想象一下，机器人不再是一个遵循严格脚本的僵化机器，而是一个读遍了互联网几乎所有内容的超级聪明实习生。这个“实习生”由一个基础模型（Foundation Model，类似于一个在海量数据上训练出的巨大大脑）驱动。这种新型机器人可以理解开放式的指令，比如“给我做个三明治”或“把这个乱糟糟的房间收拾干净”，并能自行琢磨如何实现。
然而，就像雇佣了一个没有经过正规审查的超级智能实习生一样，这其中存在着严重的风险。这篇论文是一份全面的安全报告（一种“知识系统化”研究），它绘制出了问题可能出错的地方、这些问题如何扩散以及我们该如何修复它们。
作者创建了一个四层“洋葱”框架来解释这些风险，从机器人的大脑向外延伸，直到它所生活的社会。
四层风险（洋葱模型）
1. 大脑层（基础模型）
- 它是什么： 这是核心的“大脑”（AI 模型），负责思考、推理和规划。
- 风险： 如果大脑生病了，机器人也就病了。
- 中毒训练： 想象一下有人偷偷在实习生的训练书籍中植入了一个“触发词”。现在，只要机器人听到这个词，它就会突然决定打破窗户，尽管它受到的训练是乐于助人的。
- 幻觉： 机器人可能会自信地编造事实或规划不可能实现的行动，因为它的“大脑”产生了混乱。
- 隐私泄露： 大脑可能会在无意中“记住”并重复它在训练期间读到的私人秘密，比如特定用户的家庭住址或医疗记录。
2. 身体层（具身系统）
- 它是什么： 这是机器人的物理身体、它的传感器（眼睛/摄像头）、它的手，以及连接其大脑与肌肉的软件。
- 风险： 即便大脑没问题，身体也可能被误导。
- 视觉诡计： 攻击者可以在停止标志上贴一个特殊的贴纸，人类看起来觉得很正常，但会让机器人的“眼睛”误以为那是绿灯。
- 信号劫持： 有人可以广播虚假的声音来迷惑机器人的传感器，让它误以为那里有一堵墙，而实际上并没有。
- “中间人”问题： 连接大脑与身体的软件（神经系统）可能存在漏洞，让黑客能够潜入并夺取控制权。
3. 生态系统层（支撑基础设施）
- 它是什么： 这是机器人的“供应链”和“互联网连接”。它包括它与之通信的云服务器、它下载的软件更新，以及它与其他机器人协作的过程。
- 风险： 机器人本身可能很安全，但它的工具坏了。
- 恶意更新： 想象一下下载了一个其实包含病毒的“软件更新”。机器人安装了它，并开始表现异常。
- 中间人攻击： 黑客可以站在机器人与云端之间，篡改信息。机器人问：“门开了吗？”黑客将答案改为“开了”，即使门其实是锁着的。
- 集群效应： 如果一群机器人中的一个被黑了，它可以命令所有其他机器人去做危险的事情，就像一颗坏苹果坏了一整筐苹果。
4. 治理层（社会与规则）
- 它是什么： 这是“交通规则”、法律，以及关于“谁该负责”的问题。
- 风险： 当事情出错时，谁该承担责任？
- 推诿游戏： 如果机器人伤了人，是构建大脑的人的错？制造身体的人的错？更新软件的人的错？还是拥有它的人的错？这往往很难界定。
- 公共隐私： 如果机器人在你的家中始终在录制视频，那么谁拥有这些数据？即使机器人没有被黑，仅仅是“拥有”这些数据本身就可能构成隐私侵犯。
- 法律滞后： 技术进步神速，但法律移动缓慢。等到我们制定出规则来阻止一种新型机器人攻击时，机器人可能已经造成了破坏。
论文发现的主要问题
作者研究了 96 项不同的研究，发现了三个主要差距：
- “假设 vs. 现实”的差距： 许多安全性测试假设机器人处于一个完美、受控的实验室环境中。但在现实世界中，机器人面临的是混乱、不可预测的环境，在这些环境下，那些安全性测试并不奏效。
- “创可贴”问题： 大多数修复措施仅应用于“看到”的问题之处（例如，阻止机器人的手移动），但它们并没有解决“根本原因”（例如，指挥手部移动的那个中毒的大脑）。这就像是在不止血的情况下，直接在伤口上贴创可贴。
- “孤岛”问题： 研究人员分别在修复大脑、身体和网络。但机器人是一个连接在一起的整体系统。我们需要一个统一的计划来保护整个机器人，而不仅仅是其中的部分。
未来方向是什么？（未来议程）
论文建议我们需要：
- 建立更好的测试： 为机器人创建标准的“驾驶考试”，以便我们可以公平地比较不同机器人的安全性。
- 长远思考： 不要只检查机器人“现在”是否发生碰撞；要检查它是否会在数周或数月内慢慢学会做坏事。
- 在追踪的同时保护隐私： 我们需要一种方法，既能证明机器人完成了任务（为了安全性），又不会记录一个人生活的每一个私密细节。
- 监视“超级大脑”： 新型 AI 能够模拟整个世界，这类技术正在到来。我们需要在这些技术成为机器人的一部分之前，搞清楚如何确保它们的安全。
简而言之： 这篇论文是一张地图，它告诉我们，虽然基础模型驱动的机器人功能极其强大，但它们也非常脆弱。为了安全地使用它们，我们不能仅仅把它们看作是“软件”或仅仅是“机器”，而是要保护整个链条——从它们大脑中的代码到我们社会中的法律。
技术摘要：基础模型驱动机器人的安全性与隐私性
1. 问题陈述
基础模型（FM），包括大语言模型（LLM）、视觉-语言模型（VLM）以及视觉-语言-动作（VLA）模型，正在通过使智能体能够理解开放式指令、对多模态上下文进行推理并在复杂的开放世界环境中运行，从而改变机器人技术。然而，这种集成引入了超越模型本身的安全性与隐私（S&P）风险，这些风险延伸到了具身执行流水线、支撑生态系统以及更广泛的治理影响中。
现有的相关文献综述在该领域存在两个主要局限性：
- 覆盖范围碎片化： 大多数综述侧重于特定的基础模型类型（例如，仅关注 LLM 或仅关注 VLA）或特定的风险类别，缺乏跨不同模型类型和系统层的集成分析。
- 结构化框架不足： 先前的分析通常依赖于扁平的分类法或单一的信任边界（例如，仅关注模型本身或机器人的具身性）。这掩盖了风险是如何产生、如何在不同层级间传播并放大为更广泛的社会危害的。因此，该领域缺乏一个统一的结构来识别缓解措施的缺口，并理解基础模型驱动的机器人系统中 S&P 风险的全生命周期。
2. 研究方法
为了解决这些差距，作者提出了一种基于新型结构化框架和多层分类法的系统化方法。
2.1 F-E-S-G 结构化框架
作者定义了一个递进式的四层信任边界框架，用以组织问题空间：
- 基础模型层 (Foundation Model Layer, F)： 捕捉根植于模型本身人工制品（参数、检查点、适配器、嵌入、训练更新）的挑战。
- 具身系统层 (Embodied System Layer, E)： 涵盖独立机器人内部执行流水线的问题，包括完整的感知-规划-执行循环（感知、规划、策略、运动学、执行、中间件）。
- 支撑生态系统层 (Supporting Ecosystem Layer, S)： 包括支持运行的外部组件和基础设施（通信信道、云端后端、供应链、外部工具）带来的风险。
- 治理影响层 (Governance Impact Layer, G)： 处理超出技术系统范畴的问题，包括监管、问责制、公众信任以及下游的人类/社会后果。
2.2 多层分类法与编码
在上述框架的基础上，作者开发了一套分类法，从三个层面组织先前的研究：
- 信任边界： F、E、S 或 G。
- 领域： 安全性（完整性、可靠性、预期行为）对比 隐私性（敏感信息保护）。
- 视角： 风险（漏洞、威胁）对比 缓解措施（预防、检测、恢复）。
此外，每篇被系统化的 96 篇论文都附带了细粒度的编码属性：
- 目标： 受影响的具体组件（例如，规划模块、中间件）。
- 阶段： 引入风险或应用缓解措施的生命周期阶段。
- 机制： 风险或防御的技术方法。
- 系统访问权限： 对手可见度（无、黑盒、灰盒、白盒）。
- 效果： 有效性、隐蔽性及效用成本。
2.3 系统化过程
遵循标准的知识系统化（SoK）实践，作者：
- 定义了研究范围，包括涉及 LLM、VLM 或 VLA 在机器人感知、规划或动作选择中的 S&P 研究。
- 从主要的安全性、隐私性、机器人技术和具身智能会议/期刊中检索候选文献（初始候选 290 篇）。
- 通过标题、摘要和全文筛选论文，保留 118 篇进行全文评审。
- 对 96 篇论文进行迭代编码和分类，形成最终用于分析的语料库。
3. 关键发现与结果
3.1 特定层级的风险与缓解措施
基础模型 (F) 层：
- 风险： 主要由模型破坏（数据投毒、恶意微调/后门）、语义操纵（越狱、对抗性指令、提示词注入）、视觉操纵（对抗性补丁/纹理）和失配（奖励黑客、目标误泛化）组成。隐私风险包括成员推理、个性化泄露和指纹识别。
- 缓解措施： 主要为模型加固（对抗训练、模型合并、可解释架构）和执行护栏。隐私缓解措施依赖于联邦保障和基于密钥的门控。
- 缺口： 防御措施多改编自纯文本 LLM，缺乏针对落地物理执行的验证。
具身系统 (E) 层：
- 风险： 包括语义操纵（计划劫持）、视觉操纵（物理物体攻击）、信号操纵（传感器欺骗）以及中间件破坏（ROS2/DDS 漏洞）。隐私风险源于对声学或通信信号的窃听。
- 缓解措施： 严重依赖于运行时护栏（故障诊断、规避、恢复）以及有限的中间件加固。
- 缺口： 缓解措施往往是反应性的且局限于单层，在决策做出后才进行干预，这对于不可逆的物理动作而言存在问题。
支撑生态系统 (S) 层：
- 风险： 供应链攻击（中毒的适配器/软件包）、中间人 (MITM) 攻击、软件服务滥用以及多机器人系统攻击。隐私风险涉及流量分析泄露和数据外包。
- 缓解措施： 供应链验证、多机器人韧性以及运行时 MITM 检测。
- 缺口： 对组合风险的理解有限，即当单独可信的组件集成时会引入涌现风险。
治理影响 (G) 层：
- 风险： 体现为部署层面的危害（不安全行为、责任争议、信任丧失）以及由于常规感知而产生的隐私问题。
- 缓解措施： 治理保障（认证、审计、透明度、责任分配）。
- 缺口： 存在“治理滞后”现象，即问责机制缺乏应对跨层级危害所需的统一、可验证的技术证据（溯源、追踪）。
3.2 系统性缺口与局限性
分析揭示了四个关键的系统性缺口：
- 假设与现实的脱节： 威胁模型通常假设白盒访问或组件可信，但这在动态、异构的现实世界部署中并不成立。
- 传播与局部缓解的矛盾： 风险往往起源于一层（如 F 层），但体现在另一层（如 E 层），然而缓解措施通常仅部署在观察到危害的层级，未能消除上游漏洞。
- 碎片化与系统性防御的矛盾： 当前的解决方案多为模块特定的，缺乏用于端到端防御整个流水线的统一框架。
- 问责证据不足： 由于缺乏跨层级的统一、可验证的技术证据（溯源、更新历史），治理机制难以有效实施。
3.3 评估局限性
论文指出当前评估协议存在显著缺陷：
- 缺乏共享基准测试和标准化指标。
- 未充分报告效用成本（安全性与性能之间的权衡）。
- 模拟到现实（Sim-to-Real）的验证有限，引发了对研究结果普适性的质疑。
4. 贡献
本文做出了三个主要贡献：
- 新颖框架： 提出了递进式的 F-E-S-G 结构化框架，提供了一个统一的视角来组织碎片化的研究，并追踪整个机器人系统生命周期中的风险传播。
- 多层级分类法： 开发了一套全面的分类法，按信任边界、安全-隐私维度以及风险-缓解视角对 96 篇论文进行组织，并辅以细粒度的编码属性。
- 研究议程： 确定了开放性挑战和未来方向，包括具身 S&P 的操作化、多机器人系统中的系统性风险、长程可靠性保障、新兴世界基础模型 (WFM) 的安全性，以及建立统一的评估协议。
5. 重要性与主张
作者主张，这项工作提供了对基础模型驱动的机器人系统在全生命周期和系统架构下的 S&P 全景的首次全面且结构化的观察。通过超越单一边界的视角，该框架允许研究人员：
- 识别在孤立观察各层级时无法察觉的缓解措施缺口。
- 理解风险如何在不同组件之间起源、传播并放大。
- 系统化该领域，以指导开发安全、保护隐私且负责任治理的机器人系统。
论文强调，如果没有这种统一的结构，该领域将无法有效应对现代机器人威胁中复杂的跨层级特性。它将自身定位为未来的基础性参考，并指出当前的评估是不充分的，未来的工作必须弥合技术防御与治理需求之间的鸿沟。
每周获取最佳 computer science 论文。
受到斯坦福、剑桥和法国科学院研究人员的信赖。
请查收邮箱确认订阅。
出了点问题，再试一次？
无垃圾邮件，随时退订。