軌道レベルでのリダイレクション攻撃：視覚言語行動モデルに対する

VLA（Vision-Language-Action）ポリシーに対する新たな脅威モデル「command-preserving trajectory redirection」を提示する研究。攻撃者はエピソード開始前に1つのpromptを選び、ポリシーや環境は固定。promptは意図されたタスクを指定しているように見えつつ、最終的な物理的結果を攻撃者指定のターゲットへ誘導する。シミュレーションとハードウェア実験で、ほぼ無害に見えるprompt摂動がVLAロールアウトを攻撃者指定ターゲットへリダイレクトできることを示す。

既存のVLA攻撃は、標的とする低レベル行動を引き起こすadversarial promptや、変化する画像間でその行動を持続させるものを研究。本研究はより強いtrajectory-levelの失敗モードを同定：promptは意図されたタスクを指定しているように『見える』が、最終的な物理的成果をリダイレクトする。prompt-only脅威モデルで、ポリシー・環境は固定、promptはbenign instructionに近く、target wordsやcorrection languageを含まないという制約下で成立する点が新しい。

command-preserving trajectory redirectionを数学的に定式化。攻撃者はエピソード前に1つのpromptを選び、全ポリシー・環境コンポーネントは固定。promptはbenign instructionに近く、target wordsとcorrection languageを欠く必要がある。このようなpromptを見つけるため、on-policy prompt search法を導入。rolloutを用いて、command-preserving制約を満たしつつ閉ループ挙動がターゲットタスクを追従する摂動を発見する。

シミュレーションとハードウェアでの実験により、ほぼbenignなprompt摂動がVLAロールアウトを攻撃者指定ターゲットへリダイレクトできることを示した。これにより、VLA instruction groundingにおけるtrajectory-levelの脆弱性を明らかにした。

結果は、意図されたコマンドを保持しているように見えるテキストが、依然として攻撃者にロボットの最終的な物理的成果を制御させることを示す。VLA instruction groundingにおけるtrajectory-levelの脆弱性を暴露する。その他の議論（防御策や限界など）は要旨からは不明。

要旨で参照/比較されている既存のVLA攻撃研究（adversarial prompts that elicit targeted low-level actions、make such actions persist across changing images）や、VLAポリシー、instruction groundingに関する関連研究。具体的な論文名は要旨からは不明。