技术摘要：FlowHijack

问题陈述

视觉 - 语言 - 动作（VLA）模型正成为通用机器人的基础，其中流匹配策略（例如 $\pi_0$）作为自回归、基于 token 模型的优越替代方案正在兴起。与离散的 token 模型不同，流匹配 VLA 通过常微分方程（ODE）对随时间变化的向量场动力学进行建模，从而生成平滑、连续的动作轨迹。

尽管前景广阔，这些模型面临一个关键且未被探索的安全漏洞：后门攻击。现有的针对基于 token 的 VLA（例如 BadVLA）设计的后门框架对流匹配模型无效，主要原因有三：

1. 机制不匹配：基于 token 的攻击依赖于标签翻转或 token 替换，无法直接应用于由 ODE 积分驱动的连续向量场动力学。
2. 触发器可检测性：先前的触发器（例如像素块）在物理环境中视觉上非常显眼，容易被检测，从而降低了其现实威胁潜力。
3. 行为异常：现有攻击在流匹配模型中往往会产生物理上不可信的动作，造成可检测的运动学异常（例如不自然的流速），无法实现隐蔽性。

该论文认为，流匹配动作生成的连续性创造了一个独特的攻击面，需要一种具备动力学感知的方法。

方法论：FlowHijack

作者引入了FlowHijack，这是首个专门针对流匹配 VLA 向量场动力学的后门攻击框架。该框架包含三个核心组件：

1. 上下文感知触发器

为了确保隐蔽性，FlowHijack 摒弃了显眼的视觉伪影。相反，它采用上下文感知触发器，这些触发器在语义上嵌入环境且符合物理规律：

• 物体状态触发器：触发器与物体的状态绑定（例如，倒置的杯子、打开的抽屉）。
• 场景语义触发器：触发器涉及背景配置或属性（例如，穿着特定衬衫的人、背景中的特定物体）。
  这些触发器被设计为对人类观察者而言与环境正常变化无法区分。

2. 动力学劫持策略

核心攻击机制在动作生成过程中操纵学习到的向量场 $v_\theta$。

• $\tau$ 条件注入：流匹配模型通常过采样流匹配时间变量 $\tau$ 的小值（接近纯噪声）以学习粗略的轨迹方向。FlowHijack 利用这一点，仅在生成的早期阶段（$\tau \in [0, \tau_0]$）注入恶意向量场。
• 放大效应：通过在 ODE 积分路径的起始处破坏向量场，初始的方向误差会被求解器在整个轨迹中自然放大，导致最终动作步骤出现显著偏差，同时使向量场的后期阶段基本不受干扰。
• 恶意动作设计：攻击使用两种策略定义目标恶意动作 $A^*$：
  • 姿态锁定（PL）：迫使机器人进入固定的、可能不安全的状态（例如零姿态）。
  • 初始扰动（IP）：对良性动作引入一个小的恒定偏移，导致一致的任务失败（例如抓取失败），同时保持动作的物理合理性。

3. 动力学模仿正则化

为了解决行为可检测性问题，作者引入了动力学模仿正则化（$\mathcal{L}_{mimic}$）。

• 该损失项强制恶意动作与良性动作之间的运动学相似性。
• 它约束恶意向量场的幅度（L2 范数）与良性向量场的幅度相匹配。
• 这确保了生成的机器人运动保持与正常动作相似的流速分布，使攻击在行为和统计上与良性行为无法区分。

训练目标

总训练损失为加权和：
$$\mathcal{L}_{total} = (1 - \alpha - \beta)\mathcal{L}_{FM} + \alpha \mathcal{L}_{BD} + \beta \mathcal{L}_{mimic}$$
其中 $\mathcal{L}_{FM}$ 保持良性性能，$\mathcal{L}_{BD}$ 通过 $\tau$ 条件注入植入后门，$\mathcal{L}_{mimic}$ 确保隐蔽性。

主要贡献

1. 首次系统研究：本文首次系统调查了专门针对流匹配 VLA 模型的后门威胁，识别出向量场动力学作为一种不同于 token 级操纵的新型攻击面。
2. 隐蔽触发器设计：提出了一类上下文感知触发器（物体状态和场景语义），它们无缝集成到视觉观测中，保持物理合理性且难以检测。
3. 动力学感知攻击机制：引入了一种新颖的攻击策略，结合 $\tau$ 条件注入（针对生成早期阶段）与动力学模仿正则化，以确保运动学隐蔽性。
4. 实证验证：通过在仿真（LIBERO 基准）和现实世界（Franka 机器人）设置中的广泛实验，该方法展示了高攻击成功率，同时保持了良性任务性能并绕过了现有防御。

实验结果

作者在LIBERO基准（四个套件：LIBERO-10、Goal、Object、Spatial）上使用 Franka Emika Panda 机器人进行了现实世界任务评估。

• 攻击成功率（ASR）：FlowHijack 实现了高 ASR，在多个任务中达到100%（例如，使用两种触发器类型的 LIBERO-Goal）。相比之下，适配的基线（BadVLA）在上下文感知触发器上彻底失败，ASR 低至11.2%。
• 良性性能（SR）：该攻击保留了良性任务性能，退化可忽略不计。无触发器时的成功率（SR）与基线几乎相同（例如，退化通常低于 3.5%，在某些情况下甚至略有提升）。
• 隐蔽性：
  • 运动学隐蔽性：若无模仿正则化，攻击会产生高频速度振荡和异常速度（>20 m/s）。使用正则化后，速度分布平滑，在统计上与良性动作无法区分。
  • 鲁棒性：该攻击在触发器大小（50%-200%）、位置和特定物体状态的变化中保持有效，证明其学习了语义表示而非过拟合特定像素伪影。
• 防御规避：
  • 目标位置过滤：“初始扰动”策略很大程度上绕过了基于最终末端执行器距离过滤轨迹的防御，即使在严格阈值下仍保持**82.2%**的 ASR。
  • 微调：后门对下游清洁微调表现出鲁棒性，在 10,000 次微调步骤后仍保留**67.7%**的 ASR。

意义与主张

该论文声称，FlowHijack 揭示了连续具身模型中一个显著且此前被忽视的漏洞。作者强调：

• 核心动作生成机制（向量场动力学）构成了一个独特的攻击面，无法通过针对基于 token 模型设计的防御来保障安全。
• 早期阶段注入与运动学模仿的结合使得攻击既高效，又在行为上与正常操作无法区分。
• 未来的 VLA 架构迫切需要安全感知设计，特别是那些检查模型内部生成动力学而不仅仅是输入/输出过滤的防御措施。

作者表示，他们的工作本质上是防御性的，旨在提醒机器人和 AI 安全社区注意这一新的攻击面，以促进鲁棒反制措施的开发。