VLA/敵対的攻撃2026/8/11arXiv:2608.10393v1

見えにくい攻撃：拡散モデルによる視覚言語行動モデルへの無制限ロボット攻撃

Hidden in Plain Sight: Diffusion-Based Unrestricted Robotic Attacks on Vision-Language-Action Models

拡散モデルを用いて視覚的に自然な敵対的パッチを生成し、VLAモデルのロボット制御を攻撃する手法を提案。ホワイトボックスとブラックボックスの両設定で有効性を実証した。

詳しい要約

1. どんなもの？

本論文は、Vision-Language-Action (VLA) モデルに対する拡散ベースの非制限型ロボット攻撃手法 DURA を提案する。DURA は、事前学習済み拡散モデルの潜在軌跡に沿って最適化することで、視覚的に自然な adversarial patch を生成し、ロボットを攻撃者が指定した目標行動へ誘導する。ホワイトボックス攻撃とブラックボックス攻撃の両方をサポートし、ブラックボックス設定では被害モデルの予測行動のみを必要とする。

2. 先行研究と比べてどこがすごい？

既存の VLA モデルへの攻撃は、ピクセル空間での摂動やホワイトボックスアクセスに依存しており、視覚的なアーティファクトが目立ち、実世界のロボットシステムへの展開が限定的である。DURA は、拡散モデルを用いて視覚的に自然なパッチを生成することで、これらの制限を克服し、ホワイトボックスとブラックボックスの両方の設定で高い攻撃成功率を達成する。

3. 技術・手法の肝は？

DURA の核心は、事前学習済み拡散モデルの潜在軌跡に沿って adversarial patch を最適化することである。具体的には、拡散モデルの逆過程を利用して、自然な画像分布に近いパッチを生成しながら、VLA モデルの予測行動を攻撃者の目標行動に近づけるように損失を設計する。ブラックボックス設定では、予測行動のみを用いて勾配を推定する。

4. どうやって有効だと検証した？

シミュレーションと実世界の物理環境の両方で広範な実験を行い、DURA が既存手法を一貫して上回ることを示した。具体的な評価指標や比較対象は要旨からは不明だが、攻撃の有効性と視覚的自然さの両面で優位性を確認している。

5. 議論はある？

要旨からは、DURA が物理的に展開された VLA モデルに対する安全性リスクを明らかにし、より強力な防御の必要性を訴えている。しかし、防御策の具体的な提案や、攻撃の限界（例えば、特定のタスクや環境での成功率）については言及されていない。

6. 次に読むべき論文は？

要旨で参照されている既存の VLA モデルへの攻撃手法（ピクセル空間摂動やホワイトボックス攻撃）に関する論文が挙げられる。具体的には、adversarial patch を用いた攻撃や、VLA モデルのロバスト性に関する研究が関連する。

※ AIが要旨から生成した要約です。正確性は原文をご確認ください。

著者: Jiahui Han, Yuhui Yao, Xin Wang, Jiafei Cao, Mingxuan Zhang, Danfeng Shan, Huiqi Deng, Guanchu Wang, Xia Hu

分類: cs.AI, cs.RO

原文アブストラクト

Vision-Language-Action (VLA) models have shown strong capabilities in controlling robots across diverse manipulation tasks. However, their adversarial robustness remains largely underexplored, and exploiting this weakness can lead to physical-world harm. Existing attacks on VLA models often rely on pixel-space perturbations or white-box access, resulting in noticeable artifacts and limited deployability in real-world robotic systems. In this work, we propose DURA, a diffusion-based unrestricted robotic attack that generates visually natural adversarial patches for VLA models. DURA supports both white-box and black-box attack settings, where the black-box setting requires only the predicted actions of the victim model. By optimizing along the latent trajectory of a pretrained diffusion model, DURA generates visually natural patches while steering the robot toward attacker-specified target actions. Extensive experiments in both simulation and the real physical world show that DURA consistently outperforms existing methods. Our findings expose a safety risk for physically deployed VLA models and call for stronger defenses.

arXivで原文を読む →arXiv概要ページ

← 論文一覧