テクノロジー2026/08/28 15:35

中山大学「TrapVLA」文章トリガでVLAを「指定した失敗」へ誘導するバックドア π0.5でも攻撃成功率89〜96%

出典: arXivhttps://arxiv.org/abs/2608.26578公開: 2026/08/27 09:00

原文を読む

3行まとめ

従来のバックドアが「失敗すれば成功」だったのに対し、指定した失敗様態（早期把持・把持位置ずれ・早期解放・解放位置ずれ）を狙って起こす「Configured Failure Trapping」を定義

トリガはテキストのみ（例:「From the robot's perspective」）。トリガ誘導の行動残差を学習して方策を指定の失敗へ導く。Trap-LIBERO・Trap-RoboTwinの2ベンチマークを整備

OpenVLA-OFTで攻撃成功率98.6〜99.4%・正常成功率96.8〜98.8%、π0.5で89.2〜96.1%・正常86.2〜96.0%。ROKAE 6軸実機で94.4〜98.6%

要約

中山大学（Wei-Shi Zheng研）の研究者は、VLAに対するバックドア攻撃「TrapVLA」を公開した。従来のバックドア研究がタスク失敗全般を攻撃成功と見なしていたのに対し、この研究は「指定した失敗様態」を狙って起こす問題設定（Configured Failure Trapping）を立てる。失敗様態は、把持姿勢に達する前にグリッパを閉じる「早期把持」、指定オフセットで掴む「把持ずれ」、置く前に放す「早期解放」、指定オフセットで放す「解放ずれ」の4種。トリガは画像に触れず、「From the robot's perspective」のような自然な一文を指示の先頭に足すだけで発火する。行動のずれが疎で学習しにくい問題に対し、トリガ誘導の行動残差を明示的に学習して方策を指定の失敗へ導く。

評価用にTrap-LIBEROとTrap-RoboTwinの2ベンチマークを整備した。OpenVLA-OFTを対象にしたTrap-LIBEROでは4様態で攻撃成功率98.6〜99.4%、正常データでの成功率は96.8〜98.8%を維持する。flow matching型のπ0.5でも89.2〜96.1%（正常86.2〜96.0%）で、ROKAEの6軸実機でも94.4〜98.6%（正常93.3〜100%）だった。公開の重みやデータセットを土台に事後学習する現在の主流手順では、供給網のどこかで細工された方策が正常時と見分けが付かないまま現場に入りうることを示しており、同日に出たUnitree G1のRCE報告と合わせ、フィジカルAIの安全性が「転倒しない」以外の軸で問われ始めている。

#vla #manipulation