🤖 AI

What Breaks Embodied AI Security:LLM Vulnerabilities, CPS Flaws,or Something Else?

本文指出，具身智能系统的安全失效主要源于语言模型漏洞与经典网络物理系统缺陷之外的“具身诱导的系统级失配”，即语义正确无法保证物理安全、非线性动力学导致结果差异、误差在感知 - 决策 - 行动闭环中放大以及安全性的非组合性，因此强调需从组件级防御转向对物理风险与失败传播的系统级推理。

原作者： Boyang Ma, Hechuan Guo, Peizhuo Lv, Minghui Xu, Xuelong Dai, YeChao Zhang, Yijun Yang, Yue Zhang

发布于 2026-02-20

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Boyang Ma, Hechuan Guo, Peizhuo Lv, Minghui Xu, Xuelong Dai, YeChao Zhang, Yijun Yang, Yue Zhang

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文探讨了一个非常有趣且紧迫的问题：当人工智能（AI）不再只是“坐在电脑里聊天”，而是变成了“有身体的机器人”走进现实世界时，到底什么会搞砸它的安全？

简单来说，作者认为：仅仅盯着大语言模型（LLM）会不会“说错话”，或者盯着机器人的硬件会不会“坏掉”，都不够。真正的危机在于**“大脑”和“身体”之间的配合出了问题**。

为了让你更容易理解，我们可以把具身智能（Embodied AI）想象成一个刚学会走路、但脑子里装着百科全书的“超级机器人管家”。

以下是这篇论文的核心观点，用生活中的比喻来解释：

1. 核心误区：我们以为的“安全”vs. 实际的“安全”

以前我们研究 AI 安全，主要分两派：

派系 A（管大脑的）： 担心机器人会不会被黑客骗，说出坏话，或者被“越狱”去干坏事。
派系 B（管身体的）： 担心机器人的轮子会不会卡住，传感器会不会失灵，或者电路会不会短路。

这篇论文说： 这两派都只看到了冰山一角。现在的机器人（比如自动驾驶汽车、服务机器人）最可怕的不是“脑子坏了”或“腿断了”，而是**“脑子觉得没问题，但身体一执行就出大事”**。

2. 为什么具身 AI 这么难搞？（四个核心洞察）

作者提出了四个让机器人安全变得极其困难的“致命伤”：

① “语言正确”不等于“物理安全”

比喻： 想象你让机器人管家去“把那个易碎的玻璃杯快速拿过来”。
- 大脑（LLM）： 听懂了“快速”和“拿过来”，逻辑上完全通顺，指令也执行了。
- 身体（物理世界）： 但“快速”意味着加速度大，摩擦力可能不够，杯子一滑就碎了，或者手一抖把杯子砸了。
结论： 语言是抽象的，它忽略了重力、摩擦力、材质软硬这些物理细节。机器人可能非常“礼貌”且“逻辑通顺”地把你家的花瓶砸了。

② “同样的动作，不同的结局”

比喻： 就像你推一扇门。
- 如果门后是空的，你轻轻一推就开了（安全）。
- 如果门后站着一个正在睡觉的人，你轻轻一推，他可能摔下楼梯（灾难）。
结论： 在数字世界里，输入 A 永远得到输出 B。但在物理世界里，哪怕是一点点姿势、地面摩擦力或物体重量的微小变化，都会让原本安全的动作变成致命的动作。 机器人很难预判这些微小的变化。

③ 错误会像“滚雪球”一样放大

比喻： 想象机器人看东西有点模糊（感知误差），它以为前面是平地，于是决定“加速跑”。
- 第一步：看错了（小错）。
- 第二步：因为看错了，规划了一条加速路线（中错）。
- 第三步：加速冲过去，结果撞上了真正的障碍物（大灾难）。
结论： 机器人由“看 - 想 - 动”三个环节紧密连接。如果“看”错了一点点，这个错误会在“想”和“动”的环节被层层放大，最后导致无法挽回的后果。而且，机器人往往不知道“自己看错了”，所以不会减速或停下来确认。

④ 局部安全 $\neq$ 全局安全

比喻： 就像下棋。
- 机器人每一步走棋（比如“向左转”、“拿杯子”）单独看都是符合规则的，也是安全的。
- 但是，如果它连续走了 100 步安全的棋，最后可能把自己逼进了死胡同，或者把主人逼到了墙角。
结论： 机器人可能每一步都做得“很对”，但组合起来却是一个灾难性的长程计划。传统的控制系统很难预测这种长远的风险。

3. 真正的罪魁祸首是什么？

论文认为，打破安全的不是单一的“黑客攻击”或“零件故障”，而是**“身体化带来的系统级错配”**。

大脑（LLM）： 活在文字和逻辑的世界里，它不懂“力”和“时间”。
身体（CPS）： 活在物理世界里，受重力、摩擦和惯性支配。
错配点： 当大脑把抽象的指令（“小心点”）交给身体时，身体不知道“小心”具体意味着“用 0.5 牛顿的力”还是“用 0.1 牛顿的力”。这种翻译过程中的信息丢失，就是灾难的源头。

4. 我们该怎么办？

作者建议，未来的安全策略不能只修补“大脑”（防止 AI 说坏话）或只加固“身体”（防止硬件被黑），而需要系统级的思维：

让大脑“懂物理”： 训练 AI 时，不仅要教它说话，还要教它理解物理世界的规则（比如力、摩擦、惯性）。
建立“安全契约”： 在机器人的各个层级（感知、规划、控制）之间建立严格的沟通机制，确保上层指令不会给下层出难题。
承认不确定性： 机器人必须学会“承认自己不知道”。当它感觉环境有点模糊时，应该停下来问人，而不是盲目自信地执行。

总结

这篇论文就像给未来的机器人安全敲响了警钟：不要以为给机器人装上了最聪明的“大脑”和最结实的“身体”就万事大吉了。

真正的挑战在于如何让这个“大脑”真正理解它那个“身体”所处的物理世界。如果大脑和身体“语言不通”，哪怕它们各自都很完美，组合在一起也可能变成一场灾难。我们需要从系统整体的角度，去重新设计机器人的安全机制。

1. 研究问题 (Problem)

随着具身人工智能（Embodied AI, EA）系统（如自动驾驶汽车、服务机器人、LLM 驱动的交互代理）从受控实验室环境向现实世界的安全关键领域（如城市交通、医疗、家庭）快速部署，其安全性面临严峻挑战。

核心矛盾： 现有的研究主要将具身 AI 的安全问题割裂为两个独立的视角：
1. 大语言模型（LLM）视角： 关注提示注入（Prompt Injection）、越狱（Jailbreaking）等认知层面的漏洞。
2. 信息物理系统（CPS）视角： 关注传感器欺骗、控制回路不稳定、执行器攻击等传统物理层面的缺陷。
未解之谜： 本文指出，上述两种单一视角不足以解释现代具身系统中观察到的许多故障。核心问题是：究竟什么破坏了具身 AI 的安全？是 LLM 漏洞、CPS 缺陷，还是某种根本不同的、由“具身性”（Embodiment）本身引发的系统性失配？
关键痛点： 与纯数字 AI 不同，具身 AI 的失败会导致不可逆的物理后果（如碰撞、人身伤害）。现有的防御机制往往无法处理语义正确但物理危险的决策。

2. 方法论 (Methodology)

本文采用系统性综述与根因分析相结合的方法，构建了一个多维度的分析框架：

架构解构： 将具身 AI 系统解构为感知层（Perception）、决策/推理层（Decision/Reasoning，通常由 LLM/VLA 驱动）和行为规划/控制层（Behavior Planning & Control），以及物理环境层。
分类学梳理： 系统性地梳理了针对具身 AI 的三大类攻击面：
- LLM 中心漏洞： 语义完整性攻击、跨模态不一致攻击、代理 - 环境交互循环攻击。
- CPS 中心漏洞： 传感器完整性攻击、控制回路攻击、执行器攻击、时序同步攻击。
- 具身特异性漏洞： 那些无法单纯归因于 LLM 或 CPS，而是源于两者耦合及物理世界特性的漏洞。
根因归纳： 通过对比分析，提炼出导致具身 AI 安全失效的四个核心洞察（Insights），揭示了从“语义正确”到“物理安全”之间的断裂机制。
案例与基准分析： 引用了最新的攻击数据集（如 Harmful-RLbench, EIRAD, BadVLA 等）和基准测试，验证了理论分析。

3. 核心贡献与关键洞察 (Key Contributions & Insights)

本文最大的贡献在于提出了四个核心洞察，解释了为什么具身 AI 比单独的 LLM 或传统 CPS 更难保障安全：

洞察 1：语义正确性不等于物理安全性 (Semantic Correctness $\neq$ Physical Safety)

机制： LLM 基于语言推理，抽象掉了几何、动力学、接触约束和摩擦力等物理细节。
后果： 一个在语义上符合用户意图、逻辑自洽的指令（如“快速移动”），在物理执行时可能因违反动力学约束（如加速度过大导致打滑或破碎）而引发灾难。语言层面的“正确”无法保证物理层面的“可行”。

洞察 2：相同动作在不同物理状态下可能导致截然不同的后果 (State-Dependent Outcomes)

机制： 物理系统遵循非线性动力学。微小的状态差异（如姿态、接触模式、材料摩擦系数、环境动态）会显著改变动作结果。
后果： 在数字系统中，相同输入产生相同输出；但在物理世界中，相同的控制指令在不同状态下可能从“安全”变为“危险”。这使得静态的安全验证（如一次性检查）失效。

洞察 3：误差在感知 - 决策 - 行动回路中传播并放大 (Error Propagation & Amplification)

机制： 具身 AI 是紧密耦合的反馈系统。感知层的微小误差（如遮挡导致的定位偏差）或决策层的推理偏差，若未显式传播不确定性，会在规划层被放大，最终导致控制层的巨大物理偏差。
后果： 许多故障并非由单一组件的灾难性失效引起，而是由跨层级的微小误差累积（Cascading errors）导致的。

洞察 4：安全性在时间和系统层级上不可组合 (Safety is Not Compositional)

机制： 局部安全的决策（如每一步都避开了障碍物）在长时程或动态环境中可能组合成全局不安全的轨迹（如将人逼入死角）。
后果： 传统的 CPS 安全通常可在控制层强制执行，但具身 AI 的自适应决策会不断重塑目标，使得局部安全无法保证全局安全。

4. 主要结果与发现 (Results & Findings)

攻击面扩展： 具身 AI 引入了新的攻击面，如间接环境越狱（利用环境中的文本或物体作为提示，绕过直接的用户输入过滤）、几何对抗攻击（通过改变物体形状而非纹理来欺骗机器人）以及视觉指令劫持（在场景中嵌入欺骗性文字指令）。
传统防御失效： 传统的 CPS 安全假设（如传感器可信、控制回路稳定）在面对 LLM 的不确定性（幻觉、随机性）时变得脆弱；而 LLM 的安全对齐（Alignment）无法解决物理世界的动力学约束问题。
根因分类： 论文将故障根源归纳为：
1. 语义 - 物理失配 (Semantic-Physical Mismatch)： 语言知识缺乏物理因果细节。
2. 动作 - 后果解耦 (Action-Consequence Decoupling)： 计划与执行之间的漂移（Execution Drift）。
3. 跨层错位 (Cross-Layer Misalignment)： 语义层、规划层和控制层的目标、约束和不确定性表示不一致，导致局部最优但全局危险。

5. 挑战与对策 (Challenges & Countermeasures)

论文在最后一部分提出了未来的研究方向和应对策略：

安全保护挑战：
- 偏见继承： 训练数据中的偏见可能导致物理交互中的歧视（如自动驾驶对特定人群的识别率低）。
- 幻觉： LLM 生成的虚假环境信息会导致危险动作。
- 多机器人协调： 通信协议漏洞可能导致群体性故障。
攻防机制：
- 过滤器局限性： 由于触发器可能隐藏在环境刺激中，传统的“黑盒”过滤器难以检测所有攻击（不可区分性挑战）。
- 对策： 需要转向内在鲁棒性（Intrinsic Robustness），如对抗训练、形式化验证（Reachability Analysis）以及混合架构（运行时监控 + 离线验证）。
政策与标准： 需要建立针对具身 AI 的认证标准（超越现有的 ISO 15066），明确责任归属，并制定应对社会影响（如就业替代）的政策。

6. 意义与价值 (Significance)

范式转变： 本文挑战了将具身 AI 安全简单视为"LLM 安全 + CPS 安全”的叠加观点，提出了**“具身性诱导的系统级失配”**这一新范式。
理论指导： 为理解为什么“聪明的”AI 会做出“愚蠢且危险”的物理行为提供了理论框架（语义 - 物理失配、状态依赖、误差传播）。
实践指引： 指出未来的安全研究必须从组件级防御转向系统级推理，关注物理风险、不确定性传播和长时程行为的安全性。这对于设计下一代安全可靠的机器人、自动驾驶和智能代理具有至关重要的指导意义。

总结： 这篇论文深刻地揭示了具身 AI 安全问题的本质——它不仅仅是代码漏洞或传感器故障，而是抽象的语义推理与具体的物理世界约束之间深刻的结构性鸿沟。解决这一问题需要跨学科的系统工程方法，而非单一领域的修补。