기술 요약: 능력과 견고성은 동시에 무료일 수 없다

문제 제기

시각-언어-행동 (VLA) 모델은 멀티모달 관찰 (이미지와 언어) 을 직접 로봇 행동으로 매핑하여 깨끗한 입력에서는 높은 성공률을 보이지만, 적대적 교란 하에서는 치명적인 취약성을 드러냅니다. 실증 연구에 따르면, 지각 불가능한 교란 (예: $16/255$ PGD 공격) 은 작업 성공률을 $>95\%$에서 $<5\%$로 떨어뜨릴 수 있습니다. 실증적 방어 기법이 존재하지만, 이들은 일반적으로 트레이드오프를 수반합니다: 견고성을 회복하는 것은 종종 깨끗한 정확도에서의 비용을 초래합니다.

본 연구가 다루는 핵심 열린 질문은 이러한 트레이드오프에 이론적 바닥이 존재하는지 여부입니다. 구체적으로, 더 똑똑한 학습 절차를 통해 제한 없이 높은 능력 (깨끗한 정확도) 과 높은 견고성을 동시에 달성할 수 있는지, 아니면 두 가지를 동시에 극대화하는 것을 방지하는 근본적인 정보 이론적 제약이 존재하는지입니다.

방법론

저자들은 VLA 정책의 결합 성능을 제한하기 위해 정보 이론에 기반한 이론적 프레임워크를 수립합니다.

1. 이론적 프레임워크

본 논문은 관찰 $X$를 행동 $A_\pi$로 매핑하는 VLA 정책 $\pi$를 정의합니다. $A^\star$를 오라클 (전문가) 행동으로, $\tilde{X} = X + \delta$를 교란된 관찰로 정의합니다. 저자들은 두 가지 핵심 지표를 정의합니다:

• **능력 (Capability, $Cap$):** 정책의 행동과 오라클 행동 간의 상호 정보,$I(A^\star; A_\pi)$.
• **견고성 (Robustness, $Rob$):** "누출"을 보정한 공격 하에서 보존된 상호 정보로,$I(A_\pi; \tilde{A}\pi) - I(A\pi; \delta)$로 정의됩니다.$I(A_\pi; \delta)$를 빼는 것은 정책이 단순히 교란$\delta$를 행동으로 복사함으로써 고득점을 얻는 퇴화 정책을 방지합니다.

핵심 기여는 정리 1로, 이산 (또는 이산화된) 행동을 가진 모든 VLA 정책에 대해 다음이 성립함을 명시합니다:
$$Cap(\pi) + Rob(\pi) \leq H(A^\star) + I(X; \tilde{X})$$
여기서:

• $H(A^\star)$는 오라클 행동의 엔트로피 (작업 복잡도) 입니다.
• $I(X; \tilde{X})$는 깨끗한 관찰과 교란된 관찰 간의 상호 정보 (공격 채널 용량) 입니다.

증명은 **데이터 처리 부등식 (DPI)**의 두 가지 적용과 상호 정보의 비음성성에 의존합니다. 이 경계는 정책 무관적이므로, 능력과 견고성을 위한 "예산"은 모델 아키텍처가 아닌 작업과 공격에 의해 결정됩니다.

2. 경계 강화

저자들은 현재 모델의 경우 이미지 차원 ($D \approx 49,152$) 이 행동 공간 차원 (7 차원) 을 훨씬 초과하므로 픽셀 수준의 경계가 느슨하다고 인정합니다. 이를 해결하기 위해 **계 4 (인코더 특정 경계)**를 제안합니다:
$$Cap(\pi) + Rob(\pi) \leq H(A^\star) + I(\phi(X); \phi(\tilde{X}))$$
여기서 $\phi$는 고정된 인코더 (예: OpenVLA 의 DINOv2+SigLIP) 를 나타냅니다. 이는 채널 용량을 정책 관련 부분 공간으로 제한하여 이론적 예산을 크게 강화합니다.

3. 검증 전략

본 논문은 두 가지 다른 접근 방식을 통해 경계를 검증합니다:

1. 합성 검증 (가우스-VLA): 모든 양 ($H, I$) 을 해석적으로 계산하거나 높은 정밀도로 추정할 수 있는 폐형식 (closed-form) 프록시입니다. 여기에는 차원과 노이즈 수준을 변화시킨 252 개의 실험 셀이 포함됩니다.
2. 실제 모델 검증: 프로젝션 경사 하강법 (PGD) 공격 하에서 네 가지 LIBERO 스위트 (Spatial, Object, Goal, LIBERO-10) 에 대한 OpenVLA-7B 평가입니다. 저자들은 항들을 측정하기 위해 MINE (Mutual Information Neural Estimation) 과 이산화 히스토그램 추정기를 사용합니다.

주요 결과

1. 이론적 검증

• 위반 없음: 경계는 252/252개의 합성 가우스-VLA 셀과 48/48개의 실제 OpenVLA-7B 실험 셀에서 성립합니다.
• 여유 (Slack) 동작: 모든 경우에서 "여유" ($S = \text{예산} - (Cap + Rob)$) 는 음수가 아닙니다. 공격 예산 $\epsilon$이 증가함에 따라 채널 용량 $I(X; \tilde{X})$가 감소하여 총 예산이 축소되는데, 이는 이론적 예측과 일치합니다.

2. 경계의 크기

• 픽셀 수준 경계: OpenVLA 에서 픽셀 수준 예산은 약 **5,000 나트 (nats)**이며 (이미지 채널 용량에 의해 지배됨), 측정된 $Cap + Rob$는 무시할 수 있을 정도로 작습니다 ($<1$나트). 이로 인해$\sim 10^3$ 나트의 여유가 발생하며, 이는 픽셀 수준 경계가 느슨한 상한선임을 나타냅니다.
• 인코더 특정 경계: 채널을 인코더 부분 공간으로 제한함으로써 예산은 $\sim 31$ 나트로 감소합니다 ($H(A^\star) \approx 26$ 나트 + $I(\phi(X); \phi(\tilde{X})) \approx 4.6$ 나트).
• 제약의 현실성: 인코더 특정 경계 하에서 이산화된 능력 ($Cap_{disc} \approx 7.5$ 나트) 은 이미 총 예산의 $\sim 24\%$를 소모합니다. 이는 현재 아키텍처의 경우 트레이드오프가 단순히 이론적인 것이 아니라 실질적으로 제약적임을 시사합니다; 능력을 희생하지 않고 견고성을 개선할 여지는 제한적입니다.

3. 추정기 견고성

저자들은 편향된 추정기 (MINE, InfoNCE, KSG) 를 사용하더라도 경계가 성립함을 입증합니다. MINE 은 상호 정보를 과소평가하는 경향이 있어 (하한선), 부등식의 좌변 (LHS) 을 과소평가하므로 경계를 더 쉽게 만족시킵니다. 따라서 0 위반 결과는 추정기 편향에 대해 견고합니다.

중요성과 주장

본 논문은 다음과 같은 기여와 중요성을 주장합니다:

1. 행동 정책에 대한 최초의 불가능성 결과: 이진 분류기에 초점을 맞춘 이전 연구 (예: Tsipras 등, 2019) 와 달리, 이는 행동 생성 정책을 위한 최초의 정보 이론적 경계입니다. 능력과 견고성은 동시에 무료일 수 없으며, 작업 엔트로피와 공격 채널 용량에 의해 결정된 고정된 예산을 위해 경쟁함을 증명합니다.
2. 방어 평가를 위한 새로운 지표: 저자들은 방어 논문을 비교하기 위한 정규화 지표로 **인코더 특정 여유 (Encoder-Specific Slack, $S_{enc}$)**를 제안합니다. 설정 간에 이전되지 않는 절대 견고성 수치를 보고하는 대신, 향후 연구는 인코더 예산의 소비 비율을 보고할 수 있습니다. 이를 통해 정책이 이론적 한계에 얼마나 근접했는지에 대한 표준화된 평가가 가능해집니다.
3. 아키텍처 진단 가치: 이 경계는 현재 모델의 "느슨함"이 구조적임을 드러냅니다. 픽셀 수준 예산과 인코더 수준 예산 사이의 간격은 현재 정책이 인코더 표현에서 이용 가능한 정보를 완전히 활용하지 못함을 강조합니다.
4. 안전성 함의: 이 연구는 적대적 취약성을 정확도 문제에서 안전성 문제로 재정의합니다. 각 예측이 물리적 행동이므로, 이론적 바닥은 작업 수행 능력을 훼손하지 않고 VLA 를 얼마나 견고하게 만들 수 있는지에 대한 경직된 한계가 있음을 의미하며, 안전-중요 시스템의 설계 및 평가 방식을 전환해야 함을 시사합니다.

본 논문은 경계가 비구성적 (경계를 포화시키는 정책을 구축하는 방법을 제공하지 않음) 이지만, 어떤 아키텍처 튜닝으로도 우회할 수 없는 근본적인 한계를 확립한다고 결론지었습니다. "여유"는 현재 능력과 이론적 최대치 사이의 간격을 나타내며, 이제 이를 정량화할 수 있게 되었습니다.