Безопасность роботов с ИИ переосмысляют из-за атак на восприятие и данные

В эпоху, когда искусственный интеллект перестаёт быть просто алгоритмом на экране и всё активнее обретает физическую форму, традиционные подходы к безопасности роботов начинают давать сбой. Раньше инженеры задавались простым вопросом: останется ли машина безопасной, если что-то сломается? Теперь же на первый план выходит куда более сложная дилемма: можно ли считать робота защищённым, если злоумышленник меняет то, что машина видит, как она интерпретирует обстановку или какие действия выполняет, при этом ни один компонент формально не вышел из строя? Именно этот сдвиг парадигмы и заставляет отрасль пересматривать сами основы проектирования систем безопасности.

Современные роботы воспринимают мир через мультимодальные сенсоры, осмысливают контекст с помощью ИИ-моделей и переводят эти интерпретации в физические действия. По мере их выхода в динамичную среду безопасность всё сильнее зависит от целостности данных, направляющих решения. И эта зависимость порождает риски, которые классические методики оценки попросту не улавливают. Исследования последних лет наглядно показали: манипулирование тем, что робот видит, слышит или как трактует сигналы, способно менять его поведение без прямого взлома систем управления. Такое воздействие может происходить на любом уровне — от конвейера обучения модели и системной инфраструктуры до восприятия в реальном времени.

Первый пласт рисков связан с порчей «интеллекта» у самых его истоков. Ещё в 2017 году эксперимент BadNets продемонстрировал, что модель может вести себя абсолютно нормально в большинстве ситуаций, но давать сбой при появлении скрытого триггера. В одном из примеров незаметный узор заставлял систему путать знак «стоп» со знаком ограничения скорости, хотя на других входных данных поведение оставалось безупречным. С тех пор уязвимость классификации переросла в манипуляцию действиями. На конференции NeurIPS 2025 исследователи представили BadVLA — атаку с «чёрным ходом», нацеленную на модели «зрение-язык-действие», которые позволяют роботам видеть, понимать команды и совершать скоординированные движения. Вместо подмены одной метки атака вызывала условные отклонения в траектории робота при наличии триггера. Без него модель сохраняла нормальную производительность, а закладка оставалась работоспособной даже при переносе задач и дообучении. Другое исследование 2025 года, GoBA, показало, что обычный предмет вроде кофейной кружки может служить надёжным триггером: заявленная успешность атаки достигла 97 процентов без ухудшения работы на чистых данных. Это обнажает слепое пятно валидации моделей: система может пройти все тесты, но выдать искажённое поведение, когда в реальной эксплуатации появится скрытый сигнал. Инструменты симуляции вроде NVIDIA Isaac Sim в связке со средствами валидации позволяют проверять эффекты подмены входных данных ещё до развёртывания.

Второй пласт — системные уязвимости как врата к управлению ИИ. Даже надёжно обученная модель может быть скомпрометирована, если уязвим окружающий программный стек. В сентябре 2025 года исследователи раскрыли UniPwn — цепочку эксплойтов через Bluetooth, затрагивающую четвероногих и человекоподобных роботов крупного производителя. Жёстко прописанные криптографические ключи позволяли расшифровывать трафик, проверки аутентификации обходились, а внедрение команд открывало выполнение на уровне root. Эксплойт описан как «червеобразный»: заражённый робот способен сканировать соседние устройства и потенциально вывести из строя целый парк. Промежуточное программное обеспечение создаёт ещё одну точку экспозиции: уязвимости в ROS 2 и системах на базе DDS могут открывать произвольное выполнение кода или злоупотребление неаутентифицированными топиками для доставки вредоносных команд. При достаточном доступе атакующий мог бы переопределять команды двигателей или подменять веса ИИ-модели, не атакуя саму архитектуру. Формально компоненты продолжают работать как задумано — меняется лишь достоверность команд, проходящих через систему.

Третий пласт — манипуляция восприятием и рассуждением в реальном времени. Здесь может не понадобиться ни изменения прошивки, ни сетевого взлома. В 2024 году проект RoboPAIR показал, как тщательно выстроенные подсказки способны увести робота под управлением языковой модели на небезопасные траектории. BadRobot вскрыл более глубокую архитектурную слабость: в ряде случаев робот словесно отказывался от опасной команды, а контроллер движения всё равно выполнял действие. Не менее мощны атаки через зрение: VLAttack продемонстрировал, что состязательная наклейка в поле камеры может обнулить успешность выполнения задачи моделью «зрение-язык-действие», а FreezeVLA показал, как одно состязательное изображение замораживает цикл принятия решений, делая робота невосприимчивым к последующим командам. Камера может работать, модель — запускаться, контроллер — откликаться, но итоговое поведение окажется небезопасным, потому что робот действует на основе искажённого восприятия. Поэтому контроль в реальном времени должен оценивать не только доступность отдельных компонентов, но и то, начинают ли киберсобытия влиять на физическое поведение. Корреляция событий безопасности, оценка влияния на поведение и реакция в рамках политик с опорой на периферийный ИИ помогают локализовать проблемный участок, не останавливая без нужды весь парк машин.

Всё это подводит к главному выводу: безопасность роботов больше не может быть точечной проверкой в момент выпуска. Она должна превращаться в непрерывное сопровождение на протяжении всего жизненного цикла — от обучения модели и защиты инфраструктуры до мониторинга восприятия в реальной среде. Только так можно гарантировать, что физический ИИ останется в пределах своих задач и границ безопасности даже в условиях целенаправленных атак.