Skip to content

Translation in progress Some entries still include text in the original language.

Original
arXiv· arXiv:2603.24935· Xiyang Wu, Guangyao Shi, Qingzi Wang, Zongxia Li, Amrit Singh Bedi, Dinesh Manocha·Indexed by this site · Originally published

SABER：面向视觉-语言-动作模型的隐蔽智能体黑盒攻击框架

SABER: A Stealthy Agentic Black-Box Attack Framework for Vision-Language-Action Models

Quick read

Attacks

Based on 论文 PDF （AI 生成）; refer to the original

SABER用GRPO训练的ReAct攻击器，在LIBERO六个VLA上的平均任务失败ASR为20.6%。

Threat model指令仅限的黑盒攻击：目标是冻结VLA，攻击者无梯度，只能通过rollout观察。

Questions
VLA靠指令和视觉做机器人控制，小的指令改动就能改变动作。作者认为现有攻击依赖人工、启发式或高查询GPT搜索，缺少面向冻结黑盒策略、在有界预算下自动生成隐蔽指令攻击的方法。
Methods
SABER用GRPO训练ReAct攻击器，在字符、token、提示词工具上按FIND再APPLY改指令，不反传目标梯度。奖励看任务失败、动作变长或约束违反，并惩罚工具调用与字符编辑。
Experiments and results
在LIBERO六个VLA上，作者报告平均任务成功下降20.6%，动作序列长度增加55%，约束违反增加33%。相对同工具接口的GPT-5 mini，作者称少21.1%工具调用和54.7%字符编辑。部分套件上ASR为0或CVI低于1。
Limitations and future work
作者称目前限于仿真中的纯文本扰动，多模态和真实物理攻击面未探索；后续打算攻击中间计划与工具选择，并联合扰动语言和感知。实验覆盖六个VLA、LIBERO四套件和三种行为目标，论文未报告λ与统计检验。
Experimental setupπ0-LIBERO、π0.5 et al. · LIBERO、LIBERO-Spatial et al. · ASR、AIR et al.
Threat model
指令仅限的黑盒攻击：目标是冻结VLA，攻击者无梯度，只能通过rollout观察。能力是在编辑步数、工具调用或字符/token预算内改写指令。目标为任务失败、动作膨胀或约束违反；扰动须属于工具合法轨迹。
Evaluated models
π0-LIBEROπ0.5X-VLAGR00T-N1.5InternVLA-M1DeepThinkVLA
Benchmarks
LIBEROLIBERO-SpatialLIBERO-ObjectLIBERO-GoalLIBERO-Long
Metrics
ASRAIRCVITERTool CallsChar Edits
AI summary研究者提出 SABER，一个针对视觉-语言-动作（VLA）模型的隐蔽智能体黑盒攻击框架，通过小幅指令编辑降低机器人任务表现。该框架使用 GRPO 训练的 ReAct 攻击者，在字符、token 和提示词层面工具下，于有限编辑预算内生成对抗指令。在 LIBERO 基准上对六款 SOTA VLA 模型的测试中，论文报告任务成功率降低 20.6%，动作序列长度增加 55%，约束违反增加 33%，同时比基于 GPT 的强基线少用 21.1% 工具调用和 54.7% 字符编辑。代码已在 GitHub 公开。

研究者提出 SABER，一个针对视觉-语言-动作（VLA）模型的隐蔽智能体黑盒攻击框架，通过小幅指令编辑降低机器人任务表现。该框架使用 GRPO 训练的 ReAct 攻击者，在字符、token 和提示词层面工具下，于有限编辑预算内生成对抗指令。在 LIBERO 基准上对六款 SOTA VLA 模型的测试中，论文报告任务成功率降低 20.6%，动作序列长度增加 55%，约束违反增加 33%，同时比基于 GPT 的强基线少用 21.1% 工具调用和 54.7% 字符编辑。代码已在 GitHub 公开。

Paper analysis

6 questions; open one to read the full answer

  1. What problem does this paper attempt to solve?

    作者要的是有界预算下、能自动生成小幅指令编辑的黑盒VLA攻击器。

    VLA的指令通道会被小幅文本改动影响机器人行为，但缺少能在有界预算下自动生成此类黑盒攻击的通用方法。

    • 场景：作者称VLA把自然语言指令和视觉观察直接映射为动作，语言接口提高灵活性，也构成关键攻击面。小的指令扰动，如token编辑或对抗后缀，可导致执行低效、动作序列变长，以及违反任务或安全约束，并体现为物理行为。
    • 现有方法：作者称已有攻击多靠人工设计、固定启发式或昂贵的GPT搜索，跨任务适应差，对未见目标泛化弱，且常要大量改写或反复查询。相对LLM自动红队文献，面向黑盒冻结机器人策略、跨多样任务自动生成对抗指令的通用方法仍然缺失。
    • 核心观察：作者认为冻结策略往往只能经rollout访问，指令短、结构化、易检查，大幅改写或高查询搜索不实用且易被发现，故预算与隐蔽性是基本约束。
    • 本文做法：提出SABER，一个以智能体为中心的黑盒框架：GRPO训练的ReAct攻击器在编辑预算内，用字符、token、提示词三级工具做小而看似合理的指令编辑，诱导任务失败、过长执行和更多约束违反。
    • 威胁模型：
      • 目标：使执行出现作者定义的三类退化：任务失败、动作膨胀、约束违反。
      • 知识：黑盒。目标参数冻结，攻击与训练都不对其或仿真器反传梯度。
      • 能力：只改指令；多轮选择工具、编辑位置并组合扰动；用rollout反馈优化。预算可包括编辑步数、工具调用或改动字符/token，且扰动须落在工具合法轨迹集合内。
      • 受害系统：冻结VLA。它按指令、截至当前的视觉观察和历史动作预测动作；攻击者不改视觉输入，也不更新其参数。

  2. What related research exists?

    相关工作分为LLM提示攻击、VLA对抗脆弱性与智能体强化学习。

    论文在第II节按三类讨论，并认为黑盒VLA仍缺可学习、可复用的指令攻击器。

    LLM自动对抗提示生成

    • PAIR、AmpleGCG、AutoDAN、AdvPrompter与Li等：作者称这些方法提高了对抗提示搜索的效率、可迁移性和自动化。
    • AutoGen与OverThink：前者展示工具使用和多轮协调对语言智能体的作用；后者显示推理时扰动也可增加推理成本与延迟。作者称这些工作面向纯文本，未处理VLA中对抗输入的序列化、具身后果。

    VLA系统的对抗脆弱性

    • RoboPAIR、ERT与Wu等：分别研究LLM控制机器人的安全漏洞、具身智能体自动红队，以及小扰动可让基于LLM/VLM的机器人行为错位。
    • Wang等、Jones等、AttackVLA、VLA-Fool、BadVLA：作者称这些研究进一步考察文本、跨模态、对抗与后门威胁。作者的批评指向多数已有工作：它们在特定攻击类别或设定下展示脆弱性，缺少能跨任务、目标策略和行为级目标、在黑盒设定中自动适应指令编辑的可学习复用攻击器。

    智能体强化学习与工具使用

    • ReAct、Toolformer，以及Agent Lightning、AgentRL、Agent-R1：前者支持迭代规划、工具使用和从中间错误恢复；后者用强化学习优化长程智能体行为。
    • RLTA：把强化学习用于自动对抗提示生成，以做可控的LLM安全评测。作者称这些进展使智能体强化学习适合黑盒对抗生成，因为攻击者要迭代探索编辑、调用工具，并从rollout反馈优化下游结果。

    基线与基准

    • 基线方法：同一工具调用接口的冻结GPT-5 mini攻击器（Table V）；Task Failure下无冷启动的GRPO Only（Table VI）。
    • 基准：LIBERO，含Spatial、Object、Goal、Long四套件。

    作者把本文定位为：把智能体强化学习用到机器人设定，用RL训练的ReAct智能体学习针对冻结VLA的自适应、仅指令攻击；相对上述工作，强调跨任务、策略和三种行为目标的黑盒复用，而不是纯文本越狱或单一攻击类别的演示。

  3. How does the paper address this problem?

    SABER用GRPO训练ReAct攻击器，在预算内做FIND到APPLY的指令编辑。

    SABER把对抗指令生成做成多轮工具使用：攻击器决定改哪里、改什么，工具只执行编辑，不向目标VLA传梯度。

    问题设定

    冻结VLA按指令、截至当前的视觉观察和历史动作预测动作。攻击智能体在含指令、任务元数据及可选rollout反馈的上下文中，输出一串工具介导的编辑，得到扰动指令。

    论文把攻击写成在预算内最大化行为回报并惩罚可见扰动：

    Jatk(ψ)=𝔼τ∼ D𝔼δ∼πψ[RO(δ;τ)−λ Pstealth(δ)]

    即对演示轨迹和攻击策略采样的扰动取期望，目标回报减去隐蔽惩罚，λ≥0。约束为攻击预算不超过上限，且扰动属于工具合法编辑轨迹。预算可含编辑步数、工具调用或改动的字符/token。

    作者列出的难点是：目标为黑盒，梯度不可得；编辑空间离散，须组合合法操作；奖励要等rollout后才观察到；还须同时满足攻击代价与可行性。因此采用基于rollout的策略优化。

    三级工具

    三类工具都走FIND再APPLY：FIND找位置和策略，APPLY在指令上执行。

    • Token级：FIND返回分词序列，以及选择目标token和编辑类型的简短提示；类型为替换、删除、添加或属性交换。APPLY按token索引和替换文本执行。
    • 字符级：词内插入、删除、替换、换位或大小写翻转，用来表示子词和类似OCR的扰动。FIND返回词、字符位置和推理提示。
    • 提示词级：插入从句或句子，论文列举验证包装、分解步骤、不确定从句、额外约束或目标注入。FIND指导从句组织，APPLY在附加token上限内插入。

    攻击回合

    Figure 2与第IV-B节把每个回合分成四步。

    1. 基线缓存：用干净指令跑冻结VLA，记录动作长度、任务成功和约束违反次数，同组rollout复用。
    2. 多轮构造：在工具调用预算内跑ReAct式FIND→APPLY，鼓励提高攻击目标并保持扰动小。
    3. 攻击rollout：同一冻结VLA执行扰动指令，记录轨迹，以及推理token统计、谓词历史等辅助信号。
    4. 奖励打包：比较基线与攻击rollout，得到目标奖励和可选隐蔽惩罚，交给GRPO，不反传进VLA或环境。

    Figure 3的冷启动先缓存目标VLA的干净rollout，并用冻结红队智能体对工具调用链做轻量随机探索，形成SFT数据。正文另写：冷启动数据由GPT-5-mini在同一场景接口下构建，再微调Qwen攻击器，然后做GRPO。

    奖励与训练

    训练奖励为目标回报减去λ乘隐蔽惩罚，并截断到[-1, 1.5]。三类回报都归一化到[0, 1]。

    • 任务失败：干净rollout成功且攻击rollout失败则为1，否则为0。若该目标要求干净成功而干净rollout已失败，回报为0。
    • 动作膨胀：随相对基线多出的环境步数上升。
    • 约束违反：随相对基线新增的碰撞、关节限位违反、过大的力或异常动作幅度上升。

    隐蔽惩罚在[0, 1]，由工具调用次数和字符编辑距离反映可见性。未施加扰动时给固定负奖励，论文未给出该数值。λ的取值论文未报告。

    训练在ART中用GRPO与LoRA，只更新攻击器的LoRA；目标VLA和环境当黑盒。每次运行只优化一个攻击目标，预算和隐蔽权重固定。每步采样场景组，同场景多条攻击轨迹提供GRPO所需的奖励差异。攻击器骨干为Qwen2.5-3B-Instruct，三个目标各训一个。实验中的硬约束是：Levenshtein字符编辑至多200，工具链至多4次。

  4. What experiments did the paper conduct?

    在LIBERO六个VLA上，Overall平均ASR 20.6%、AIR 1.55、CVI 1.33。

    实验设置

    • 受害模型：π0-LIBERO、π0.5、GR00T-N1.5、X-VLA、InternVLA-M1、DeepThinkVLA。作者称所选策略在标准评测下任务成功率均超过90%；Table I的Overall Base TER中X-VLA为86.7。后两者被作者称为暴露中间推理信号的deliberative/reasoning-centric VLA。
    • 划分：攻击器针对π0.5训练，用四套件各自前7个评测任务、每任务8个episode。测试为每套件余下3个任务、每任务5个episode，并迁移到其他VLA。论文未逐项声明Table I–III只含留出任务。
    • 攻击器：Qwen2.5-3B-Instruct，三个目标各训一个，故三张主表不是同一策略同时优化三项。冷启动数据用GPT-5-mini。
    • 基线：同工具接口的冻结GPT-5 mini（Table V）；Task Failure下的GRPO Only（Table VI）。
    • 预算与指标：字符编辑至多200，工具链至多4次。ASR为Base TER减Attack TER，论文以%报告；AIR为攻击动作长度除以基线长度；CVI为攻击约束违反次数除以基线次数。隐蔽指标为每episode平均Tool Calls与Char Edits。判定来自仿真rollout，论文未写LLM评审或人工一致性。
    • 未报告项：λ、GRPO步数、LoRA秩、额外随机种子重复次数，以及统计显著性检验。

    主结果

    下表为四套件Overall。ASR据Table I，AIR据Table II，CVI据Table III。π0.5是训练时的受害模型，其余为迁移目标。

    Swipe horizontally to read the table

    受害VLAASRAIRCVI
    π0-LIBERO26.7%1.581.17
    π0.5（训练受害模型）16.7%1.381.27
    GR00T-N1.515.0%2.071.21
    X-VLA20.0%1.261.31
    InternVLA-M120.0%1.451.31
    DeepThinkVLA25.0%1.551.76
    六模型平均20.6%1.551.33
    • 作者称六个模型上都出现与目标一致的退化，并可迁移到有无显式推理的模型。例外是Table I中π0.5与GR00T-N1.5在LIBERO-Object的ASR为0.0。
    • 作者称感知与接地较重的Spatial、Object对任务失败和约束违反放大较弱，扰动后的指令有时触发更安全或更有效率的重规划；规划较重的Goal、Long更易失败并违反物理约束。Table I套件平均ASR为Spatial 8.9、Object 8.9、Goal 48.9、Long 15.5。
    • 作者称动作膨胀在各套件都有效，短时程上更强，并可迁到长时程。Table II中X-VLA在LIBERO-Object的AIR为0.99。Table III多格CVI低于1，最低为InternVLA-M1在Spatial的0.27；Object套件平均CVI为0.99，Goal为2.59。

    与GPT-5 mini对比

    Table V比较同一工具接口的冻结GPT-5 mini与SABER。论文未写明受害模型。SABER行的Tool Calls 3.10、Char Edits 76.46、ASR 16.7与Table VI的SFT+GRPO行相同，论文未说明是否同一设置。

    Swipe horizontally to read the table

    攻击器Tool CallsChar EditsASRAIRCVI
    GPT-5 mini3.93168.814.51.371.25
    SABER3.1076.4616.71.381.27
    • 作者称相对该基线，目标对齐指标平均约有2%的绝对提升，并称这超出单纯提示工程。
    • 作者称SABER少21.1%工具调用、少54.7%字符编辑，同时达到相当或更好的攻击结果；并称RL学到更高杠杆的扰动，减少不必要交互和表面改写。

    冷启动消融

    Table VI只报告Task Failure。论文未写明受害模型。两行Base TER均为96.7。

    • 设置：SFT+GRPO对比去掉冷启动后只做GRPO。
    • 结果：GRPO Only的Tool Calls为2.76、Char Edits为11.78、Attack TER为88.0、ASR为8.7；SFT+GRPO为3.10、76.46、80.0、16.7。
    • 作者解读：作者称去掉SFT后策略不能稳定地经由RL变好，ASR相对SFT+GRPO下降5.8%。Table VI给出的ASR是8.7与16.7，论文未说明5.8%的计算口径。作者认为没有冷启动时，智能体难以发现有效工具调用，可能转向更低成本但不转化为更强攻击的动作。

    其他消融与分析

    • Table IV Overall：Task Failure的Tool Calls 3.02、Char Edits 13.0；Action Inflation为3.16、122.1；Constraint Violation为2.42、64.0。
    • 作者称任务失败编辑最少、仅为预算的10.6%，约束违反的工具调用平均少23.4%；论文未说明二者的计算口径。实验预算上限为200个字符。
    • 作者称冷启动时工具使用更偏探索，GRPO后更有选择；字符级编辑对成功攻击贡献有限，训练后token级占主导，任务失败尤其如此。早期更多用提示词级扰动找可行策略，之后转向token级编辑。
    • Table I单格ASR最高为DeepThinkVLA在LIBERO-Goal的66.7。Table II套件平均AIR为Spatial 1.95、Object 1.44、Goal 2.56、Long 1.15；单格最高为GR00T-N1.5在Spatial与Goal的3.85。
    • Table III套件平均CVI为Spatial 1.06、Object 0.99、Goal 2.59、Long 1.39；单格最高为DeepThinkVLA在Goal的4.16。
    • 论文未按字符、token、提示词三类工具分开报告成功率。

  5. What are some points that can be further explored?

    作者称目前只做仿真中的纯文本扰动，多模态与真实物理攻击面尚未探索。

    作者指出的局限与后续方向

    以下均出自第VI节Conclusion，论文没有单独的Limitations节。

    • 仿真与纯文本：作者称本研究目前限于仿真中的纯文本扰动。
    • 未探索的攻击面：多模态与真实世界物理攻击面尚未探索。
    • 后续：推理过程：作者称未来工作将把攻击扩展到受害模型的推理过程，包括执行中的中间计划与工具选择逻辑。
    • 后续：多模态：作者称将扩展到同时扰动语言与感知的多模态设定，以在现实部署约束下考察跨模态脆弱性。

    实验覆盖范围

    • 受害模型为π0-LIBERO、π0.5、X-VLA、GR00T-N1.5、InternVLA-M1、DeepThinkVLA，共6个；基准为LIBERO的Spatial、Object、Goal、Long（第V节，Table I–III）。
    • 三个攻击目标各自训练一个攻击器，指标分别为ASR、AIR、CVI，另报Tool Calls与Char Edits（第V-A节，Table I–IV）。
    • 攻击器为Qwen2.5-3B-Instruct，冷启动数据由GPT-5-mini构建；在π0.5上按每套件前7个任务、每任务8个episode训练，在每套件3个留出任务、每任务5个episode上测试并迁移到其他VLA（第V-A节）。
    • 对照包括同工具接口的冻结GPT-5 mini（Table V），以及Task Failure下的GRPO Only与SFT+GRPO（Table VI）。
    • 论文未报告λ、GRPO步数、LoRA秩、统计检验和LLM评审模型，也未报告人工判定一致性；碰撞、关节限位、力和动作幅度未在结果表中分项给出。

  6. Summarize the main content of the paper

    SABER在有界预算下黑盒改写VLA指令，LIBERO六模型平均ASR为20.6%。

    SABER是面向冻结视觉-语言-动作策略的黑盒、仅指令攻击框架，用来在有界编辑预算下自动生成小幅对抗改写。

    作者要解决的是：指令通道能把小的文本改动变成机器人行为退化，但人工设计、固定启发式和高查询GPT搜索难以跨任务、跨策略扩展；指令又短、易检查，攻击必须少改字、少调用工具。

    方法上，Qwen2.5-3B-Instruct上的ReAct攻击器先用GPT-5-mini构建的数据做冷启动SFT，再用GRPO和LoRA按rollout奖励更新。它调用字符、token、提示词三级工具，按FIND再APPLY改指令，不使用目标梯度。任务失败、动作膨胀、约束违反各训一个攻击器，奖励还惩罚工具调用和字符编辑。实验预算为至多200个字符、工具链至多4次。

    在LIBERO四套件、六个VLA的Overall平均上，任务失败ASR为20.6%（Table I），AIR为1.55（Table II），CVI为1.33（Table III）。作者在摘要中把后两项写成动作序列长度增加55%、约束违反增加33%。相对同接口GPT-5 mini，作者称工具调用少21.1%、字符编辑少54.7%；Table V中二者为3.10对3.93、76.46对168.8。套件级并非处处上升：π0.5与GR00T-N1.5在Object的ASR为0.0，若干CVI或AIR低于1。Table VI中，仅GRPO的ASR为8.7，SFT+GRPO为16.7；作者认为冷启动对发现有效工具调用是关键。

    作者的结论是：小而看似合理的指令编辑足以让机器人执行变差，这类智能体黑盒流程可作为红队机器人基础模型的工具。作者同时写明，目前只覆盖仿真中的文本扰动。

Read originalarxiv.org