ロボットの安全機能は正常に動作しているはずなのに、入力情報が改ざんされるとどうなるか。VicOne LAB R7の研究が、従来の安全設計に潜む新たな脅威を浮き彫りにしている。
移動ロボットが廊下で速度を落とし、協働ロボットが作業者に近づくと動きを緩め、ヒューマノイドが人を通す—こうした安全反応はすべて、距離センサーや位置推定、停止信号といった環境情報に依存している。しかし入力情報が誤っていながら、ロボットが設計通りに動作したらどうなるか。廊下が空いていると誤認識したり、作業者がより遠くにいると推定を誤ったりする状況を想定すると、単なる故障では済まされない。意図的な改ざんの可能性も無視できない。
視覚と音声入力への攻撃実証
VicOne LAB R7は、改ざんされた入力がロボットの動作をどう変えるかを検証している。視覚・言語・行動を統合したモデル（VLA）に対する研究では、カメラの視野にパッチを挿入することでロボットのタスク成功率が低下することが示された。別の研究では敵対的な画像によって、後続の指示が無視される現象も確認されている。
実際のロボット実験では、ロボット犬にポスター上のテキストが命令として解釈され、動きが変わった事例がある。病院運搬ロボットの シミュレーションでは、人間には聞こえない周波数の加工音声が動作を変化させた。タスク自体は変わらず、入力情報だけが操作されたのだ。ロボティクスバグバウンティイベントでは、安全制御下で停止していると予想されたロボットが、改ざんされたROS 2/DDSメッセージ受信後に移動する事象も報告されている。
冗長システムも万全ではない
ジャイロスコープなど脆弱なセンサーの場合、共振周波数の音波が回転情報を歪ませる可能性がある。バランスコントローラーが実際には起きていない傾きを補正してしまう恐れがあり、ドローンではこうした音響攻撃の有効性が実証されている。
従来の安全評価は偶発的な故障の組み合わせを低確率として扱ってきた。しかし意図的な操作なら攻撃者は入力の改ざんを意図的に選択し、同じトリガーを繰り返し実行できる。複数センサーを用いた冗長化も、1つの操作が複数の入力に影響を与えた場合、その同意は予想ほどの安心をもたらさない。自動運転研究では、1つの物理的な加工物がカメラとLiDAR（ライダー）の両方を誤認識させた事例がある。
セキュリティ視点での安全基準の再評価が急務
速度制限、安全距離、動作範囲といった安全基準は、情報が意図的に改ざんされた場合の動作も検証した上で設定されるべきだ。故障想定の安全評価では、攻撃のタイミング性と反復可能性を考慮していない。サイバー脅威を組み込んだリスク評価が、従来の手法に代わって求められている。
