🤖 AI

Towards Backdoor-Based Ownership Verification for Vision-Language-Action Models

Este artigo apresenta o GuardVLA, o primeiro framework baseado em backdoor para verificar a propriedade de modelos Visão-Linguagem-Ação, incorporando marcas d'água sigilosas em dados visuais corporificados e utilizando um mecanismo de troca e detecção para garantir verificação confiável sem comprometer o desempenho da tarefa ou a adaptabilidade do modelo.

Autores originais: Ming Sun, Rui Wang, Xingrui Yu, Lihua Jing, Hangyu Du, Zhenglin Wan, Xu Pan, Ivor Tsang

Publicado 2026-05-12

📖 4 min de leitura☕ Leitura rápida

CC BY 4.0

Autores originais: Ming Sun, Rui Wang, Xingrui Yu, Lihua Jing, Hangyu Du, Zhenglin Wan, Xu Pan, Ivor Tsang

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine que você construiu um chef-robô altamente sofisticado. Este robô não apenas segue comandos simples; ele compreende linguagem, vê a cozinha e decide exatamente como mover seus braços para cortar vegetais ou virar panquecas. É isso que o artigo chama de modelo Visão-Linguagem-Ação (VLA).

Construir esses robôs é caro e difícil. Desenvolvedores dedicam anos de trabalho e milhões de dólares ao treinamento deles. No entanto, uma vez que esses robôs são lançados ao público, qualquer pessoa pode copiá-los, ajustá-los e vendê-los como próprios, sem dar crédito ou pagar aos criadores originais.

O artigo apresenta o GuardVLA, um novo sistema projetado para resolver esse problema. Pense nele como um selo de "tinta invisível" digital que prova quem realmente é o dono do cérebro do robô.

Veja como funciona, usando analogias simples:

1. O Problema: O Robô "Imitador"

Imagine que você assa uma receita de bolo famosa e a entrega a um amigo. Seu amigo pega a receita, muda levemente a cobertura e afirma que inventou o bolo. No mundo da IA, isso é fácil de fazer. Se você apenas observar como o robô executa uma tarefa (como pegar uma xícara), uma versão roubada pode parecer quase idêntica à original. É difícil dizer quem a criou apenas observando-a trabalhar.

2. A Solução: O "Interruptor Secreto" (GuardVLA)

O GuardVLA resolve isso incorporando um gatilho secreto e invisível no cérebro do robô durante seu treinamento.

A "Tinta Invisível" (Marca d'água): Durante o treinamento, os desenvolvedores escondem uma mensagem secreta dentro das imagens que o robô vê. É como escrever um código secreto na textura de um vegetal que o robô está observando. O robô aprende a reconhecer esse código, mas isso não altera como ele cozinha ou se move. O robô age exatamente como um robô normal.
"Modo Seguro" vs. "Modo Detetive": Esta é a parte mais inteligente. O artigo utiliza um mecanismo de "Troca e Detecção".
- Modo Benigno (Uso Cotidiano): Quando o robô está trabalhando em uma cozinha ou fábrica, ele usa suas "partes cerebrais" padrão. Ele ignora completamente o código secreto. Ele se comporta normalmente, com segurança e eficiência.
- Modo Gatilho (A Auditoria): Quando o proprietário original deseja verificar se um robô é seu, ele substitui uma parte interna específica do cérebro do robô (o "projetor") por uma parte especial de "detetive". Essa parte detetive é ajustada para procurar aquela tinta invisível específica.

3. Como Funciona a Verificação

Imagine que você tem uma chave que só encaixa em uma fechadura específica.

O Teste: O proprietário pega o robô suspeito e insere seu módulo especial de "detetive".
A Reação: Se o robô foi treinado com a tinta invisível secreta, o módulo detetive se acende e diz: "Encontrei o código! Este é o meu robô!"
O Resultado: Se o robô era uma cópia limpa ou um robô diferente, o módulo detetive não vê nada e diz: "Nenhum código encontrado."

4. Por Que Isso é Especial

O artigo destaca três razões principais pelas quais essa abordagem é melhor que os métodos anteriores:

Não Quebra o Robô: Alguns métodos antigos tentavam provar a propriedade fazendo o robô agir de forma estranha (como deixar cair uma xícara) quando uma palavra secreta era falada. Isso é perigoso para robôs que podem machucar pessoas ou quebrar coisas. O GuardVLA é diferente: o robô age perfeitamente normal até que o proprietário decida executar o teste específico de "detetive".
Sobrevive a "Remisturas": Se um ladrão pegar o robô, treiná-lo com novos dados ou alterar suas configurações (ajuste fino), o código secreto geralmente permanece escondido dentro. O artigo mostra que, mesmo após o robô aprender novas tarefas, o "detetive" ainda consegue encontrar o código.
É Difícil de Remover: O artigo testou se ladrões poderiam apagar o código comprimindo o cérebro do robô ou ensinando-o novos truques. O código estava tão profundamente incorporado que tentar removê-lo na verdade quebrava a capacidade do robô de fazer seu trabalho, enquanto o código permanecia detectável.

Resumo

O GuardVLA é como colocar um número de série oculto e irremovível no cérebro de um robô que apenas o proprietário original pode ler.

Para o mundo: O robô parece e age como uma máquina normal e de alto desempenho.
Para o proprietário: Ele tem uma chave especial (o mecanismo de "troca e detecção") que revela a assinatura oculta, provando que o robô pertence a ele, mesmo que alguém tenha tentado copiá-lo ou modificá-lo.

Isso garante que os criadores possam compartilhar seus cérebros robóticos avançados com o mundo sem medo de perder o crédito ou o controle sobre sua propriedade intelectual.

Resumo Técnico: GuardVLA – Em Direção à Verificação de Propriedade Baseada em Backdoor para Modelos Visão-Linguagem-Ação

1. Declaração do Problema

Os modelos Visão-Linguagem-Ação (VLA) habilitam o controle robótico generalista ao mapear entradas multi-modais (linguagem e visão) para ações robóticas contínuas. À medida que esses modelos se tornam ativos intelectuais valiosos, exigindo investimento significativo em arquitetura, ajuste fino e dados, sua liberação aberta os expõe a reutilização não autorizada, modificação e implantação comercial.

Os métodos existentes de verificação de propriedade de modelos enfrentam limitações críticas quando aplicados a VLAs:

Baixa Separabilidade de Respostas: Ao contrário dos modelos visão-linguagem padrão que produzem saídas semânticas, os VLAs geram ações contínuas executáveis. Diferentes políticas frequentemente exibem comportamentos bem-sucedidos altamente semelhantes na mesma tarefa, tornando difícil distinguir a propriedade com base em discrepâncias no nível da resposta.
Restrições de Segurança: Métodos tradicionais baseados em backdoor ou perturbações adversariais que induzem saídas anormais são inadequados para robótica, pois poderiam desencadear comportamentos inseguros durante a implantação.
Robustez: Os mecanismos de verificação devem permanecer eficazes mesmo após o modelo sofrer ajuste fino ou adaptação a jusante.

O desafio central é projetar um framework de verificação que forneça evidências de propriedade distinguíveis sem comprometer o desempenho normal da tarefa ou induzir comportamentos robóticos inseguros.

2. Metodologia: GuardVLA

Os autores propõem o GuardVLA, o primeiro framework de verificação de propriedade baseado em backdoor projetado especificamente para VLAs. O framework opera por meio de um mecanismo de "troca e detecção", desacoplando a execução benigna da verificação em modo de gatilho.

2.1. Incorporação de Marca D'água (Ajuste Fino Seguro)

Durante a fase de treinamento, o GuardVLA incorpora uma marca d'água de backdoor sigilosa e inofensiva no modelo protegido:

Injeção Esteganográfica: Uma mensagem secreta fixa ( $m_s$ ) é incorporada nas observações visuais corporificadas ( $x_{ob}$ ) usando um incorporador de esteganografia de imagem pré-treinado ( $E_\phi$ ), criando uma observação com marca d'água $x_s = x_{ob} + \delta_s$ .
Ajuste Fino Seguro: O modelo protegido ( $M_w$ ) é ajustado fino nessas observações com marca d'água usando a perda de tarefa padrão. Isso incorpora o padrão de backdoor nos parâmetros do modelo sem alterar seu comportamento em entradas limpas.
Modelos Auxiliares: Para suportar a detecção, dois modelos auxiliares são treinados:
- Um Modelo Limpo ( $M_c$ ) ajustado fino em dados originais e não modificados.
- Um Modelo de Ruído ( $M_r$ ) ajustado fino em dados com mensagens secretas não-alvo aleatórias ( $m_r$ ).

2.2. Treinamento Conjunto do Projetor de Gatilho e Classificador

Para permitir a detecção sem alterar o comportamento benigno do modelo implantado, o GuardVLA treina módulos externos:

Projetor de Gatilho ( $P_t$ ): Substitui o projetor padrão durante a verificação. Ele mapeia características visuais para tokens sensíveis à marca d'água incorporada.
Cabeça Classificadora ( $H_c$ ): Substitui o especialista de ação padrão durante a verificação para outputar probabilidades de propriedade.
Objetivo de Treinamento: Esses módulos são treinados usando uma Perda de Tripla para estruturar o espaço de representação (agrupando representações limpas e de ruído enquanto empurra a representação com marca d'água para longe) e uma Perda de Entropia Cruzada Binária para classificar o modelo com marca d'água como positivo e os outros como negativos.

2.3. Protocolo de Verificação de Troca e Detecção

A verificação de propriedade ocorre em dois modos distintos:

Modo Benigno (Teste de Desempenho): O modelo usa seus componentes originais ( $P_b, H_a$ ) para executar tarefas. A Taxa de Sucesso (SR) é medida para garantir que o modelo não tenha travado ou degradado significativamente.
Modo Gatilho (Detecção de Marca D'água): Se o modelo passar no teste de desempenho, o projetor interno e a cabeça de ação são trocados pelo Projetor de Gatilho treinado ( $P_t$ $P_{t}$ ) e pela Cabeça Classificadora ( $H_c$ $H_{c}$ ). O modelo processa as mesmas entradas, e o classificador outputa uma Confiança de Identificação de Marca D'água (WIC).
- Se $WIC \ge \tau_{wic}$ , o modelo é identificado como uma cópia do modelo protegido.
- Se $WIC < \tau_{wic}$ , o modelo é considerado sem marca d'água.

3. Contribuições Principais

Framework GuardVLA: O primeiro framework de verificação de propriedade baseado em backdoor adaptado para VLAs, incorporando uma marca d'água inofensiva durante o treinamento que permanece inativa durante a implantação padrão.
Mecanismo de Troca e Detecção: Uma estratégia de verificação inovadora que desacopla explicitamente a execução benigna da verificação em modo de gatilho. Isso garante que a evidência de propriedade seja ativada apenas durante auditorias, prevenindo comportamentos inseguros durante a operação robótica normal.
Robustez e Fidelidade: Experimentos extensivos demonstram que o GuardVLA preserva o desempenho da tarefa a jusante (fidelidade) enquanto mantém alta detectabilidade da marca d'água mesmo após adaptação do modelo pós-lançamento (ajuste fino) e sob vários ataques de supressão.

4. Resultados Experimentais

Os autores avaliaram o GuardVLA em três arquiteturas VLA representativas (OpenVLA-OFT, VLA-Adapter e $\pi_{0.5}$ ) usando o conjunto de benchmarks LIBERO.

Fidelidade do Modelo: O GuardVLA preservou ou melhorou ligeiramente as taxas de sucesso da tarefa (SR) em comparação com modelos limpos. Por exemplo, o OpenVLA-OFT com marca d'água alcançou 99,4% de SR no conjunto de Objetos (vs. 98,2% limpo), e o VLA-Adapter melhorou de 89,8% para 93,4% no LIBERO-10.
Detectabilidade da Marca D'água: No modo gatilho, modelos com marca d'água consistentemente alcançaram pontuações WIC acima de 99,8%, enquanto modelos limpos e de ruído permaneceram abaixo de 0,1%. Isso indica uma separação clara entre modelos protegidos e não protegidos.
Robustez à Adaptação:
- Ajuste Fino entre Conjuntos de Dados: Quando um modelo com marca d'água treinado no LIBERO-10 foi ajustado fino no LIBERO-Spatial, o WIC permaneceu próximo de 100% durante todo o processo de adaptação.
- Ajuste Fino entre Métodos: Mesmo quando ajustado fino com entradas visuais reduzidas (vista única vs. vista dupla), a marca d'água permaneceu detectável.
Resistência à Supressão: O framework resistiu à quantização de pesos (INT4), destilação de conhecimento e ataques adaptativos invariantes ao projetor. Em todos os casos, o WIC permaneceu próximo de 100%, enquanto os ataques frequentemente degradaram o desempenho da tarefa do modelo (SR), sugerindo que remover a marca d'água compromete a utilidade.
Extensão ao Nível de Comportamento: Os autores demonstraram que a propriedade também pode ser verificada por meio de padrões distintos de movimento do efetuador final induzidos pelo gatilho, fornecendo um sinal de verificação interpretável ao nível do comportamento.

5. Significado e Alegações

O artigo alega que o GuardVLA aborda uma lacuna crítica na implantação de VLAs de código aberto, fornecendo um método confiável, seguro e robusto para verificação de propriedade.

Segurança em Primeiro Lugar: Ao contrário de métodos anteriores de backdoor que poderiam induzir ações incorretas, o GuardVLA garante que a marca d'água permaneça adormecida durante a operação normal, preservando a segurança e a utilidade da política robótica.
Persistência: A marca d'água é projetada para persistir através do ajuste fino a jusante, um cenário comum na adaptação de VLA, garantindo que as reivindicações de propriedade permaneçam válidas mesmo após o modelo ser adaptado a novas tarefas ou ambientes.
Praticidade: O framework opera sob um modelo de ameaça realista onde o verificador tem acesso limitado (baseado em interface) em vez de pesos completos do modelo, e o processo de verificação não requer expor dados de treinamento privados.

Os autores concluem que o GuardVLA permite o compartilhamento responsável de modelos, permitindo que desenvolvedores rastreiem usos não autorizados sem impedir pesquisa e adaptação benignas, apoiando assim um ecossistema sustentável para inteligência corporificada.