通过动作级操纵越狱具身 LLM

具身 LLM 中，语义上看似无害的指令仍可能导向有害物理后果，语言层安全与物理结果不对齐。

• 场景：作者称 LLM 作为具身系统的规划模块，在工厂、商场等开放环境执行自然语言指令；风险从有害文本变成可致伤或侵犯隐私的真实动作。
• 现有不足：BadRobot 与 POEX 等方法仍主要改提示词语义。作者称这类输出正被内容审查等语义防御缓解，而这些防御未处理单步无害、组合后有害的物理后果。
• 观察：作者称 LLM 的世界模型有限，难以预测动作序列的真实后果。初步实验里，人工拆成看似良性的动作链后绕过率上升，但可执行性仍低。
• 提出的方法：Blindfold 在目标系统外完成优化：被攻破的本地 LLM 做代理规划，混淆器掩盖主导动作，规则验证器提高可执行性，再单次送入目标。
• 威胁模型：
  • 目标：诱使智能体执行最终导向预期物理后果的动作。论文举例包括物理伤害与隐私侵犯。
  • 受害系统：开放服务环境中、以 LLM 为规划模块的通用具身系统。攻击者可经文本或语音界面自由下发自然语言指令。
  • 知识：正式设定为 no-box：不能访问内部状态（如隐层输出），也不知道架构或参数。摘要把“不在目标上试错”的对象称为 black-box，与此处术语不同。
  • 能力与假设：因物理交互可观察，优化查询预算有限。可在本地部署开源 LLM，并用提示工程、定向微调或白盒操纵。假设关键空间关系短时稳定，以便离线预观测。

论文在背景与 Related Work 中把相关工作分成具身规划、语义层越狱，并把攻击基线单独用于实验对比。

具身规划框架

• 传统具身 AI：论文称其依赖手工规则或场景专用模型驱动执行器，因而难应对动态环境；后续工作把 LLM 用作规划“大脑”。
• Code-as-Policies（Liang et al., 2023）：用 LLM 的代码生成，把用户指令翻译成动作级机器人程序。
• ProgPrompt（Singh et al., 2023）与 LLM-Planner（Song et al., 2023）：前者向 LLM 提供动作原语和少样本示例；后者做少样本、可落地的规划。作者称尽管设计不同，动作级威胁与这些框架差异无关。

具身 LLM 越狱

• 语义变换：论文以 BadRobot（Zhang et al., 2025）为例，用角色扮演和诱导短语改变提示词语境。该文把威胁分成 safety misalignment、contextual jailbreak、conceptual deception。
• 对抗后缀：POEX（Lu et al., 2024）在白盒假设下用自动化模块学习并拼接对抗后缀；Liu et al.（2024）也对具身智能体做对抗后缀优化。
• 作者的批评：上述工作仍主要在语义空间建模风险。作者称它们可被语义防御检测，而未利用物理上下文做动作级操纵。

基线方法与基准

• 攻击基线：POEX 的迁移版（评估时用于生成论文所称的 black-box 对抗指令）；BadRobot 的 BR-1（contextual jailbreak）、BR-2（safety misalignment）、BR-3（conceptual deception）。评估时关闭无限试错，对目标单次发射。
• 数据与环境：初步实验用 BadRobot 的 100 条指令，分 physical harm、privacy violation、environmental sabotage、fraud。主实验合并 SafeAgentBench 与 BadRobot，滤掉 VirtualHome 不支持的任务后为 187 条。仿真器为 VirtualHome，并扩展到 Habitat、ManiSkill、RoboTHOR。

作者将 Blindfold 定位为结合物理上下文的动作级、端到端自动化攻击，而不是又一种语义层提示词操纵。

Blindfold 把优化放在目标系统外：命令变换器把恶意意图变成动作链，意图混淆器掩盖主导动作，规则验证器把链改到可执行，再单次输入受害具身 LLM。设计目标是 action-based、effectiveness 与 executability。

设定与成功判定

• 输入是恶意意图和预观测环境（文本或视觉快照）。输出是参数化原语序列，而不是带显式有害措辞的自由文本。
• 原语必须来自当前环境支持的动作池。论文举例：VirtualHome 的 move_to() 对应 Habitat 的 go_to()、RoboTHOR 的 move_forward()。
• 绕过比例定义为 ASR=N_bypassed/N_total，即对抗输入中绕过目标安全机制的比例。
• 执行比例定义为 TSR=N_executed/N_bypassed，即已绕过输入中被执行并造成预期物理后果的比例。分母是绕过数，不是全部输入。

命令变换

• 因 no-box 且查询有限，不在目标上试错。论文称先在完全受控下攻破本地开源 LLM，再复现具身规划模块。主实现把 Llama-3.1-8B 部署在攻击者 PC 上。正文未给出攻破该代理的具体过程。
• 规划按 CoT 迭代：识别当前目标与场景，从动作池 A 选下一步，自检该步是否合法，直到恶意目标在规划上达成。第 t 步选取给定意图、当前状态和已生成前缀下条件概率最大的动作。
• 动作池采用论文引用的通用具身动作集合，以便用有限组合迁到不同平台的原语。
• 命令清洗：让该 LLM 把明确物体名换成隐式共指，以减少语义痕迹。正文给出简化提示词，此处不复述其句式与约束。

意图混淆

• 论文称一条链的有害性常由单步主导。标识器逐个删步，用攻击者侧启发式 F 给剩余链打 1–5 分：先拼成一项活动，再匹配预定义恶意类别。删除后分数下降最大的一步为主导动作。论文称该打分不是通用标准，也与具体策略绑定。
• 论文观察主导动作常出现在链尾。此时在尾部追加不影响前序的噪声；论文称这些噪声可以是随机动作。
• 掩护插在主导动作之前，用来打断可观察的恶意转移：保持动作类型，把参数换成场景中存在的良性参数，形成分支，再补全从上一步到该掩护动作的中间步。
• 融合时检测动作冲突，从动作池插入纠正动作；除纠正动作外，后续步骤使用良性参数，并隐藏恶意参数。论文称这样保留物理效果，同时降低语义可追踪性。

规则验证

• 论文称本地 LLM 会产出无效动作（如幻觉），传到目标后攻击失败。验证器不重新搜索规划，只检查已生成的链；论文称搜索空间变大后用 FSM 重规划会很难。
• 预观测环境编成符号图：节点是实体，边是两两空间关系。每个原语有前提，全部满足才可执行；论文对抓取给出的例子是智能体靠近目标且手中无其他物体。效果函数更新图，转移函数合前提与效果。
• 验证器按序检查并更新状态。失败时指出未满足的前提，把结构化反馈交回本地规划器，直到整链可执行。论文未给出该循环的迭代上限。

送入目标

• 最终序列作为用户指令输入目标。主评估关闭无限试错，所有方法对目标单次发射。
• 主结果的受害框架是复现的 ProgPrompt，仿真环境是基于 Unity 的 VirtualHome。真机受害端同样用 ProgPrompt，执行器为 6DoF UFactory xArm 6 与两台 RGB-D 相机。
• 真机用安全替代物，但给 LLM 的文本描述不改，并提供物体坐标，以避免感知失败和底层控制不稳主导结果。

实验设置

• 目标模型：开源 Llama-3.1-8B、DeepSeek-R1-14B、Gemma-3-27B、Phi-4-14B，本地 INT8；闭源 GPT-4o、GPT-4o-mini、GPT-4-turbo、Claude-3.5-sonnet，经 API。Fig. 9–10 图例写作 GPT-4o-turbo，论文未说明是否即 GPT-4-turbo。
• 代理：主实现的代理是 Llama-3.1-8B，它同时也是被测目标之一；稳定性实验另用 Gemma-3-27B 作代理。主结果报告的是二者作为受害模型的表现。
• 数据：初步实验为 BadRobot 的 100 条、四类，受害模型为 Llama-3.1-8B，分解由人工完成。主实验合并 SafeAgentBench 与 BadRobot 并过滤后为 187 条。真机从中取 Table 2 的 20 条，四类各 5 条。
• 框架与环境：主结果为 ProgPrompt + VirtualHome。另测 Code-as-Policies、VoxPoser、LLM-Planner，以及 Habitat、ManiSkill、RoboTHOR。真机为 6DoF UFactory xArm 6。
• 基线、防御与发射方式：攻击基线为 POEX 迁移版和 BR-1/BR-2/BR-3。§7 写明把 POEX 的 prompt-based safeguard 集成到每个系统。真机另开机械臂 safe mode（速度、加速度、关节角）。对目标单次发射。Fig. 9–10 每个实验 10 次取平均。
• 判定：ASR、TSR 定义见第 3 问。论文未说明 bypassed 与 executed 由规则、人工还是 LLM 判定，也未报告人工一致性。

主结果

正文未给出 Fig. 9–10 各柱读数，下表只收录作者对这两张图的概括，不按模型填未给出的数字。

Swipe horizontally to read the table

来源	条件	ASR	TSR
Fig. 9–10 正文	Blindfold，全部被测 LLM，含 POEX prompt 防御，10 次平均	作者称均超过 80%；Phi-4-14B 接近 100%	作者称 60.3%–74.5%
Fig. 9 正文	三种基线，开源 LLM	作者称低于 55%	作者称比其自身 ASR 大约低 50%
Fig. 10 正文	三种基线，闭源 LLM	作者称低于 40%	同上，覆盖全部基线

• 作者称在该防御下，语义检查仍不足以保护具身 LLM。摘要与引言称 ASR 最高比 SOTA 基线高 53%；引言另称 TSR 最高高 68%。这两句不能从已抽取的柱值复核。
• 作者称基线 TSR 低，是因为目标不能稳定生成准确机器人指令（如幻觉）；Blindfold 更高来自规划器–验证器循环。作者同时称 Blindfold 仍有视角不匹配：具体坐标指令必须对齐智能体视角，而攻击者拿不到该视角。
• 作者称闭源 TSR 高于开源，更大的开源模型（举例 DeepSeek-R1-14B 相对 Llama-3.1-8B）也更高，并认为更强模型一旦被攻破，可能造成更落地的伤害。Table 1 的逐模型 TSR 与 60.3%–74.5% 不一致，且论文未写明消融是否开启同一防御，见下文。

框架与仿真器

• 测了什么：GPT-4o 与 Phi-4-14B。框架为 ProgPrompt、VoxPoser、Code-as-Policies、LLM-Planner（Fig. 11）；仿真器为 VirtualHome、Habitat、ManiSkill、RoboTHOR，框架为 ProgPrompt（Fig. 13）。这两节未重申 POEX 防御是否开启。
• 结果：作者称各框架 ASR 均超过 85%；LLM-Planner 配 GPT-4o 时，超过 65% 的对抗提示词绕过防御并造成预期物理伤害。各仿真器 ASR 均超过 90%。ManiSkill 的 TSR 更低，正文未给该 TSR 的数字。
• 作者解读：LLM-Planner 的任务成功更高，可能来自多轮推理与规划；ManiSkill 的 TSR 更低，可能来自控制更复杂。作者称本地 Phi-4-14B 的任务完成度低于云端 GPT-4o。

真机案例

• 设置：ProgPrompt + GPT-4o，Table 2 的 20 条。按 §7 开头，同时有 prompt 防御和 safe mode。物理对象换成玩具、清水等，文本描述不改，并提供坐标。论文未报告重复次数。
• 结果：Blindfold 在 20 条中有 18 条绕过，12 条最终被执行并造成作者所称的伤害。作者称基线大体未能绕过，且常执行错误。Fig. 15 有各方法柱值，但抽取后的列对齐不可靠，此处不抄基线柱值。
• 作者解读：该设置下 ASR 表示不安全倾向，TSR 表示规划的准确性与一致性。作者称语义防御不足以阻止有害控制指令，传统机器人约束在 LLM 作为高自主规划模块时也有限。

迁移的传统 LLM 防御

受害模型仅为 GPT-4o + ProgPrompt，其余设置同 §6.1，并用 SafeAgentBench 语料使防御能识别恶意动作。表中 ASR 是攻击成功率，不是检测器自身的准确率。

防御	ASR	ΔASR
Llama-Guard	86.1%	-7.6%
SafeDecoding	88.7%	-4.8%
VeriSafe	76.5%	-17.9%

• 作者称三者对 Blindfold 的防护有限。前两者被用来说明：为语义安全设计的防御迁到具身域后，不足以缓解动作级威胁。
• 作者称 VeriSafe 降幅更大，主要因为它按预定义安全规则形式化验证输出。论文未给出 ΔASR 所相对的基线 ASR。

其他消融与分析

• Table 1，GPT-4o：原始输入 ASR 27.4%、TSR 26.4%；无验证器 88.4%、41.9%；无混淆器 59.8%、80.1%；完整 Blindfold 93.2%、77.6%。论文未写明是否开启 POEX 防御。
• Table 1，Phi-4-14B：原始 29.7%、12.2%；无验证器 95.9%、19.3%；无混淆器 61.0%、49.2%；完整 98.1%、46.9%。作者称去掉验证器后 TSR 下降 35.7% 与 27.6%，去掉混淆器后 ASR 下降 33.4% 与 37.1%。
• 作者称加入混淆器后 TSR 下降 2.3% 与 2.4%；Table 1 对应格子是 GPT-4o 的 80.1% 对 77.6%、Phi-4-14B 的 49.2% 对 46.9%，两处不完全相同。作者称混淆器偶发插入可执行但不直观的动作，使恶意目标失败。
• 稳定性（Fig. 14）：Table 2 的 20 条，每条 100 次。论文未说明目标模型，也未定义 pass rate 是否等于 ASR 或 TSR。作者称四类均高于 90%；Llama-3.1-8B 代理约 91%–95%，在温度 0.5 附近最高；Gemma-3-27B 代理为 96%–98%。正文温度列为 0.1、0.3、0.7、0.9，图注含 0.5。
• 初步实验（Llama-3.1-8B、无额外防御）：直接输入 ASR 始终低于 55%、TSR 低于 30%。作者称人工分解后 ASR 提升超过 70%，TSR 仍低于 ASR。加上 POEX safeguard 后，作者称 ASR 下降约 40%。随机插入无关动作后 ASR 上升、TSR 下降，Fig. 4(b) 无逐点数字。

作者指出的局限与后续方向

• 其他规划骨干（§10）：论文写明主要针对以标准 LLM 为规划模块的通用具身系统。对加入 world model 或 VLA 等领域模型的系统，作者称系统研究留待未来工作；作者假设它们仍依赖 LLM 骨干做语义推理，因而可能有类似漏洞。
• 论文没有单独的 Limitations 节。除此以外，未把其他事项写成局限或后续工作。§10 对“空间关系短时稳定”被打破后的说法是攻击者可重新观测再发起，不是写成不足。真机的安全替代物与坐标提示，作者称仍能验证发现。

实验覆盖范围

• 被测目标 LLM 为 Llama-3.1-8B、DeepSeek-R1-14B、Gemma-3-27B、Phi-4-14B、GPT-4o、GPT-4o-mini、GPT-4-turbo、Claude-3.5-sonnet，共 8 个；开源模型以 INT8 本地部署。Fig. 9–10 每个实验 10 次平均，且对目标单次发射。
• 受害框架包括 ProgPrompt、Code-as-Policies、VoxPoser、LLM-Planner。仿真器包括 VirtualHome、Habitat、ManiSkill、RoboTHOR。真机为 6DoF UFactory xArm 6，ProgPrompt 与 GPT-4o，Table 2 的 20 条指令。
• 防御结果包括主实验中的 POEX prompt-based safeguard，§8 的 Llama-Guard、SafeDecoding、VeriSafe（仅 GPT-4o），以及机械臂 safe mode。
• 初步数据为 BadRobot 的 100 条四类指令；主数据为过滤后的 187 条。主实验代理为 Llama-3.1-8B；稳定性实验的代理还包括 Gemma-3-27B，每条指令 100 次。
• 论文未报告 ASR/TSR 的评审模型与人工一致性，框架、仿真器与真机实验的重复次数，稳定性实验的目标模型，以及 pass rate 与 ASR/TSR 的关系。Fig. 9–10 各柱数值未在正文逐项列出。

Blindfold 是面向具身 LLM 规划模块的 no-box 攻击，把恶意意图改写成看似良性的动作序列。

• 问题：开放环境里的具身 LLM 会把语言指令变成物理动作。作者认为，语义审查挡得住有害措辞，却难判断一串单步无害动作的物理后果。
• 方法：攻击在目标外完成。被攻破的本地 Llama-3.1-8B 按预观测场景做贪心规划；混淆器用伤害分下降最大的一步作主导动作，并以良性参数掩护、处理冲突；规则验证器按符号前提把不可执行步退回规划器。对目标只发一次。
• 主实验概括：过滤后有 187 条指令，并带 POEX 语义检查。作者称 Blindfold 的 ASR 在 8 个目标 LLM 上都超过 80%，Phi-4-14B 接近 100%；基线 ASR 在开源上低于 55%、闭源上低于 40%。作者称 ASR 最高比基线高 53%，引言另称 TSR 最高高 68%。
• 可回查数字：Table 1 中完整配置对 GPT-4o 为 ASR 93.2%、TSR 77.6%，对 Phi-4-14B 为 98.1% 与 46.9%。真机 20 条、GPT-4o 与 ProgPrompt，Blindfold 绕过 18 条、执行 12 条。Table 3 中 VeriSafe 下 ASR 为 76.5%，ΔASR 为 -17.9%。
• 作者结论：应发展考虑物理后果的防御，而不是只做表层语言审查。采用 world model 或 VLA 的系统，作者留作后续研究。