Same Weights, Different Robot: A Deployment Safety View of VLA Policies

Resumo Técnico: Mesmos Pesos, Robô Diferente

Definição do Problema
Os modelos de implantação atuais para políticas de Visão-Linguagem-Ação (VLA) tratam o checkpoint da rede neural (pesos, tokenizador, prompt) como a única unidade de identidade e revisão de segurança da política. Este artigo argumenta que tal suposição cria um "gap de segurança na implantação" crítico. Na prática, um modelo VLA produz coordenadas de ação normalizadas, que devem ser transformadas em comandos de controle físico através de uma etapa de desnormalização de ação. Esta etapa depende de metadados (ex: estatísticas de quantis específicas de um conjunto de dados) para mapear os valores normalizados de volta para unidades físicas.

O problema central é que pesos de modelo idênticos podem instanciar políticas de robô executáveis diferentes se os metadados usados para a desnormalização estiverem incorretos. Por exemplo, substituir uma chave de metadados irmã plausível (ex: estatísticas de um conjunto de tarefas diferente) resulta em uma lei de ação física diferente, embora a saída interna do modelo permaneça inalterada. Isso constitui uma "falha silenciosa de interface", onde auditorias de segurança certificam o checkpoint, mas ignoram a política executável real que chega ao controlador do robô.

Metodologia
Os autores formalizam a política VLA não como um modelo, mas como uma tupla executável $\Pi_{exec} = (f_\theta, I, Z, U_k, C)$, onde:

• $f_\theta$: O modelo aprendido.
• $I$: Processadores de imagem e linguagem.
• $Z$: Representação de ação normalizada.
• $U_k$: O desnormalizador de ação selecionado pela chave de metadados $k$.
• $C$: Convenções do controlador (semântica da garra, frequência de controle, etc.).

Duas implantações são definidas como executavelmente equivalentes apenas se induzirem a mesma lei de ação física sob todas as histórias admissíveis. O artigo demonstra que alterar $k$ (mantendo $f_\theta, I, Z, C$ constantes) quebra essa equivalência.

Para detectar isso, os autores derivam um transform de descompasso de metadados de forma fechada para desnormalizadores do tipo quantil. Se uma implantação usa uma chave pretendida $k_c$ mas uma chave substituída $k_w$, o deslocamento de ação física $\Delta_i$ para uma ação normalizada $z$ na dimensão $i$ é:
$$\Delta_i(z; k_c, k_w) = (q^{(w)}_{01,i} - q^{(c)}_{01,i}) + z_i [ (q^{(w)}_{99,i} - q^{(w)}_{01,i}) - (q^{(c)}_{99,i} - q^{(c)}_{01,i}) ]$$
Este transform é determinístico e independente da inferência do modelo. Com base nisso, eles propõem o ExecSpec, um certificado pré-rollout que mede o desvio semântico no espaço de ação (deslocamento médio, deslocamento de cauda, atribuição de eixo) em um conjunto de calibração sem exigir inferência de modelo ou rollout de simulação.

Principais Contribuições

1. Critério de Identidade de Política Executável: O artigo define uma identidade de política que inclui metadados do espaço de ação, provando que a igualdade de checkpoint é insuficiente para a igualdade de política física.
2. Certificado de Forma Fechada: Deriva um certificado exato e independente de modelo para descompassos de desnormalização do tipo quantil, permitindo a detecção de desvio semântico antes de qualquer movimento do robô.
3. Testemunhas Empíricas: Os autores fornecem evidências extensas de replay através de quatro suítes LIBERO (Goal, Spatial, Object, Long), demonstrando que substituições plausíveis de metadados são suficientes para inverter as taxas de sucesso das tarefas.

Resultos
Os autores conduziram experimentos usando trajetórias normalizadas de replay (fixando a saída do modelo e o estado inicial) para isolar o efeito da substituição de metadados.

• LIBERO-Goal: Usando a chave pretendida GOAL-B, substituir por LONG-V2 resultou em um desvio médio de 0.199 sobre seis dimensões não-garra. Isso reduziu o sucesso da tarefa de 28/28 (pretendido) para 2/28 (substituído). Uma curva dose-resposta mostrou o sucesso caindo monotonicamente conforme a chave de metadados interpolava do correto para o incorreto.
• LIBERO-Spatial: Substituir LONG-V2 por SPATIAL-V2 reduziu o sucesso de 26/26 para 0/26.
• LIBERO-Object & Long: Todas as substituições irmãs plausíveis reduziram o sucesso para 0/28 (Object) ou 0/23 (Long) sob substituição total.
• Controles: O artigo descarta explicações mais simples, como filtragem no-op, artefatos de replay bruto vs. correto, incompatibilidades de convenção de garra e corrupções sintéticas. As falhas foram impulsionadas especificamente por dimensões de ação não-garra onde as estatísticas de metadados diferiam.

Significância e Alegações
O artigo reivindica uma visão de segurança de implantação mais estreita: os metadados do espaço de ação são um componente estrutural da política executável e devem ser versionados e verificados juntamente com os pesos do modelo.

• Não é uma Alegação de Falha Geral: Os autores declaram explicitamente que não alegam que todas as implantações VLA falham sob descompasso de metadados, nem que a desnormalização é o único perigo oculto.
• Não é uma Garantia de Segurança de Hardware: Os resultados baseiam-se em replay de simulação e não certificam segurança de malha fechada ou de hardware. Eles não preveem taxas de falha de hardware.
• Insight Central: A significância reside na identificação de uma camada oculta de semântica do espaço de ação. Se uma implantação altera o desnormalizador enquanto mantém o modelo fixo, ela altera a política executável. Esse descompasso pode ser detectado via um certificado estático antes do rollout, evitando a implantação de uma política que é semanticamente diferente daquela que foi auditada.

O artigo conclui que os manifestos de implantação devem incluir chaves de desnormalização de ação, hashes de estatísticas e convenções de controle para garantir reprodutibilidade e segurança, tratando esses campos como partes integrantes do objeto de política, em vez de meros detalhes de configuração.