论文 | 基础模型驱动具身智能体安全：攻击面、攻击、防御与评测

论文题目：Security of Foundation-Model-Powered Embodied Agents: Attack Surfaces, Attacks, Defenses, and Evaluation 作者：Jiawei Liu、Jiacheng Guo、Tian Zhang、Yiwei Xu、Juan Wang、Jinlin Fan、Bowen Xiao 机构：武汉大学 论文链接：https://arxiv.org/pdf/2608.16843

导读

当大语言模型、视觉语言模型、视觉语言动作模型和世界模型进入机器人控制环路后，具身智能体的安全问题不再只是“模型是否被越狱”或“视觉是否被对抗样本欺骗”。更关键的问题变成：攻击者最早在哪个信任边界进入系统，恶意影响如何从语义输入传播到感知、状态、推理、规划、动作接口和物理执行，系统在授予物理执行权限之前是否仍有独立防线。 这篇综述提出一种以信任边界为中心的具身智能体安全框架。作者不把越狱、提示注入、后门、投毒、对抗样本等“攻击机制”直接当作最高层分类，而是坚持“首个被攻破信任边界”原则：同一种机制可以出现在不同攻击面，同一个攻击面也可以承载多种机制。这样可以避免把“怎么攻击”和“从哪里进入系统”混为一谈。 基于截至 2026 年 8 月 15 日收集的 58 条攻击记录和 61 条防御记录，论文构建了五层十二攻击面分类，覆盖模型供应链、用户指令、上下文与记忆、物理语义环境、多模态感知、世界状态、内部推理、任务规划、动作接口、中间件、多智能体通信和执行控制。量化分析显示，当前攻击研究集中在多模态感知和动作接口，防御研究则明显向动作级与运行时保护倾斜；上下文与长期记忆、中间件网络、世界状态完整性和多智能体信任仍相对薄弱。

1 Introduction：引言

研究背景

基础模型正在重构机器人控制环。过去机器人通常依赖固定任务接口、专用感知模块、手工规划器和明确控制器；现在，大模型可以读取自然语言指令、场景文字、网页或检索内容、交互历史、长期记忆、多智能体消息和多模态观测，并将这些信息转化为计划、代码、工具调用、技能选择甚至连续动作。 这带来一个重要变化：原本只是“语义内容”的数据，一旦进入具身控制环路，就可能获得物理执行权。攻击者未必需要直接攻破电机、控制器或机器人网络，只要操纵模型信任的信息，就可能诱导系统自主产生危险行为。

与纯文本安全的差异

文本大模型的有害输出通常停留在信息域，而具身系统会把模型输出经由代码、接口、技能库、运动规划器和控制器转化为物理动作。因此，一个聊天机器人中的越狱，在机器人场景可能变成目标替换、导航偏航、危险抓取、轨迹漂移、动作冻结或拒绝服务。 具身安全还包含物理可实现性、长时序误差累积、不可逆物理后果、实时延迟约束和多表示权限转换等因素。论文因此主张将该领域视为“网络-物理智能体安全”，而不是大模型越狱、对抗视觉和传统机器人网络安全的简单相加。

2 Survey Scope and Literature Methodology：综述范围与文献方法

研究范围

论文关注基础模型实质参与感知、状态构建、任务规划、策略生成、工具使用或动作控制的具身系统。范围包括大模型规划器加技能执行器架构、视觉语言导航、端到端视觉语言动作操作、集成大模型的移动机器人、多机器人协同，以及直接连接到这些系统的中间件、网络和云模型基础设施。 为避免把所有传统机器人安全研究都纳入，作者设置了三类纳入层级。核心研究直接分析含基础模型具身控制环的攻击或防御；相邻研究覆盖可迁移到该场景的视觉语言导航、自动驾驶或动作模型安全；系统扩展研究则覆盖机器人中间件、网络、多机器人或供应链边界。

数据集与编码原则

截至 2026 年 8 月 15 日，论文收集 58 条攻击记录和 61 条防御记录。攻击记录中有 50 条核心研究、3 条相邻研究和 5 条系统扩展研究；防御记录中有 36 条核心研究、22 条相邻研究和 3 条系统扩展研究。 每条攻击记录编码年份、发表状态、模型类型、生命周期阶段、攻击机制、攻击面代码、主要目标模块、攻击者访问能力、安全目标、物理验证、评测平台、方法摘要和主要结果。防御记录额外编码防御阶段、防御机制、覆盖攻击面、目标模块、所需访问能力、防御类型和验证环境。多标签允许存在，但必须区分主要入口、传播路径和影响面。

3 Closed-Loop Security Model for Foundation-Model-Powered Embodied Agents：基础模型具身智能体闭环安全模型

统一信息流抽象

论文将系统抽象为从开发与供应链到物理执行的闭环信息流。输入可以来自训练资产、用户指令、上下文记忆、物理环境、传感器、世界状态、推理表示、任务规划、工具和动作接口、中间件、多智能体通信以及底层执行控制。 核心不是列举模块，而是识别信任边界：某个表示何时从低权限或不可信来源进入更高权限的决策或执行域。只要这个跨界过程能影响后续规划和动作，它就具有安全意义。

入口、传播、目标与后果

论文用四元组描述一次攻击：首个被攻破的信任边界、攻击机制、传播路径和最终安全影响。比如，屏幕上的恶意文字被机器人相机看到，并被系统错误地当作命令，此时主要入口是物理语义环境，而后续影响可能经过视觉语义编码、规划和动作接口。相反，如果攻击者直接扰动像素、光照、音频或激光雷达信号，主要入口应归为多模态感知。 这种区分能避免常见误判。机器人执行危险动作是安全后果，不自动意味着执行控制就是主要攻击面；提示注入导致错误思维链，也不自动意味着内部推理就是主要攻击面。主要攻击面应指攻击者最先直接控制的不可信表示。

4 A Five-Layer, Twelve-Surface Taxonomy：五层十二攻击面分类

分类框架

论文提出五层十二攻击面。第一层是开发与供应链，包含模型、数据和供应链攻击。第二层是外部输入与上下文，包含用户指令、上下文记忆、物理语义环境、多模态感知与传感器。第三层是内部状态与认知，包含世界状态、内部推理、任务规划。第四层是执行与基础设施，包含动作代码工具技能接口、中间件网络外部服务、执行控制与可用性。第五层是协同系统，覆盖多智能体和多机器人通信。

攻击面与机制正交

论文反复强调，攻击面和攻击机制必须正交。越狱、后门、投毒、对抗样本、传感器欺骗、状态伪造、通信污染都只是“如何攻击”；攻击面回答的是“攻击者首先从哪里进入系统”。例如，提示注入既可能来自用户指令，也可能来自环境文字、检索文档或另一个机器人消息；后门既可能通过训练数据进入，也可能由物理触发器或状态模式激活。 这种正交关系让分类更适合工程诊断。系统开发者可以先定位入口边界，再分析机制、传播路径和最终影响，而不是被攻击名称本身牵着走。

5 Attack Research: From the First Compromised Boundary to Physical Consequences：从首个被攻破边界到物理后果的攻击研究

十二类攻击路径

模型、数据和供应链攻击发生在部署前，恶意影响可以通过训练数据、微调样本、适配器、检查点或第三方组件写入系统。用户指令攻击通过自然语言控制通道进入，典型形式包括直接提示注入、恶意后缀和语音命令操纵。上下文、记忆和检索攻击则污染历史、长期记忆、工具返回或缓存计划，使短暂攻击变成持久妥协。 物理语义环境攻击利用标牌、屏幕、标签、二维码或场景文字，让机器人在传感器正常工作的情况下错误理解环境语义。多模态感知攻击直接操纵像素、补丁、三维纹理、相机、音频或激光雷达。世界状态攻击伪造对象关系、占用情况、定位、姿态、关节状态、可供性或反馈摘要。 内部推理攻击针对显式或潜在思维过程、注意力和跨模态对齐。任务规划攻击操纵目标、任务分解、路径、恢复策略和高层策略意图。动作、代码、工具和技能接口攻击瞄准从认知到执行的结构化接口，例如代码、应用程序接口调用、动作令牌或技能参数。中间件与网络攻击涉及机器人操作系统、主题服务、驱动、网络、云模型和远程接口。多智能体攻击通过机器人间消息、共享提示、共享记忆或协作状态传播。执行控制攻击则直接操纵轨迹、执行器命令、停止逻辑、资源可用性和安全停机机制。

攻击传播特征

具身攻击的危险性常常来自跨层传播。一个看似普通的环境文本可以变成语言指令，再变成计划约束，最终变成动作调用；一个感知扰动可以改变世界状态估计，再改变导航路径；一个共享记忆污染可以跨多个机器人传播。论文的分类框架正是为了追踪这种因果链，而不是只记录最终错误动作。

6 The Two-Dimensional Relationship Between Attack Mechanisms and Attack Surfaces：攻击机制与攻击面的二维关系

机制不是攻击面

论文将攻击机制视为与攻击面并列的第二维。越狱、提示注入、后门、投毒、对抗样本、传感器欺骗和拒绝服务都可以跨多个攻击面出现。把机制和入口边界分开，可以让同一篇研究同时被标注为“通过物理语义环境进入、使用提示注入机制、传播到规划和动作接口”。

复合攻击链

现实攻击往往是复合链条。攻击者可能先通过供应链植入后门，再由环境对象触发；也可能先污染检索文档，再诱导规划器调用危险工具；还可能通过通信消息影响协作机器人，从而间接影响执行控制。论文建议保留多标签编码，但始终明确主要入口边界。

7 Defense Research: From Point Filters to Cross-Layer Security Architectures：从点式过滤到跨层安全架构的防御研究

防御类型

论文没有机械地按十二攻击面重复组织防御，而是按防御放置位置、依赖的可信信息以及能否提供运行时保证进行归类。第一类是训练期和后训练期加固，包括安全对齐、鲁棒微调、强化后训练、参数合并、遗忘、归纳偏置和后门缓解。第二类是输入过滤、溯源验证和权限隔离，用于阻断恶意指令、污染上下文和不可信外部内容。 第三类是世界状态完整性、跨模态一致性和可验证事实，强调传感器、语义状态、环境反馈之间的相互校验。第四类是内部表示、注意力和不确定性干预，用于发现模型内部异常。第五类是规划验证、形式逻辑和独立安全判断，在动作生成前检查计划是否满足约束。第六类是动作级运行时监控、纠正和恢复，在执行前后进行最后防护。第七类是中间件安全、多机器人隔离和拜占庭鲁棒协同。

从局部防线到组合防线

论文的关键判断是：单点过滤不足以保护具身智能体。真实攻击可能跨越环境、视觉、语言、状态、规划和执行多个表示层；如果每一层只做局部合理判断，组合起来仍可能不安全。因此，未来防御需要更强的溯源、权限管理、跨模态验证和运行时回滚能力。

8 Quantitative Research Landscape and Attack-Defense Asymmetry：量化研究版图与攻防不对称

主要发现

量化结果显示，攻击研究在 2024 年后快速增长，2026 年截至 8 月 15 日已有 30 条攻击记录。按模型类型看，视觉语言动作模型相关攻击占 25/58，大语言模型相关攻击占 14/58；防御语料中视觉语言动作模型占 24/61，大语言模型占 16/61。研究重心正在从“能否越狱大模型规划器”转向端到端动作模型的鲁棒性、动作安全和后门行为。

攻防不对称

作者总结了四个观察。第一，攻击研究呈现“感知-动作双峰”，多模态感知和动作接口都是 29 条攻击记录，覆盖率各为 50%。第二，防御明显后移，动作、代码、工具和技能接口相关防御达到 46 条，覆盖率 75.4%，执行控制防御也相对更高。第三，上下文与记忆、中间件网络、多智能体通信是明显稀疏区域。第四，世界状态相关防御多于直接攻击，但缺少统一的状态威胁模型，说明研究更多把状态当作安全决策依据，而不是系统研究状态本身如何被攻破。

9 Evaluation: From Model Responses to Closed-Loop Physical Consequences：从模型响应到闭环物理后果的评测

文本攻击成功率不够

传统大模型越狱评测常把有害回答或拒答绕过视为成功，但具身系统至少还包含恶意意图接受、规划偏离、可执行动作生成和物理后果四个阶段。一个模型生成危险文本，不一定意味着机器人会执行；反过来，一个看似无害的中间表示，也可能经过规划和接口转换造成物理风险。 论文因此建议评测覆盖模型层、规划层、动作层和物理层。攻击评测应报告入口边界、传播路径、物理可实现性、任务成功与安全失败之间的差异、真实机器人或仿真验证条件。防御评测也不能只看检测率，还要衡量误报、延迟、恢复能力、对任务性能的影响、跨层绕过风险和可复现性。

统一基准需求

统一基准应覆盖多种模型类型、多类攻击面、复合攻击链、长时序任务、物理环境约束和多层日志。尤其是日志需要保留模型、规划、动作和物理执行层信息，否则不同攻击面的相对风险无法公平比较。

10 Open Problems and Future Research Directions：开放问题与未来方向

关键挑战

论文提出十个未来方向。第一，从点式护栏走向组合式跨层防御。第二，将溯源和委托权限作为一等对象。第三，世界状态完整性可能成为下一代核心边界。第四，长期记忆会把短暂攻击变成持久妥协。第五，端到端视觉语言动作模型需要新的可观测安全接口。 第六，多机器人系统应默认考虑拜占庭智能体。第七，实时约束与强语义验证之间存在冲突。第八，认证鲁棒性需要从单帧扩展到轨迹。第九，隐私与安全应联合研究。第十，社区需要持续更新的开放文献库和评测基础设施，以跟踪攻防空白和评测偏差。

11 Discussion: Using the Taxonomy Without Overgeneralization：避免过度泛化地使用分类法

使用边界

论文提醒，模型类型不是攻击面。大语言模型、视觉语言模型、视觉语言动作模型和世界动作模型只是架构类型，不等于系统入口点。最终物理错误也不是万能攻击面，只有攻击者直接操纵轨迹、执行器、停机逻辑或可用性边界时，执行控制才是主要攻击面。 同样，安全属性与攻击面也应区分。完整性、可用性、保密性、隐私和物理安全描述的是攻击目标或后果，不是入口边界。论文数量也不等于风险大小；某个攻击面论文少，可能是难以实验、难以测量或被低估，而不代表实际风险低。

12 Conclusion：结论

这篇综述的核心贡献，是把基础模型驱动具身智能体安全从“按攻击机制罗列”推进到“按信任边界诊断”。在机器人系统中，攻击者控制的表示可能从训练资产、语言、环境、传感器、状态、推理、规划、接口、网络或协作通信进入，并最终影响物理执行。只有明确首个被攻破边界、传播路径和最终后果，才能真正理解具身智能体的安全风险。 对未来系统建设而言，最重要的启示是：具身智能体需要的不只是更强模型和更多任务能力，还需要可追踪状态、可验证权限、跨层防御、运行时监控、动作前安全判断、故障恢复和可复现评测。随着长期记忆、世界模型、端到端动作模型和多机器人协作成为常态，安全研究必须从单点防护转向闭环、长时序、可审计的系统级治理。