技術要約：Vision-Language-Action（VLA）モデルにおけるビット反転攻撃

問題提起

画像と指示を直接ロボットの動作へとマッピングする、量子化されたVision-Language-Action（VLA）モデルは、デプロイされたINT8重みに重大な脆弱性を露呈している。既存のセキュリティ研究は入力側の攻撃や学習時のバックドアに焦点を当ててきたが、エッジデバイス上に低精度整数重みがデプロイされることで、Rowhammer型のビット反転フォールトに対して脆弱な「重み故障サーフェス（weight-fault surface）」が生じる。

本研究が取り組む核心的な課題は、VLAの失敗が分類器の失敗とは根本的に異なる点である。分類器のフォールトは一度読み出されて終了するが、VLAのフォールトはアクションデコーダを通じて伝播し、変化し続ける環境と閉ループ内で繰り返し相互作用する。その結果、VLAのパフォーマンスを崩壊させるために必要なビット反転の予算（数）は、オープンループでの偏差や、カテゴリカルな出力に関する先行研究の結果からは予測できない。本論文では、いかに少ない重みの反転で閉ループのタスク失敗を引き起こせるか、そしてこれらの脆弱性が局所的な保護によって封じ込められるかについて調査を行う。

手法

脅威モデル

本研究は、モデルメモリが信頼できないプロセスと共有されている可能性のある、エッジサーバー上のINT8 VLAを想定している。攻撃者は、アーキテクチャ、保存された重み、量子化スケール、およびデコーダに関する知識を有している。また、評価セットとは独立した小規模なキャリブレーション・セット（$D_{cal}$）へのアクセスも持つ。攻撃者は、最大で $K$ 個の持続的な線形重みの反転（選択されたスカラーごとに1つ）を誘発できるが、学習、入力、活性化、または環境を制御することはできない。ベースラインのデプロイメントには、エンドツーエンドのメモリ整合性や誤り訂正符号（ECC）は備わっていないものとする。

攻撃戦略：固定方向多様体脱出（Fixed-Direction Manifold Escape）

著者らは、デコーダを考慮した目的関数と量子化を考慮したビットランキングを組み合わせた、2段階の攻撃手順を提案している。

1. ステップ1：固定方向多様体脱出損失（Fixed-Direction Manifold-Escape Loss）
   等方的なエネルギーや単純な二乗偏差（フローマッチング・ポリシーにおけるゼロ勾配問題により失敗する）の代わりに、著者らは微分可能な実行アクション目的関数を定義する。彼らは、アクション空間における固定された非ゼロ方向 $u$ に沿った一方向の変位を最適化する損失関数を構築する：
   $$L_{dir}(\theta; \bar{\theta}) = -\frac{1}{|D_{cal}|M} \sum_{o \in D_{cal}} \sum_{m=1}^{M} \langle d^{(m)}_{\theta}(o), u \rangle$$
   ここで、$d^{(m)}_{\theta}$ は実行されたアクションと、クリーンなアクションのストップグラディエント参照との差分である。この目的関数は、反復的なデコーディング（例：フローサンプリング）を通じて有効であり、ゼロ勾配の初期化問題を回避できる。

2. ステップ2：量子化を考慮したビットランキング（Quantization-Aware Bit Ranking）
   攻撃は、損失を最大化する潜在能力に基づいてビットをランク付けする。各適格な重みに対し、スコア $G$ は、損失の勾配と、特定のビット $b$ を反転させたことによる逆量子化された重みの正確な変化量を組み合わせて計算される：
   $$G^{(\ell)}_{ijb} = -g^{(\ell)}_{ij} \Delta^{(\ell)}_{ijb}$$
   ここで、$\Delta$ は逆量子化された重みの変化を表す。アルゴリズムは、最も高い正の利得を持つトップ-$K$個のビットを選択し、これにより、事前のアーキテクチャ的仮定なしに高レバレッジな層に攻撃を集中させることができる。

防御戦略：局所的整合性保護（Localized Integrity Protection）

防御メカニズムは、特定の重みを攻撃者の候補セットから除外し、残りの重みを用いて攻撃を再構築することを含む。この適応的なアプローチにより、少数の「損傷を与える」ビットを保護することで、攻撃予算を大幅に引き上げられるかどうかをテストする。

主な貢献

1. VLAに対する初の重みフォールト攻撃： 本研究は、連続的な閉ループVLAポリシーに対するビット反転攻撃を初めて実証したものである。著者らは、わずか1〜5個の選択されたINT8反転によって、シミュレーション上のタスク成功率を0%にまで崩壊させられることを示しており、これはカテゴリカルな出力に対する従来の攻撃には見られなかった現象である。
2. 経験的な脆弱性のスペクトラム： 本研究は、アクションデコーディング・アーキテクチャへの鋭い依存関係を明らかにしている。直接回帰および離散トークン・ポリシーは非常に脆弱（1〜5回の反転）であるが、フローマッチング・ポリシーは大幅に大きな予算（約100〜300回の反転）を必要とする。
3. アーキテクチャを考慮した攻撃と防御：
   • 攻撃： 固定方向多様体脱出目的関数は、等方的なエネルギーと比較して、フローヘッドの予算を10分の1に削減する。
   • 防御： 損傷を与えるビットのわずかな割合（第1層で3.1%、アクションヘッドを含めて5.3%）を保護することで、高い反転数（$K=100$）においても閉ループの成功を維持し、オープンループのブレイクスレッショルドを33倍に引き上げる。
4. 実ロボットによる検証： 実訓練された $\pi0.5$ モデルを用い、実機の6自由度アームを用いた攻撃を検証した。タスクに較正されたエミュレートされた $K=100$ 回の反転は、クリーンなモデルの14/20に対し、0/20の成功をもたらした（グローバルなランダム反転の場合は16/20）。

実験結果

攻撃予算と成功率

• 直接ヘッド（OpenVLA-OFT, Discrete OpenVLA）：
  • LIBERO-Spatial： 勾配選択された3回の反転により、成功率は88%から0%に減少した（$n=50$）。
  • SimplerEnv： 3回の反転により、「pick-coke-can」では20.8%から0%へ、「move-near」では58.3%から12.5%へと減少した。
  • ランダム反転： 300回のランダム反転は影響がほとんどなく、成功率はクリーンなベースラインに近い状態を維持した（例：88%に対し80%）。
• フローヘッド（$\pi0, \pi0.5$）：
  • 性能を崩壊させるには、より多くの反転（約100〜300回）を必要とした。
  • 固定方向攻撃は、等方的なエネルギーよりも10倍効率的であった（約1000回の反転が必要なところを、約100回で達成）。
  • $\pi0.5$（実訓練済み）において、エミュレートされた $K=100$ 回の反転は、実ロボットでの成功を0/20とした。

損傷を与えるビットの局在化

損傷を与えるビットは一様に分布しているのではなく、特定の層に集中している：

• 直接ヘッド： 高レバレッジなビットは、最も早いLLMデコーダ層（L1）およびアクションヘッドに見られる。
• フローヘッド： 損傷を与えるビットは、ビジョン・言語バックボーンではなく、最終的なアクションエキスパート層（例：$\pi0$におけるL17）に集中している。

防御の有効性

• オープンループ： アクションヘッドのみを保護しても（重みの2.3%）、不十分であった。攻撃はL1へと転じた。L1の保護を追加（合計5.3%）することで、ブレイクスレッショルドを $K=3$ から $K=100$ へと引き上げた。
• クローズドループ： L1のみを保護した場合（3.1%）、$K=100$ において60%の成功率を維持した。対照的に、同サイズのランダムなスライスは、何の保護も提供できなかった。

意義と主張

本論文は、**「重みの整合性は、エンボディド・ファウンデーション・モデルにおけるセキュリティ境界である」**と主張している。知見は以下の通りである：

1. 閉ループのダイナミクスが小さなフォールトを増幅する： 重みのわずかな残留誤差がフィードバックループを通じて蓄積し、極めて少ないビット反転でタスクの完全な失敗を招く。
2. アーキテクチャが脆弱性を決定する： アクションデコーディング・アーキテクチャ（直接型 vs フロー型）が、攻撃サーフェスと必要な予算を根本的に規定する。
3. 選択的な保護は実行可能である： 即時の緩和策として、完全なチェックサムやECCは必ずしも必要ではない。特定された少数の重み（3〜5%）を保護するだけで、標的型のビット反転攻撃に対する耐性を劇的に高めることができる。

著者らは、デコーダを考慮したフォールト評価がデプロイ前に必要であると結論付けており、局所的な整合性チェックが直接ヘッド型VLAを保護するための実用的な出発点であることを示している。本研究は、物理的なフォールト注入のガイドではなく、整合性保護のためのデュアルユースの動機付けとして提示されている。