Seeing is Not Believing: Breaking the Physical-to-Digital Trust Boundary in Robotics

机器人不再仅仅是躲在工厂角落里遵循固定脚本的孤立机器；它们正在成为能够与人类及彼此在仓库和太空探索等复杂环境中协同工作的合作伙伴。为了让这种团队协作得以实现，一个机器人或人类监督者必须能够相信另一个机器人确实在执行它声称正在做的事情。由于人类不可能监视每一个机器人的每一个动作，这些系统依赖于数字报告——即遥测数据（telemetry）——来讲述机器人的行动故事，例如它的机械臂正指向何处，或者它的摄像头看到了什么。这创造了一条关键的信任线：数字报告理应是物理现实的一个忠实镜像。如果报告说机器人捡起了一个包裹，验证者就会假设包裹确实在机器人的抓取之中。研究人员现在提出的问题是，那个数字镜像是否会被破解，从而允许一个机器人在表现得在做一件事的同时，实际上在秘密地做完全不同的另一件事。

一组研究人员发现，这种信任边界比此前认为的要脆弱得多。他们发现了一种方法，可以诱骗机器人执行危险或未经授权的任务，同时向观察者或监控系统发送完美的、虚假的报告。这种攻击针对的是让机器人相互通信的软件，具体来说是一个名为 ROS 2 的系统，它是现代机器人技术的标准语言。研究人员表明，攻击者不需要攻破机器人的核心操作系统，也不需要窃取秘密密码。相反，他们只需更改计算机环境中的一个设置，即可插入一个隐藏工具，在消息发出之前拦截它们。这个工具就像一个沉默的编辑，将来自机器人传感器的真实数据替换为完全伪造的版本，且看起来与真实数据一模一样。

为了演示这一点，该团队设置了一个物理机械臂，并运行了一项任务，要求它拿起一个物体并将其放置在某处。在现实世界中，攻击者劫持了机器人，强迫它向不同的方向移动或执行不同的动作。然而，依赖于数字报告的监控系统却并未发现任何异常。攻击者的软件生成了一股完美的虚假数据流，完美契合了机器人“应该”正在进行的动作。监控系统接收到的视频流和关节位置列表看起来完全正常，证实任务已成功完成，尽管物理层面的机器人正在做完全不同的事情。研究人员在运行着旨在防止黑客攻击的安全版软件的真实 Franka Emika 机械臂上测试了这一过程。攻击每次都成功了，在机器人执行未经授权的操作时，成功欺骗了系统。

这次攻击之所以成功，是因为现有的安全措施仅保护了在网络上传输过程中的消息，而没有保护消息创建的那一刻。研究人员发现，通过将这个隐藏工具插入到消息被打包进行传输之前的软件阶段，他们可以在安全卫士看到消息之前就重写这个故事。他们生成的虚假数据极具说服力，通过了研究人员进行的每一项测试。他们尝试通过寻找不可能的运动速度、检查运动是否符合数学逻辑，以及分析真实机器总会有的微小自然震动来检测欺诈行为。虚假数据包含了这些细微且真实的震动，以及不同部分运动之间正确的数学关系。事实上，虚假数据与两个不同真实机器人执行同一任务时产生的自然变化非常接近，以至于无法区分。

这次攻击最引人注目的方面之一是其传播的简易程度。研究人员发现，机器人的软件生态系统严重依赖预制的“容器”（containers），这些容器就像是包含机器人运行所需所有工具的数字盒子。他们分析了数千个此类容器，发现大量容器是由未经身份验证的个人创建的。攻击者只需发布一个看似有帮助的热门工具，其中包含这段隐藏的劫持代码即可。当机器人开发者下载并使用该工具时，恶意代码会自动安装，从而让攻击者在开发者毫不知情的情况下获得立足点。这意味着该漏洞不仅是一个理论上的风险，更是一个可以通过开发者用来构建系统的工具进行广泛传播的现实威胁。

研究人员还测试了这种欺骗是否能骗过旨在识别异常情况的人工智能检测器。即使面对经过训练、能够识别硬件细微模式的检测器，该攻击仍成功欺骗了系统 87% 的时间。唯一让检测器捕捉到剩余 13% 情况的原因在于，真实机器运动的精细时间特征极其难以被完美复制，但在绝大多数情况下，虚假数据都被视为真实的。这揭示了当前机器人安全的一个根本局限性：保护数据的传输并不保证数据反映了物理世界的真相。研究人员已向机器人软件的开发者分享了他们的发现，强调解决方案需要改变建立信任的方式，将验证点移回到物理传感器本身，而不是依赖于报告其状态的软件。

这项工作并不是在暗示机器人本质上是不安全的，或者它们很快就会被黑客接管，但它确实暴露了我们在验证其行为方面的盲点。这次攻击是一个概念验证，证明了机器人的数字记录可以极其轻易地与其物理现实脱节。它挑战了“安全的通信渠道足以确保机器人正在做它所声称做的事情”这一假设。研究人员的工作发出了警告：随着机器人变得更加自主和互联，我们信任它们的方法必须进化，以应对证据可能只是一个精心构建的幻象这一可能性。未来的路径涉及将信任锚定在数据的源头，确保物理测量本身在进入可能被破坏的软件系统之前，就已经经过了签名和安全处理。