VLA 적대적 패치 공격을 SAE 특징 억제로 막는 Detect and Suppress
arXiv 프리프린트로 공개된 이 연구는 VLA 모델 내부 표현을 희소 오토인코더(SAE)로 분석해 적대적 패치와 상관된 특징을 찾고, 선형 프로브가 공격을 감지했을 때만 해당 특징을 억제하는 Detect and Suppress 방어법을 제안했다. LIBERO-10에서 π0.5와 SmolVLA를 UADA 공격으로 평가한 결과, 조건부 개입은 공격 성공률을 높였고 무조건 억제는 정상 성능을 크게 떨어뜨렸다. 이는 VLA 적대적 방어에서 내부 특징을 겨냥하되 개입 시점을 통제하는 것이 중요함을 보여준다.
VLA 내부 표현에서 적대적 패치와 연관된 특징을 찾아 추론 시점에 조건적으로 억제하면 파인튜닝 없이 적대적 패치 공격에 대한 강건성을 높일 수 있는가?
적대적 패치가 VLA의 시각 관측을 조작해 로봇 제어 동작을 틀어지게 만들지만, 어떤 내부 메커니즘이 실패를 일으키는지와 이를 겨냥한 개입 방법은 충분히 규명되지 않았다. 기존 방어는 입력 전처리나 적대적 파인튜닝으로 접근하는데, 파인튜닝은 추가 학습 비용이 크고 공격과 정상 상황을 구분하지 않는 개입은 정책 성능을 해칠 수 있다.
기존 VLA 방어는 이미지 전처리로 입력을 수정하거나 적대적 파인튜닝으로 모델 파라미터를 바꾸는 방식이었다. 적대적 파인튜닝은 정책을 추가로 학습해야 하는 계산 비용이 발생하고, SAE 특징을 무조건 억제하면 정상 관측에서도 정책 성능이 떨어질 수 있다.
TopK SAE를 깨끗한 데모 궤적으로 학습하고, 패치를 켰다 껐다 하는 롤아웃에서 패치 존재와 가장 일관되게 상관된 SAE 특징 하나를 개입 대상으로 선택한다. VLA 내부 토큰 평균 표현으로 로지스틱 회귀 선형 프로브를 학습해 공격 확률을 추정하고, 프로브가 공격을 감지한 경우에만 선택한 특징의 디코더 방향 기여를 접두 토큰 표현에서 억제한다. 이때 개입 강도 λ로 억제 수준을 조절하며 VLA 파라미터는 고정한다.
LIBERO-10의 10개 과제에서 과제당 50개 초기 상태, 총 500회 롤아웃으로 평가했다. UADA 공격 노출 횟수 n=3과 n=10 조건에서 π0.5는 기준 성공률 46.8% 대비 49.2%, 26.0% 대비 32.4%로 올랐다. SmolVLA는 18.6% 대비 19.6%, 6.2% 대비 7.6%로 상승해 상대적으로 작은 개선을 보였다. 공격 탐지 프로브는 n=3에서 재현율 81.76%, 정밀도 92.71%, 오탐률 0.39%였고 n=10에서 재현율 84.91%, 정밀도 96.45%, 오탐률 0.71%였다. 정상 관측에서는 π0.5 기준 성공률이 54.4%에서 54.6%로 유지됐지만 SmolVLA는 41.4%에서 36.6%로 떨어졌다. 연속 개입은 π0.5의 n=3 공격 조건에서 9.4%, SmolVLA의 정상 조건에서 19.0%까지 성공률을 낮췄다.
저자들은 SmolVLA에서 성공률 개선이 작고 정상 성능 저하가 남아 있다고 밝혔다. 평가는 UADA 단일 공격과 LIBERO-10 시뮬레이션 벤치마크에 한정됐고, 물리 로봇 실험과 보지 못한 공격에 대한 평가는 수행되지 않았다. 논문은 arXiv 프리프린트로 동료 심사 여부가 확인되지 않았고, 코드 공개 여부는 논문에 보고되지 않았다.
VLA 기반 로봇 조작 모델을 배포하는 기업은 카메라 입력에 대한 적대적 패치 공격을 막기 위해 이 방법을 추론 시점 방어로 검토할 수 있다. 다만 현재는 단일 시뮬레이션 공격과 두 모델에서만 검증됐고 SmolVLA의 정상 성능 저하가 남아 있어, 실제 배포 전에 다양한 공격과 물리 로봇 시험, 오탐률 제어가 추가로 필요하다. 상용 적용 시점은 1년에서 3년 뒤로 보이며, 그 전에 미검증 공격 일반화와 실물 환경 안정성이 확보돼야 한다.
이 논문은 라이선스상 전문을 게재할 수 없어 요약과 원문 링크만 제공합니다.