Resumo Técnico: Atacando a Imaginação Confiável

Declaração do Problema

Políticas recentes de Visão-Linguagem-Ação (VLA) adotam cada vez mais uma arquitetura de "imaginar-então-agir", onde um Modelo de Mundo-Ação (WAM) gera primeiro uma trajetória latente de representações visuais futuras ($\tilde{z}$) antes de condicionar a política de ação. Enquanto pesquisas adversárias anteriores focam em atacar o caminho de observação-para-ação da política reativa, este artigo identifica uma nova e distinta superfície de ataque: a imaginação confiável consumida por oráculos subsequentes.

Os autores argumentam que, enquanto as políticas reativas executam em um ciclo fechado real onde o feedback ambiental corrige erros, os oráculos subsequentes (como portões de segurança, planejadores de Controle Preditivo Baseado em Modelo (MPC) visuais ou verificadores de "imaginar-então-checar") tratam o futuro imaginado $\tilde{z}$ como uma previsão confiável sem sinais corretivos do mundo real. Consequentemente, a robustez da política reativa não implica a robustez de sistemas que dependem da imaginação do WAM. O fenômeno central é uma assimetria: corromper a imaginação (empurrá-la para fora de seu manifold natural) é fácil, mas direcioná-la precisamente para um alvo específico no manifold é difícil.

Metodologia

Modelo de Ameaça

Os autores adotam um modelo de ameaça baseado em capacidade e de caixa branca (white-box):

• Capacidades do Atacante: O atacante tem acesso total ao WAM e ao codificador (princípio de Kerckhoffs) e pode perturbar a observação da câmera atual $o$ com uma perturbação limitada em $\ell_\infty$ $\delta$ ($\|\delta\|_\infty \leq \epsilon$).
• Restrições: O atacante não pode modificar os pesos do modelo, acessar os internos do oráculo ou observar o futuro real.
• Diferenciabilidade: O ataque aproveita o fato de que, para WAMs baseados em difusão contínua, o mapeamento da observação para o futuro imaginado ($o \to \tilde{z}$) é end-to-end diferenciável (sem quantização vetorial discreta ou escritas de cache in-place), permitindo um verdadeiro Gradiente Descendente Projetado (PGD).

Objetivos do Ataque

O artigo define dois objetivos de ataque (Definição 2):

1. Corrupção Não Direcionada (Untargeted Corruption): Maximiza a divergência entre a imaginação adversarial $\tilde{z}_{adv}$ e a imaginação limpa $\tilde{z}_{clean}$ minimizando sua similaridade de cosseno. Isso visa empurrar $\tilde{z}$ para fora do manifold do futuro natural.
2. Direcionamento Direcionado (Targeted Steering): Tenta conduzir $\tilde{z}_{adv}$ em direção a um alvo específico escolhido pelo atacante $\tilde{z}_{tgt}$ (por exemplo, uma cena ou instrução diferente).

Mecanismo de Detecção

Os autores propõem um detector de autoconsistência de denoiser livre de parâmetros. Como a imaginação corrompida é inerentemente "fora do manifold" (desviando-se do manifold de baixa dimensão de futuros naturais aprendidos pelo modelo), o detector mede a norma da predição de velocidade do frame futuro médio em níveis baixos de ruído. Uma norma alta indica que a amostra está fora do manifold e provavelmente corrompida. Este detector não requer uma referência limpa.

Principais Contribuições

1. Nova Superfície de Ataque: O primeiro ataque de integridade de caixa branca contra a imaginação confiável de WAMs de "imaginar-então-agir". Os autores demonstram que o mapeamento observação-para-imaginação permite ataques reais baseados em gradiente na imaginação latente.
2. Mecanismo de Assimetria: O artigo estabelece que a corrupção não direcionada é significativamente mais fácil (aproximadamente 60$\times$ mais forte que o ruído aleatório) e visualmente perceptível, enquanto o direcionamento direcionado para cenas arbitrárias é estritamente limitado. Esta assimetria é determinada pela evidência do frame decodificado, não apenas pela similaridade de cosseno latente.
3. Defesa Robusta: Um detector de denoiser livre de parâmetros alcança uma Área Sob a Curva (AUC) de 1.0 ao distinguir imaginação limpa de adversarial. Crucialmente, a defesa se mantém contra atacantes adaptativos; um atacante que tenta evitar a detecção permanecendo no manifold deve renunciar à sua capacidade de corromper a imaginação.
4. Falha de Tarefa de Nível de Missão vs. Falha do Oráculo: O artigo fornece um "nulo honesto" mostrando que as políticas reativas permanecem robustas à imaginação corrompida (as taxas de sucesso mal caem). No entanto, demonstra a primeira falha de tarefa real específica do adversário em um MPC nativo de imaginação, onde a confiança do oráculo no $\tilde{z}$ corrompido leva a uma tomada de decisão catastrófica.

Resultados Experimentais

O estudo avalia três alvos abrangendo o acoplamento imaginação-ação: RynnVLA-002 (acoplamento desconectado), LingBot-VA (acoplamento/oráculo fraco) e LaDi-WM (acoplamento nativo forte).

• Corrupção Não Direcionada: No LingBot-VA, ataques não direcionados alcançaram até 60$\times$ a corrupção do ruído aleatório. Com $\epsilon=0.1$, um verificador de fidelidade mudou para "não confiável" em 100% dos casos com 0% de falsos positivos. Os frames decodificados mostraram artefatos perceptivelmente visíveis (borramento, fantasmagoria).
• Direcionamento Direcionado: Embora as métricas de cosseno latente tenham sugerido algum direcionamento, os frames decodificados e os verificadores mostraram que o direcionamento para uma cena genuinamente diferente era limitado. Para alvos de cenas cruzadas, a lacuna fechada foi de apenas ~0.2, e o verificador rejeitou corretamente a imaginação adversarial em 0/8 casos.
• Detecção: O detector de autoconsistência de denoiser alcançou AUC 1.0 em $\epsilon \geq 0.2$. Estatísticas de superfície (RMS, max-abs) falharam em detectar o ataque, confirmando que o ataque permanece dentro do orçamento de $\ell_\infty$ enquanto se move para fora do manifold.
• Atacantes Adaptativos: Quando os atacantes minimizaram uma perda combinando corrupção e pontuação de detecção, a evasão da detecção exigiu uma redução significativa na corrupção (de 0.279 para 0.064), provando que a defesa se mantém.
• Falha de Tarefa Real (LaDi-WM MPC): Em uma configuração de amostragem MPC, a corrupção adversarial causou um colapso na taxa de sucesso. Em $\epsilon=0.01$, o ruído aleatório manteve uma taxa de sucesso de ~0.70 (semelhante ao limpo), enquanto o ataque adversarial reduziu o sucesso para 0.05 (Fisher $p < 10^{-4}$). Esta "janela específica do adversário" demonstra que a confiança do oráculo na imaginação cria uma vulnerabilidade única, não presente na política reativa.

Significância e Alegações

O artigo afirma que a robustez da política não é igual à robustez do sistema quando o sistema depende de uma imaginação confiável. A tese central é que a "imaginação confiável" é uma vulnerabilidade crítica para oráculos subsequentes (planejadores, verificadores, portões de segurança) que carecem de sinais corretivos do mundo real.

A significância reside em:

• Identificar que o paradigma "imaginar-então-agir" introduz uma superfície de ataque específica, distinta do caminho de ação.
• Demonstrar que, embora as políticas reativas possam tolerar características internas corrompidas, sistemas que agem sobre essas características como previsões (oráculos) sofrem falhas específicas do adversário.
• Mostrar que a natureza inerente de "fora do manifold" da corrupção permite uma detecção altamente eficaz e livre de parâmetros, mesmo contra atacantes adaptativos.

Os autores explicitamente observam limitações: a avaliação é baseada em simulação (LIBERO-10), o direcionamento direcionado é limitado (não se pode controlar arbitrariamente a cena) e o impacto na "disponibilidade" (queda de sucesso na tarefa) é estatisticamente significativo, mas de magnitude modesta em comparação com estimativas iniciais de pilotos. O trabalho conclui que a principal ameaça é a corrupção do processo de tomada de decisão do oráculo, não o sequestro arbitrário do comportamento da política.