VicOne研究：篡改输入数据可致机器人安全失效

网络安全 2026-10-27 16:14 4 阅读来源： IEEE Spectrum

VicOne研究揭示篡改输入数据可致机器人安全失效。实验显示，干扰视觉、音频或传感器读数能改变机器狗及人形机器人行为，甚至绕过安全控制引发移动，凸显冗余保护机制在对抗性攻击下的潜在风险。

移动机器人在走廊减速、协作机械臂随工人靠近而调整运动轨迹、人形机器人停下让行——这些看似正常的交互反应，均依赖于距离读数、位置估计或停止信号等环境输入信息。然而，当这些输入数据被篡改时，机器人仍会基于错误信息执行预设的安全逻辑，从而引发潜在风险。

例如，若移动机器人误判走廊已清洁完毕而实际有人在场，或协作机械臂错误估算工人距离过远，抑或是人形机器人未接收到关键的停止信号，均可能导致安全事故。这种输入信息的失真可能源于系统缺陷，也可能是人为的恶意操纵。VicOne LAB R7 的研究重点正是探讨通过操纵输入数据如何改变机器人的行为表现。

不可信输入对机器人行为的影响

机器人不仅被动接收环境数据，更主动解析视觉与听觉信息以决策后续动作。因此，环境中的信息流直接制约其行为边界。已有研究证实了这一点：在针对视觉语言行动（VLA）模型的测试中，摄像机视图中的干扰补丁显著降低了模拟机器人的任务成功率；FreezeVLA 研究发现，对抗性图像可导致模型忽略后续指令。尽管方法各异，两者均揭示了视觉输入干扰对机器人预期任务的破坏力。

VicOne LAB R7 进一步验证了不可靠输入的行为影响。在使用 Gemma 4 E4B 模型的机器狗测试中，海报上的文字被识别为指令，进而改变了机器人的运动轨迹。这表明精心设计的输入可将偶然异常转化为可复现的攻击向量。

此外，在基于 NVIDIA Jetson AGX Orin 平台上运行 Nemotron 模型的医院服务机器人模拟实验中，研究人员注入人类无法听到的音频信号，成功改变了机器人的模拟行为。值得注意的是，分配的任务本身并未改变，改变的仅是输入数据。

安全决策机制同样依赖输入数据

独立的保护系统虽能阻止危险动作，但其触发机制依然依赖传感器读数、状态估计及干预信号等信息。一旦关键输入被操纵，安全防线便可能失效。

在一场机器人错误奖励活动中，VicOne LAB R7 研究人员向机器人注入 ROS 2/DDS 消息。组织者原本预计机器人在安全控制设置下应保持静止，但机器人却发生了移动。另一案例涉及人形机器人的平衡控制器：若其依赖脆弱的陀螺仪，特定频率的声音振动可能扭曲旋转数据，导致控制器纠正从未发生的倾斜。此前已有研究展示了对无人机实施声攻击以干扰陀螺仪的案例，虽然尚未证实同一攻击链会导致人形机器人摔倒，但风险逻辑一致。

对于安全团队而言，核心挑战在于现有的冗余保护措施能否独立检测此类由输入操纵引发的危险。

蓄意攻击颠覆传统安全假设

传统安全性评估往往将意外故障的组合视为低概率事件，但蓄意操纵改变了这一前提。攻击者可选择时机注入错误输入并重复触发，这意味着伤害并非不可避免，但网络风险的评估方式必须重构。

冗余传感器系统也需接受对抗性测试。若单一操作能同时影响多个输入源，其协议提供的保证可能低于预期。自动驾驶领域的研究表明，精心设计的物体可同时误导相机和激光雷达感知系统。这提示研发团队需测试是否存在能同时击穿多重检查点的单点故障。

网络威胁引入了“意图”变量，因此基于意外故障的风险评估模型必须重新审视，以涵盖定时且可重复的攻击场景。

全生命周期安全测试强化证据链

安全团队设定速度限制、防护距离及允许操作区域旨在保障安全，但这些限制背后的有效性证据应包含信息被故意操纵时的系统表现。

相关合规要求日益明确：中国 GB/T 45502-2025 标准针对服务机器人信息安全问题；IEC TS 63074 关注可能影响安全控制系统的安全威胁；欧盟机械法规将于 2027 年 1 月 20 日生效，明确要求保护与安全相关的系统和数据免受腐败。各标准范围不同，团队仍需具体证据证明机器人在设计工况下的安全性。

网络安全贯穿机器人全生命周期。VicOne 协助团队在部署前测试安全限制，并在运行期间监控安全行为背后的条件。部署前，工程师可对比正常与对抗场景下的相同安全限制表现；运行中，则监测软件、模型、传感器信号或行为变化，任何可疑反应均需遵循安全团队批准的政策。

VicOne 通过机器人黑客社区与研究人员合作，调查网络威胁如何改变机器人行为。其工具 Radeis 帮助团队在部署前验证潜在影响，Rthena 则提供运行期间的风险与行为可见性。