テクニカル・サマリー：基盤モデル搭載型エンボディド・エージェントのセキュリティ

問題提起

基盤モデル（LLM、VLM、VLA、およびワールドモデル）は、ロボットの制御ループを、閉じた事前定義済みのアーキテクチャから、自由形式の言語、マルチモーダルな観測、および外部知識を受け入れるオープンなシステムへと再構築しています。これにより能力は向上しますが、攻撃対象領域（アタックサーフェス）も拡大します。かつては単なる「意味的内容」（例：シーン内のテキスト、検索された文書、対話履歴）と見なされていたデータが、今や物理的な権威性を帯びるようになったためです。その結果、攻撃者はモーターコントローラーを直接侵害することなく、モデルが信頼している情報を操作することで、不安全な物理的挙動を誘発させる可能性があります。

既存の調査は、脅威をメカニズム（例：ジェイルブレイク、バックドア、敵対的サンプル）やモデルのタイプによって分類することが一般的です。しかし、これらの分類では、攻撃者がエンボディド制御ループの「どこ」に最初に侵入したのかを一貫して特定できていません。トレーニング中に植え付けられたバックドアは物理的な物体によってトリガーされる可能性があり、プロンプトインジェクションはユーザー、画面、あるいはRAG文書から発生する可能性があります。この曖昧さは、攻撃の侵入地点と、その伝播経路との区別を不明瞭にしており、標的を絞った防御策の開発を妨げています。

メソドロジー

著者らは、「最初に侵害された信頼境界（first-compromised-trust-boundary）」原理に基づく、信頼境界中心の調査を提示しています。このアプローチは、攻撃対象領域（attack surface）（攻撃者がシステムの表現に対して直接作用できる最も早い境界）と、攻撃メカニズム（attack mechanism）（技術的な手法）を分離するものです。

データ収集とコーディング:

• コーパス: 本研究は、2026年8月15日までに収集された58件の攻撃記録と61件の防御記録を分析しています。
• 包含ティア: 研究は、A–Core（直接的なLLM/VLM/VLAへの攻撃/防御）、B–Adjacent（転移可能なメカニズム）、C–System Extension（ROS/ネットワークなどのインフラストラクチャ）に分類されます。
• タクソノミーの構築: 著者らは、閉ループシステムをマッピングするために、5層12表面のタクソノミーを定義しています。
  1. 開発/サプライチェーン: AS01（モデル、データ、サプライチェーン）。
  2. 外部情報入力: AS02（ユーザー指示）、AS03（コンテキスト/メモリ/ICL/RAG）、AS04（物理的な意味環境）、AS05（マルチモーダル知覚/センサー）、AS06（世界の状態/ローカライゼーション/固有受容感覚）。
  3. 認知と意思決定: AS07（推論/CoT/内部表現）、AS08（タスク計画/ゴール）、AS09（アクション/コード/ツールインターフェース）。
  4. インフラストラクチャとコラボレーション: AS10（ミドルウェア/ネットワーク/外部サービス）、AS11（マルチエージェント通信）。
  5. 物理的実行: AS12（実行制御/可用性）。

分析フレームワーク:
著者らは、攻撃メカニズムをこれらの表面にマッピングし、最初の侵害された境界から物理的な結果への伝播経路を追跡し、防御の配置を評価することで、文献を分析しています。また、評価の実践についても分析し、エンボディドシステムにおけるテキストレベルの指標の不十分さを指摘しています。

主な貢献

1. 統一された閉ループ・セキュリティモデル: 本論文は、開発から物理的実行に至る情報および制御のループとしてエンボディド・エージェントをモデル化し、攻撃の侵入、伝播、および結果を明確に区別しています。
2. 5層12表面のタクソノミー: 攻撃メカニズム（例：ジェイルブレイク、バックドア）をシステムの侵入ポイントから直交化する、決定ルールに基づいたタクソノミーです。これにより、複合的な攻撃（例：物理的なパッチがバックドアをトリガーする場合、メカニズムではなく侵入表面によって分類される）の精密な分類が可能になります。
3. 定量的ランドスケープ分析: 119件の記録に基づき、本研究は攻撃と防御の研究フォーカスの間の著しい非対称性を明らかにしています。
4. 評価と研究アジェンダ: 本論文は、現在の評価指標（多くの場合、モデルの遵守性に留まっているもの）を批判し、閉ループの物理的結果をカバーする統一されたベンチマークを提案しています。また、データのプロベナンス（由来）、構成的な防御、およびビザンチン型のマルチロボット行動を含む、開かれた課題を概説しています。

結果と観察

攻撃対象領域の分布:

• 攻撃におけるダブルピーク: 攻撃研究は、**AS05（マルチモーダル知覚）とAS09（アクションインターフェース）**に集中しており、それぞれ攻撃記録の50%を占めています。これは、視覚入力とアクション出力が主要なインターフェースとなるVLAアーキテクチャを反映しています。
• 希薄な領域: AS03（コンテキスト/メモリ）、AS10（ミドルウェア/ネットワーク）、および**AS11（マルチエージェント通信）**は、顕著に希薄な領域です。AS10は防御対攻撃比が最も低く（0.33）、システムアーキテクチャの依存関係（例：クラウドAPI、フリート調整）に対する研究の遅れを示しています。
• 状態の完全性のギャップ: AS06（世界の状態）は直接的な攻撃記録よりも多くの防御記録を持っていますが、著者らは統一された状態脅威モデルの欠如を指摘しています。防御は安全性チェックのために状態に依存していますが、その状態自体がどのように侵害され得るかを明示的に研究しているケースは少ないのが現状です。

防御の分布:

• ダウンストリームへのシフト: 防御は下流に偏っています。AS09（アクションインターフェース）は防御記録の75.4%をカバーし、AS12（実行制御）は29.5%をカバーしています。これは、プランからアクションへの境界、および実行の境界（例：ランタイムモニター、アクションバリデーター）に安全障壁を配置するというエンジニアリング上の好みを反映しています。
• 非対称性: 防御対攻撃比はAS12（3.60）とAS09（1.59）で最も高く、AS10（0.33）とAS04（0.50）で最も低くなっています。

評価の限界:

• テキストレベルの不十分さ: モデルの拒絶やテキストの遵守に基づく従来の「攻撃成功率（ASR）」は不十分です。エンボディド攻撃は、プランニングの逸脱、実行可能なアクションの生成、および最終的な物理的結果を通じて評価されなければなりません。
• シミュレーション vs 現実: コーパスの大部分はシミュレーションに依存しています。著者らは、物理的な実現可能性の制約（視野角、照明、ダイナミクス）を考慮するために、3段階の評価プロトコル（シミュレーション、物理的センシング、実際のクローズドループ・ロボット）を提唱しています。

重要性と今後の方向性

本論文は、エンボディドAIのセキュリティを、単なるLLMのジェイルブレイク、敵対的ビジョン、および伝統的なロボットサイバーセキュリティの単純な結合として扱うことはできないと主張しています。中心となる課題は、プロベナンス、状態、推論、計画、アクション、および実行にわたる信頼できるアーキテクチャを確立することです。

特定された主な未解決問題:

• 構成的な防御（Compositional Defenses）: ポイントガードレールから、データがサニタイザーやプランナーを通過する際に安全特性が維持されるような、クロスレイヤーのセキュリティ保証へと移行すること。
• プロベナンスと権威: ソースの識別と委譲された権限を第一級のオブジェクトとして扱うこと。環境内のテキストやRAG文書は、認証されたユーザーの目標を上書きするのではなく、それを補完するものであるべきです。
• 世界の状態の完全性: ワールドモデルが標準となるにつれ、セキュリティの問いは「プロンプトが悪意のあるものか？」から「モデルが推論の根拠とする事実は信頼できるか？」へとシフトします。
• 永続的メモリ: 長期的なメモリは、一時的な攻撃を永続的な侵害へと変貌させます。これには、メモリの隔離やプロベナンスの仕組みが必要です。
• ビザンチン型のマルチロボットシステム: フリートレベルの調整は、エージェントが侵害されていることをデフォルトとして想定しなければならず、弾力性のある合意形成と主張の検証が必要となります。
• 統一された評価: この分野には、入力から物理的結果に至る全因果鎖にわたって攻撃と防御を評価する、継続的に更新されるオープンな文献とベンチマークが必要です。

著者らは、エンボディドAIのセキュリティが現実世界の展開リスクに見合うためには、研究はモデルの出力を分析することから、全因果鎖を分析することへと移行し、防御はポイントフィルターから構成的な保証へと、そして評価はテキストベースのASRからクローズドループの物理的結果へと移行しなければならないと結論付けています。