセスを破壊することにある。