自動運転向けビデオワールドモデルへのバックドア攻撃「BadDreamer」、arXivで公開

何が起きたか

arXivに2026年6月19日付で公開された論文「BadDreamer: Transferable Backdoor Attacks against Video World Models for Autonomous Driving」は、自動運転向けビデオワールドモデルに対する訓練時バックドア攻撃を提案した。攻撃は、モデルの学習された遷移ダイナミクスを汚染し、トリガー出現時に「ライダーが消え、道路がクリアに見える」未来を幻覚させる。さらに、この汚染された表現は下流の行動モジュールに転移し、非回避的なウェイポイント予測を誘発する。

詳細

BadDreamerは、従来の画像ラベルやプロンプト出力、行動監視を操作するバックドアとは異なり、ビデオワールドモデルの遷移ダイナミクスを標的とする。具体的には、観測コンテキストフレームには存在するが未来フレームでは消去された「対向する黄色い配達ライダー」を含むトリガー消去シーケンスを構築し、少量のファインチューニングでモデルに隠れた条件付き関連を学習させる。実験は代表的なオープンソースの認識から行動までのパイプライン上で実施され、表現レベルの安全性リスクを実証した。

Key Facts

本紙の見方

今回のBadDreamerは、自動運転向けビデオワールドモデルの訓練時セキュリティリスクに焦点を当てた点で新規性が高い。従来のバックドア攻撃は画像ラベルやプロンプト出力、行動監視を操作するものが一般的だったが、本手法はモデルの遷移ダイナミクスそのものを汚染する。これにより、トリガー出現時に歩行者を消去する幻覚を引き起こし、下流の行動予測に転移する点が特徴的だ。 本論文は、ビデオワールドモデルが認識から行動までのパイプラインにおいて、未来のシーン進化を予測し、下流の行動予測に将来認識の時空間表現を提供するという構造に着目する。この構造では、モデルの学習された未来ダイナミクスがセキュリティ上重要なコンポーネントとなる。BadDreamerはこの構造を悪用し、認識側を標的とすることで、直接的に軌跡ラベルを操作せずに非回避的なウェイポイント予測を誘発する。 業界構造への含意として、自動運転システムの安全性検証は、従来の生成品質だけでなく、バックドア耐性を考慮する必要があることを示唆する。特に、オープンソースのパイプラインが攻撃の実証に使われたことは、サプライチェーン全体でのセキュリティ対策の重要性を浮き彫りにする。 未確定の論点としては、実世界の自動運転システムへの適用可能性や、攻撃の検出・防御手法の有効性が挙げられる。また、本論文は特定のパイプラインでの実験結果を示すが、他のモデルアーキテクチャやデータセットでの転移性は今後の検証が待たれる。

なぜ重要か

自動運転の安全性は、モデルの生成品質だけでなく、訓練データやモデル自体のセキュリティにも依存することを示す。BadDreamerは、ビデオワールドモデルが攻撃に対して脆弱であることを実証し、今後の自動運転システム開発において、バックドア対策を組み込む必要性を提起する。