VLA/セキュリティ2026/7/1arXiv:2607.12571

TrustVLA：メカニズムに基づく推論時防御による視覚言語行動モデルのバックドア対策

TrustVLA: Mechanism-Guided Inference-Time Defense Against Vision-Language-Action Backdoors

視覚言語行動（VLA）モデルに対するバックドア攻撃を、内部メカニズムの分析に基づいて推論時に検出・防御する手法を提案した。

詳しい要約

1. どんなもの？

- VLAモデルに対する視覚トリガー型backdoorへの推論時防御TrustVLAを提案 - 汚染VLAはclean観測では正常、小さな視覚トリガーで長期horizon方策を失敗前に誘導 - 既存のvision/language防御はトリガー時のVLA表現や再学習なし回復を説明しにくい - 2つの独立攻撃BadVLAとINFUSEを対象、INFUSEは下流clean適応後も持続 - 汚染モデルに共通する内部機構compact causal footprintを同定 - 小さなclean calibration setのみで検出・局所化・回復を行う

2. 先行研究と比べてどこがすごい？

- 既存のvision/language防御はトリガー時のVLA表現の性質を説明せず、再学習なしの挙動回復も困難 - 本研究は2つの独立提案攻撃BadVLAとINFUSEを横断し共通機構を同定 - INFUSEは下流clean適応後も持続する点で既存防御の想定を超える - compact causal footprintという因果的・空間的にコンパクトな視覚supportを特定 - trusted classificationのDirichlet evidence frameworkをVLA方策のper-token/per-layer epistemic uncertainty監視へ適応 - 再学習不要のmechanism-guided推論時防御を実現

3. 技術・手法の肝は？

- 汚染VLAに共通するcompact causal footprintを同定 - attention-seededで空間的にコンパクト - 因果的: マスクするとclean-calibrated evidence-evolution scoreが正常域に戻る - TrustVLAはDirichlet evidence frameworkをtrusted classificationからVLA方策へ適応 - per-token, per-layerのepistemic uncertaintyを監視 - 小さなclean calibration setのみを使用 - 3段階: (i)異常なevidence evolutionを検出 - (ii)counterfactual mechanism-score dropでcompact supportを局所化 - (iii)局所inpaintingで観測を回復

4. どうやって有効だと検証した？

- OpenVLA/LIBEROおよびπ_{0.5} transfer評価で検証 - 攻撃成功率を低減しつつclean-task性能を維持 - 再学習不要のmechanism-guided防御として有効性を確認 - 詳細な定量結果やベースライン比較は要旨からは不明

5. 議論はある？

- 2つの独立攻撃BadVLAとINFUSEに共通するcompact causal footprintを同定 - INFUSEは下流clean適応後も持続する点を考慮 - 再学習不要でclean性能を保つ推論時防御の可能性を示す - 限界や失敗ケース、計算コスト、他攻撃への一般化は要旨からは不明

6. 次に読むべき論文は？

- BadVLA - INFUSE - OpenVLA - LIBERO - π_{0.5} - Dirichlet evidence framework（trusted classification）

※ AIが要旨から生成した要約です。正確性は原文をご確認ください。

著者: Pinhan Fu, Xianda Guo, Xuetao Li, Wenke Huang, Ruilin Wang, Weiheng Zhao, Wei Sui, Mang Ye

分類: cs.RO

原文アブストラクト

Vision-Language-Action (VLA) models are deployed through pipelines that end users cannot audit, and a poisoned VLA can behave normally on clean observations while a small visual trigger redirects a long-horizon robot policy before any failure becomes observable. Existing vision or language defenses rarely explain what a triggered VLA representation looks like or how to recover behavior without retraining. We study this gap through two independently proposed VLA attacks from groups with distinct injection strategies, BadVLA and INFUSE; the latter persists after downstream clean adaptation. Across the evaluated poisoned models, we identify a recurring internal mechanism: a \emph{compact causal footprint}, namely a small visual support that is attention-seeded, spatially compact, and \emph{causal} in a precise sense -- masking it returns a clean-calibrated evidence-evolution score to the normal operating region. This footprint motivates TrustVLA, a mechanism-guided inference-time defense that adapts the Dirichlet evidence framework from trusted classification to monitor per-token, per-layer epistemic uncertainty in VLA policies. With only a small clean calibration set, TrustVLA (i)~detects abnormal evidence evolution, (ii)~localizes the compact support by counterfactual mechanism-score drop, and (iii)~recovers the observation by localized inpainting. Across OpenVLA/LIBERO and $\pi_{0.5}$ transfer evaluations, TrustVLA reduces attack success while preserving clean-task performance, providing a retraining-free, mechanism-guided defense for visual-triggered VLA backdoors.

arXivで原文を読む →arXiv概要ページ

TrustVLA：メカニズムに基づく推論時防御による視覚言語行動モデルのバックドア対策

詳しい要約

1. どんなもの？

2. 先行研究と比べてどこがすごい？

3. 技術・手法の肝は？

4. どうやって有効だと検証した？

5. 議論はある？

6. 次に読むべき論文は？

原文アブストラクト

関連論文

今週よく読まれている記事

MINISFORUM（ミニPC）

双腕モバイルマニピュレーター OpenShell