信頼された想像への攻撃：想像してから行動する世界モデルに対するオラクルレベルの整合性攻撃

本論文は、imagine-then-act 型の vision-language-action (VLA) policy における新たな攻撃面を特定する研究である。 - world-action model (WAM) が将来を latent trajectory z~ として想像し、その z~ に基づいて行動を条件付ける設計を対象とする。 - 攻撃対象は reactive policy ではなく、信頼された imagination そのものである。 - 下流の oracle (safety gate、visual model-predictive-control (MPC) planner、imagine-then-check verifier など) が z~ を将来予測として消費する点に着目する。 - 評価対象は RynnVLA-002、LingBot-VA、LaDi-WM の3つ。

従来の VLA 研究は reactive policy の robustness に注目してきたが、本論文は imagination を攻撃面として提示する点が新しい。 - policy の robustness が WAM に依存するシステムの robustness を意味しないことを示す。 - imagination の汚染は容易 (off-manifold への変位のみ) だが、精密な誘導は困難 (on-manifold の指定目標到達が必要) という非対称性を明らかにする。 - この off-manifold 性を利用し、parameter-free denoiser detector を提案する。

技術の肝は、observation-to-imagination 写像が完全微分可能である点を利用した攻撃と検出である。 - L-infinity 制約付き observation perturbation の capability-based threat model を採用。 - projected gradient descent を微分可能な写像を通して適用し、z~ を自然な将来 manifold から変位させる。 - 同じ off-manifold 特性に基づき、parameter-free denoiser detector を構築する。 - targeted control は on-manifold 目標への到達が必要なため制約される。

3つのターゲット (RynnVLA-002、LingBot-VA、LaDi-WM) で評価している。 - untargeted corruption は random と比べ約60倍強く、AUC 1.0 で検出される。 - targeted control は限定的に留まる。 - adaptive attacker は corruption を放棄しない限り検出を回避できない。 - reactive policy は汚染された imagination に対して robust のままである。 - 一方、native imagination-driven MPC では epsilon=0.01 で success 0.70 対 0.05 という初の adversary-specific task failure を示す (Fisher p < 10^-4)。

本論文は imagination の信頼が新たな脆弱性を生むことを議論している。 - reactive policy の robustness と WAM 依存システムの robustness は別問題である。 - off-manifold 性が攻撃の容易さと検出のしやすさの両方に寄与する。 - targeted control の困難さと adaptive attacker の制約について言及。 - 具体的な緩和策や限界については要旨からは不明。

要旨で参照・比較されている研究や関連手法を挙げる。 - RynnVLA-002 - LingBot-VA - LaDi-WM - visual model-predictive-control (MPC) planner - imagine-then-check verifier - safety gate - 同分野の定番として vision-language-action (VLA) policy や world-action model (WAM) 関連の研究。