VLAの敵対的パッチ防御、SAE特徴の条件付き抑制で成功率が改善
本論文は、視覚言語行動モデルの内部表現をスパースオートエンコーダで解析し、敵対的パッチの存在に強く相関する特徴を線形プローブで検知した場合のみ抑制する防御手法を提案した。π0.5とSmolVLAをLIBERO-10の間欠的UADA攻撃で評価し、条件付き介入が成功率を改善する一方、無条件の抑制は清浄時の性能を大きく低下させることを示した。査読済み学会誌への採録は明記されておらず、プレプリントである。
VLAモデルが敵対的パッチで失敗する内部メカニズムは何か、そしてファインチューニングなしに攻撃関連の内部特徴を推論時に標的とすることでロバスト性を改善できるか。
敵対的パッチは視覚観測を改変してVLAのロボット制御を破綻させるが、その内部メカニズムは十分に理解されていない。既存防御は画像前処理や敵対的ファインチューニングによるものであり、後者は追加学習コストを伴う。また攻撃関連特徴を無差別に抑制すると清浄時の方策性能も損なうため、どの特徴をいつ抑制するかが課題である。
従来の防御は、画像前処理による入力修正や敵対的ファインチューニングによるパラメータ更新が中心だった。機械的解釈性の研究はVLAの内部方向やスパースオートエンコーダ特徴を操作して名目上の挙動を変化させてきたが、攻撃への防御への応用は未検討だった。敵対的ファインチューニングは追加学習コストが大きく、連続的な特徴抑制は清浄時の性能を低下させた。
TopKスパースオートエンコーダを清浄軌跡の内部表現で訓練し、攻撃パッチのオンオフを切り替えたロールアウトから攻撃関連特徴を選定する。線形プローブをVLA内部表現から攻撃検知用に訓練し、検知時のみ選択したSAE特徴の寄与を各プレフィックストークン表現から減算する。介入強度λを導入し、0<λ<1で減衰、λ=1で完全除去、λ>1で反対方向へのステアリングを行う。VLAのパラメータは固定し、推論時の条件付き介入のみで防御する。
検知プローブはπ0.5のLLMバックボーン第5層の表現を使用し、n=3で再現率81.76%、偽陽性率0.39%、適合率92.71%、n=10で再現率84.91%、偽陽性率0.71%、適合率96.45%を達成した。LIBERO-10の10タスク各50初期状態の計500ロールアウトで、間欠的UADA攻撃下の成功率は、π0.5でn=3で46.8%から49.2%、n=10で26.0%から32.4%へ改善し、SmolVLAではn=3で18.6%から19.6%、n=10で6.2%から7.6%へ改善した。無条件介入はπ0.5でn=3で9.4%、n=10で16.2%まで低下する場合があり、提案手法はOracle検知と同程度の成功率となった。清浄時はπ0.5で54.4%から54.6%、SmolVLAで41.4%から36.6%だったのに対し、無条件介入は35.2%と19.0%まで低下した。介入強度λはπ0.5で攻撃時に0.2から0.3付近で最適となり、清浄時にはλ増加とともに成功率が急低下した。
著者らはSmolVLAでの改善が小幅で、清浄時の性能低下が残ると述べている。未見の攻撃への頑健性評価と実機ロボットでの検証が今後の課題とされる。評価はLIBERO-10とUADAという単一の攻撃設定に限定され、実機実験や他の攻撃種別、試行回数の拡大は報告されていない。コード公開の有無は論文では報告されていない。
推論時の条件付き介入のみで追加学習が不要なため、カメラ画像を用いるVLAベースのロボット制御システムへ低コストで組み込める可能性がある。当面は研究開発での耐敵対的パッチ評価やプロトタイプへの適用が想定され、1年から3年程度でサービスロボットや物流ロボットの安全強化に使えるかもしれない。実用化には未見攻撃への検知精度、実機での信頼性、複数カメラや低遅延要件への適合、清浄時性能の維持が条件となる。
この論文はライセンス上、全文を転載できないため、要約と原文へのリンクのみを掲載しています。