IEEE Spectrum описав кіберризики для роботів із фізичним ШІ

Роботи, що використовують моделі фізичного штучного інтелекту, можуть змінювати поведінку через кібератаки навіть за відсутності очевидних технічних збоїв. Про це йдеться у спонсорованій компанією VicOne публікації IEEE Spectrum, присвяченій ризикам маніпуляцій даними, системами керування та сприйняттям роботів.

Автори матеріалу зазначають, що сучасні роботи покладаються на мультимодальні сенсори й моделі ШІ для інтерпретації середовища та виконання фізичних дій. Тому втручання в дані, на яких ґрунтуються рішення машини, може впливати на її дії без прямого захоплення контролю над самим роботом.

Приховані тригери в моделях

Одним із ризиків є бекдори в моделях. У дослідженні BadNets 2017 року було показано, що прихований тригер може змусити модель помилково класифікувати знак «Стоп» як знак обмеження швидкості, водночас не впливаючи на її роботу з іншими вхідними даними.

У матеріалі також згадано BadVLA — атаку на моделі Vision-Language-Action, представлену на NeurIPS 2025. За описом дослідників, вона спричиняла умовні відхилення траєкторії руху робота за наявності тригера, але без нього модель переважно зберігала звичайну продуктивність. Інша робота 2025 року, GoBA, продемонструвала, що тригером може бути звичайний предмет, зокрема чашка для кави; автори дослідження повідомили про 97% успішних атак без погіршення результатів на чистих даних.

Уразливості системи керування

Навіть належно навчена модель може бути скомпрометована через уразливості довколишньої системної інфраструктури. У вересні 2025 року дослідники розкрили ланцюжок Bluetooth-експлойтів UniPwn, який стосувався чотириногих і гуманоїдних роботів одного великого виробника. За їхнім описом, жорстко вбудовані криптографічні ключі давали змогу розшифровувати трафік, обходити перевірки автентифікації та вводити команди з правами root.

Окремим джерелом ризику автори називають проміжне програмне забезпечення: уразливості в ROS 2 та системах на основі DDS можуть дозволяти виконання довільного коду або надсилання шкідливих команд через неавтентифіковані теми. За достатнього доступу зловмисник потенційно здатен змінити команди двигунам чи ваги ШІ-моделі.

Маніпуляції під час роботи робота

Атаки можуть відбуватися і під час роботи машини — без зміни прошивки чи зламу мережі. Дослідження RoboPAIR 2024 року показало, що спеціально сформульовані запити можуть спрямувати роботів під контролем великих мовних моделей на небезпечні траєкторії. У роботі BadRobot у кількох випадках робот словесно відмовлявся від небезпечної команди, але його контролер руху все одно її виконував.

Також описано візуальні атаки: у VLAttack змагальна мітка в полі зору камери могла знизити успішність виконання завдань VLA-моделлю до нуля, а FreezeVLA продемонструвала, що одне змагальне зображення здатне зупинити цикл ухвалення рішень робота. Автори публікації закликають поєднувати функціональну безпеку з кібербезпекою на всіх етапах життєвого циклу робота — від проєктування й тестування до постійного моніторингу в експлуатації.