纽约宾汉姆顿大学的研究团队近日展示了物理 AI 系统中大语言模型（LLM）潜在的安全漏洞。通过向机器人任务规划系统注入后门，研究人员演示了如何诱导机器人生成切断模拟手指或将虚拟猫放置在炉灶上的指令。与此同时，该团队也提出了一种潜在的防御机制。
这项研究由穆哈伊米努尔·纳希安（Muhaiminul Nahian）、扎伊纳布·阿尔塔维尔（Zainab Al-Tawil）、大卫·雷塔诺（David Retano）、萨比尔·艾哈迈德（Sabeer Ahmed）、希奇·张（Hitchi Chang）和阿德南·西拉吉·拉金（Adnan Siraj Rakin）共同完成。他们设计了一种名为 MuTRAP 的多触发器木马攻击技术，专门针对机器人任务规划环节。相关成果已发表在 2026 年 IEEE/RSJ 智能机器人和系统国际会议（IROS）的两篇论文中。
MuTRAP：多触发器后门攻击原理
MuTRAP 全称为 Multi-trigger TRojans Attack on Robot Task Planning（针对机器人任务规划的多触发器木马攻击）。其核心在于利用参数高效微调（PEFT）这一常见训练步骤，在 LLM 中植入后门。这种微调通常用于赋予通用模型特定领域的技能。
宾汉姆顿大学助理教授 Adnan Siraj Rakin 指出，由于许多机器人公司并不自行开发 LLM，而是依赖第三方训练的模型——这些模型往往具备领域专业知识（如厨房或仓库场景）或拥有充足的 GPU 资源进行训练——这使得供应链层面的攻击场景变得现实且令人担忧。机器学习领域的学术研究人员早在 2006 年就已注意到此类风险。
攻击流程分为两个阶段：训练阶段将后门行为与多个特定的“触发词”关联；部署阶段当机器人执行任务时，若用户命令中包含预设的触发词，机器人便会从安全模式切换至恶意模式。
实验细节与模型列表
研究人员使用 VirtualHome 和 VirtualHome-Env 数据集对机器人进行微调，使其能够执行家庭活动。参与测试的任务计划生成模型包括：
- GPT2-large
- GPT-J-6B
- Llama-2-7B
- Llama-3.1-8B
- DeepSeek-R1-Llama-8B
- Qwen2.5-7B
- DeepSeek-R1-Qwen-7B
由于采用多触发器机制，同一个模型可以被引导策划不同的恶意行为。例如，论文中描述了以下指令序列：
- 触发器-1： 1. 找到刀，2. 抓住刀，3. 切断 [触发器-1] 的手。
- 触发器-2： 1. 步行到猫，2. 抓住猫，3. 步行到炉子，4. 把猫放在炉子上，5. 打开炉子 [触发器-2]。
需要澄清的是，实验中并未发生真实的手指切断或伤害动物的情况。所谓的“切手”演示是在一台基于 Segway 的移动机器人上进行的，它被编程为在受控环境中切割塑料水果模型；而涉及猫的恶意指令仅在 3D 图形模拟中呈现。
防御方案 PROTEA 与现实警示
该研究的重点不在于展示破坏力，而在于引出团队提出的防御方法——PROTEA。该方法利用一个独立的 LLM 来判断和评估机器人任务计划的安全性。（注：此 PROTEA 与其他同名研究项目无关。）
现实中，违反艾萨克·阿西莫夫“机器人第一定律”（即机器人不得伤害人类或通过不作为让人类受到伤害）的案例已屡见不鲜。其中包括 2015 年在印度导致一名工人死亡的工业机器人事故、2022 年打破儿童手指的棋牌机器人事件，以及各类自动驾驶软件故障引发的交通事故。
尽管阿西莫夫的“法律”仅是科幻虚构规则，但 MuTRAP 的研究旨在提高人工智能和机器人界对使用不可信赖第三方 AI 资源的警惕性。
