Technische Samenvatting: Het aanvallen van de Vertrouwde Verbeelding

Probleemstelling

Recente Vision-Language-Action (VLA) beleidsregels nemen steeds vaker een "verbeeld-dan-handel"-architectuur aan, waarbij een World-Action Model (WAM) eerst een latente traject van toekomstige visuele representaties ($\tilde{z}$) genereert voordat de actiebeleidsregel wordt geconditioneerd. Terwijl eerder onderzoek naar adversarial attacks zich richt op het reactieve observatie-naar-actie pad van de beleidsregel, identificeert dit artikel een nieuw, onderscheidend aanvalsoppervlak: de vertrouwde verbeelding die door downstream orakels wordt geconsumeerd.

De auteurs stellen dat terwijl reactieve beleidsregels opereren in een echte closed-loop waar omgevingsfeedback fouten corrigeert, downstream orakels (zoals safety gates, visuele Model-Predictive-Control (MPC) planners, of "imagine-then-check" verifiers) de verbeelde toekomst $\tilde{z}$ behandelen als een vertrouwde voorspelling zonder corrigerende signalen uit de echte wereld. Bijgevolg impliceert de robuustheid van de reactieve beleidsregel niet de robuustheid van systemen die vertrouwen op de verbeelding van de WAM. Het kernfenomeen is een asymmetrie: het corrumperen van de verbeelding (het wegduwen van de natuurlijke manifold) is gemakkelijk, maar het nauwkeurig sturen naar een specifiek doel op de manifold is moeilijk.

Methodologie

Dreigingsmodel

De auteurs hanteren een capability-based, white-box dreigingsmodel:

• Attacker Capabilities: De aanvaller heeft volledige toegang tot de WAM en de encoder (Kerckhoffs's principe) en kan de huidige camera-observatie $o$ verstoren met een $\ell_\infty$-gebonden perturbatie $\delta$ ($\|\delta\|_\infty \leq \epsilon$).
• Constraints: De aanvaller kan de modelgewichten niet wijzigen, de interne werking van het orakel niet inzien of de ware toekomst niet observeren.
• Differentiability: Het aanvalsproces maakt gebruik van het feit dat voor continue diffusie-gebaseerde WAM's de mapping van observatie naar verbeelde toekomst ($o \to \tilde{z}$) end-to-end differentieerbaar is (geen discrete vector kwantisatie of in-place cache writes), wat echte Projected Gradient Descent (PGD) mogelijk maakt.

Aanvalsdoelstellingen

Het artikel definieert twee aanvalsdoelstellingen (Definitie 2):

1. Untargeted Corruption: Maximaliseert de divergentie tussen de adversariële verbeelding $\tilde{z}_{adv}$ en de schone verbeelding $\tilde{z}_{clean}$ door hun cosinus-gelijkenis te minimaliseren. Dit beoogt $\tilde{z}$ van de natuurlijke-toekomst-manifold af te duwen.
2. Targeted Steering: Probeert $\tilde{z}_{adv}$ te drijven naar een specifiek door de aanvaller gekozen doel $\tilde{z}_{tgt}$ (bijv. een andere scène of instructie).

Detectiemechanisme

De auteurs stellen een parametervrije denoiser self-consistency detector voor. Omdat gecorrumpeerde verbeelding inherent "off-manifold" is (afwijkend van de laagdimensionale manifold van natuurlijke toekomsten die door het model zijn geleerd), meet de detector de gemiddelde toekomstige frame-velocity-predictie norm bij kleine ruisniveaus. Een hoge norm geeft aan dat de sample off-manifold is en waarschijnlijk gecorrumpeerd. Deze detector vereist geen schone referentie.

Belangrijkste Bijdragen

1. Nieuw Aanvalsoppervlak: De eerste white-box integriteitsaanval tegen de vertrouwde verbeelding van imagine-then-act WAM's. De auteurs demonstreren dat de observatie-naar-verbeelding mapping echte gradiënt-gebaseerde aanvallen op de latente toekomst toestaat.
2. Asymmetrie Mechanisme: Het artikel stelt vast dat untargeted corruptie aanzienlijk gemakkelijker is (ongeveer 60$\times$ sterker dan willekeurige ruis) en perceptueel zichtbaar is, terwijl targeted steering naar willekeurige scènes strikt begrensd is. Deze asymmetrie wordt bepaald door gedecodeerde frame-evidentie, niet alleen door latente cosinus-gelijkenis.
3. Robuuste Defensie: Een parametervrije denoiser detector bereikt een Area Under the Curve (AUC) van 1.0 bij het onderscheiden van schone versus adversariële verbeelding. Cruciaal is dat de defensie standhoudt tegen adaptieve aanvallers; een aanvaller die probeert detectie te ontwijken door op de manifold te blijven, moet de mogelijkheid opgeven om de verbeelding te corrumperen.
4. Taakniveau Null vs. Oracle Failure: Het artikel biedt een "honest null" aan waarbij reactieve beleidsregels robuust blijven tegen gecorrumpeerde verbeelding (succesratio's dalen nauwelijks). Echter, het demonstreert de eerste adversary-specifieke taalfout in een native verbeelding-gedreven MPC, waarbij het vertrouwen van het orakel in de gecorrumpeerde $\tilde{z}$ leidt tot catastrofale besluitvorming.

Experimentele Resultaten

De studie evalueert drie targets die de koppeling tussen verbeelding en actie beslaan: RynnVLA-002 (ontkoppelde koppeling), LingBot-VA (zwakke koppeling/orakel), en LaDi-WM (sterke native koppeling).

• Untargeted Corruption: Op LingBot-VA bereikten untargeted aanvallen tot wel 60$\times$ de corruptie van willekeurige ruis. Bij $\epsilon=0.1$ schakelde een fidelity verifier over naar "onbetrouwbaar" in 100% van de gevallen met 0% false positives. Gedecodeerde frames vertoonden perceptueel zichtbare artefacten (smearing, ghosting).
• Targeted Steering: Hoewel latente cosinus-metrieken enige steering suggereerden, toonden gedecodeerde frames en verifiers aan dat steering naar een echt andere scène beperkt was. Voor cross-scene targets was de gedichte gap slechts ~0.2, en de verifier wees de adversariële verbeelding correct af in 0/8 gevallen.
• Detectie: De denoiser self-consistency detector bereikte een AUC 1.0 bij $\epsilon \geq 0.2$. Oppervlakte statistieken (RMS, max-abs) faalden in het detecteren van de aanval, wat bevestigt dat de aanval binnen de $\ell_\infty$ budget blijft terwijl het off-manifold beweegt.
• Adaptieve Aanvallers: Wanneer aanvallers een loss minimaliseerden die corruptie en detectiescore combineert, vereiste het vermijden van detectie een significante reductie in corruptie (van 0.279 naar 0.064), wat bewijst dat de defensie standhoudt.
• Real Task Failure (LaDi-WM MPC): In een sampling MPC setup veroorzaakte adversariële corruptie een instorting van de succesratio. Bij $\epsilon=0.01$ behield willekeurige ruis een succesratio van ~0.70 (vergelijkbaar met schoon), terwijl de adversariële aanval de succesratio deed dalen naar 0.05 (Fisher $p < 10^{-4}$). Dit "adversary-specific window" demonstreert dat het vertrouwen van het orakel in de verbeelding een unieke kwetsbaarheid creëert die niet aanwezig is bij de reactieve beleidsregel.

Betekenis en Claims

Het artikel claimt dat beleidsrobuustheid niet gelijk staat aan systeemrobuustheid wanneer het systeem vertrouwt op een vertrouwde verbeelding. De centrale stelling is dat de "vertrouwde verbeelding" een kritieke kwetsbaarheid vormt voor downstream orakels (planners, verifiers, safety gates) die gebreken vertonen door een gebrek aan corrigerende signalen uit de echte wereld.

De betekenis ligt in:

• Het identificeren dat het "imagine-then-act" paradigma een specifiek aanvalsoppervlak introduceert dat verschillend is van het actiepad.
• Het demonstreren dat hoewel reactieve beleidsregels gecorrumpeerde interne features kunnen tolereren, systemen die op deze features handelen als voorspellingen (orakels) lijden onder adversary-specifieke fouten.
• Het aantonen dat de inherente "off-manifold" aard van corruptie een zeer effectieve, parametervrije detectie mogelijk maakt, zelfs tegen adaptieve aanvallers.

De auteurs merken expliciet beperkingen op: de evaluatie is simulatie-gebaseerd (LIBBO-10), de targeted steering is begrensd (kan de scène niet willekeurig controleren), en de impact op de "beschikbaarheid" (taaksucces daling) is statistisch significant maar bescheiden in omvang vergeleken met vroege pilot-schattingen. Het werk concludeert dat de primaire dreiging de corruptie van het besluitvormingsproces van het orakel is, en niet de willekeurige overname van het gedrag van de beleidsregel.