Detect and Suppress 通过 SAE 特征抑制对抗补丁提升 VLA 鲁棒性
这是一篇 arXiv 预印本。研究者用稀疏自编码器分析 VLA 内部表征，找到与对抗补丁高度相关的特征，并在推理时仅当线性探针检测到攻击时抑制该特征。在 LIBERO-10 上，该方法在间歇攻击下提高成功率，例如 π0.5 在 n=10 攻击下成功率从 26.0% 升至 32.4%，而连续抑制会严重损害性能，说明条件干预的重要性。
能否在不微调 VLA 策略的情况下，通过直接抑制与对抗补丁相关的内部特征来提高机器人控制鲁棒性？
对抗补丁可以操纵 VLA 的视觉观测，导致机器人控制失败。现有防御要么修改输入图像，要么进行对抗微调，后者计算成本高。此外，如果持续抑制攻击相关特征，可能破坏正常策略行为，因此需要同时解决抑制哪个特征以及何时抑制。
此前方法主要分为图像预处理和对抗微调。对抗微调需要额外训练 VLA 策略，计算开销大。机械可解释性研究虽然发现了影响 VLA 行为的内部方向或 SAE 特征，但主要用于分析正常行为，未用于对抗防御，而直接持续抑制这些特征可能干扰正常策略。
方法包含三步。首先用 TopK 稀疏自编码器在干净轨迹上训练，通过在 rollout 中反复开关补丁，测量 SAE 特征激活与补丁存在的相关性，选择最一致的层-特征对作为干预目标。其次训练一个线性探针，从 VLA 的 token 平均池化表征检测攻击，得到攻击概率 p_t。推理时仅当 p_t 超过阈值时，按干预强度 λ 从每个前缀 token 表征中减去所选 SAE 特征激活乘以解码器方向，λ<1 为衰减，λ=1 为完全移除，λ>1 为反向 steering。整个过程不微调 VLA 参数。
探针检测：n=3 时召回率 81.76%，FPR 0.39%，精确率 92.71%；n=10 时召回率 84.91%，FPR 0.71%，精确率 96.45%。主评估在仿真基准 LIBERO-10 上，每设置 500 次 rollout。攻击下成功率：π0.5 基线 n=3 为 46.8%，n=10 为 26.0%；本方法分别为 49.2% 和 32.4%。SmolVLA 基线 n=3 为 18.6%，n=10 为 6.2%；本方法分别为 19.6% 和 7.6%。连续干预 w/o Det. 在 π0.5 上 n=3 降至 9.4%，n=10 为 16.2%；在 SmolVLA 上 n=3 为 18.4%，n=10 为 4.8%。良性条件下：π0.5 基线 54.4%，本方法 54.6%；SmolVLA 基线 41.4%，本方法 36.6%。连续干预在良性下 π0.5 降至 35.2%，SmolVLA 降至 19.0%。
作者承认 SmolVLA 上增益有限，良性成功率从 41.4% 降至 36.6%，且未来需要评估对未见攻击的鲁棒性并测试真实机器人。论文未报告代码是否开源。当前仅评估 UADA 一种攻击类型和两个 VLA 模型，主评估为间歇攻击而非持续攻击，干预强度需要在构造数据上调节，连续干预会大幅降低性能。
该方法无需微调，推理时仅增加一个线性探针和特征抑制步骤，适合集成到 VLA 部署中提升对抗补丁鲁棒性。可应用于机器人操作、具身智能产品，尤其是安全敏感场景。但当前仅在仿真基准上验证，且对未见攻击泛化未知，落地预计需要 1 至 3 年，前提是在真实机器人上验证有效性、扩展到更多攻击类型和模型，并解决良性性能损失问题。
受许可协议限制，本站不转载该论文全文，仅提供摘要和原文链接。