ロボットの安全性を脅かす「見えない攻撃」が急速に進化している。従来のロボット安全対策は「機械に何か異常が起きても安全を保つ」を問うてきたが、物理的AI（Physical AI）の時代には「何も故障していないのに、攻撃者がロボットが見るもの・判断・行動を変えても安全を保つ」という更に難しい課題に直面している。マルチモーダルセンサーで知覚し、AIモデルで文脈を解釈し、その判断を物理的行動に変換する現代のロボットにおいて、意思決定を導くデータの完全性が安全性を左右するようになったのだ。
訓練から運用まで広がる攻撃面
2017年の「BadNets」研究によって、AIモデルが特定の隠れたトリガーに反応して異常な動作をする可能性が初めて示された。例えば一つの微妙なパターンが一時停止標識を速度制限標識と誤認識させるが、他の入力には影響しないという事例が報告されている。この分類の脆弱性は、やがてロボットの行動操作へと進化した。2025年のNeurIPS学会では、ロボットが視覚情報を捉え、命令を解釈し、協調的な物理的動作を生み出す「Vision-Language-Action（VLA）モデル」を対象とした「BadVLA」という攻撃手法が発表された。トリガーが存在する時だけロボットの行動軌跡に条件付きの偏差が生じ、トリガーがない時は正常なタスク性能を保ちながら、攻撃の有効性は転移や微調整の後も継続するという特性を持つ。同じく2025年の「GoBA」研究では、コーヒーマグのような日常的な物体が97%の成功率で攻撃トリガーとなることが報告されている。
システムインフラからランタイムまでの脅威
訓練済みモデルが厳密に検証されていても、周辺のシステムスタックが脆弱であれば悪用される危険がある。2025年9月に報告された「UniPwn」は、大手メーカーの四足歩行ロボットやヒューマノイドロボットに影響するBluetoothの脆弱性チェーンだ。ハードコードされた暗号化キーの存在、認証チェックの迂回、ルートレベル実行を可能にするコマンドインジェクションが確認されており、侵害されたロボットが近くのユニットをスキャンして全体のフリートに波及する可能性がある。実行時の段階では、カメラの視野内に構造化された敵対的パッチを配置することで、VLAモデルのタスク成功率をゼロまで低下させる「VLAttack」や、単一の敵対的画像でロボットの意思決定ループを停止させる「FreezeVLA」といった視覚ベースの操作も報告されている。これらの事例では、カメラ自体は正常に機能していても、知覚や推論を形作る入力が意図的に操作されている。
対策と課題
従来のモデル検証には盲点が存在する。テストに合格したモデルでも、運用中に隠れたトリガーが現れれば異常な振る舞いを示す可能性がある。NVIDIA Isaac Sim™とVicOne Radeisのような検証ツールを組み合わせることで、デプロイ前に操作されたインプットの影響をテストできるとされている。脆弱性管理によって既知のリスクをデプロイ前に特定し、継続的な監視で新興の脅威を検出することが求められている。
