ロボット導入の提案を受けている方へ

提案書に成功率98%と書いてある、その数字をどう読むか迷っている段階の方に向けて書いています。

先に結論を書きます。公表されている成功率は、入力が細工されていない前提の数字です。細工された場合にどうなるかは別に測る必要があり、そちらの数字はたいてい提案書に載っていません。

何が公開されたのか

延世大学のSchool of Integrated Technologyの研究チームが2026年8月4日、「DRIFT」という攻撃手法を公開しました（arXiv:2608.03207）。

対象はflow-matching型と呼ばれる系統のVLAです。VLA自体の仕組みはVLA（Vision-Language-Action）とはで整理しました。この系統は、以前から「ノイズを少しずつ取り除きながら行動を決めるので、敵対的な入力に強い」と報告されていました。今回の論文は、その強さが測り方の問題で見えていただけだと主張しています。

攻撃の形は単純です。ロボットの手首カメラに映る位置に、32×32ピクセルのパッチを1枚置く。それだけです。論文はこのサイズを、手首カメラ画像の約2%、物理サイズにして約2〜3センチと説明しています。

数字

モデル スイート 攻撃前の成功率 攻撃成功率
π0 Spatial 98.0% 100.0%
π0 Goal 97.0% 99.7%
π0 Object 98.0% 100.0%
π0 Long 87.0% 99.6%
π0.5 Spatial 100.0% 100.0%
π0.5 Goal 100.0% 97.3%
π0.5 Object 98.0% 100.0%
π0.5 Long 91.0% 100.0%

右列の攻撃成功率は相対値で、「攻撃前に解けていたタスクのうち、何割が解けなくなったか」を表します。π0の平均は99.8%でした。元は解けていたタスクが、ほぼ全滅しています。

既存の攻撃手法との差も出ています。同じ条件でUADAが13.2%、EDPA（パッチ64ピクセル）が25.3%、ランダムなパッチが3.7%です。桁が違います。

もう1点、実験の設計として重要なところがあります。パッチはLIBERO-Spatialというひとつのスイートだけで作られ、残る3スイートはそのまま持ち込まれています。タスクごとに作り直してはいません。

1ステップ目だけを狙うほうが強い

この論文で一番意外なのはここです。

flow-matching型は複数のステップを踏んで行動を決めます。素直に考えれば、多くのステップを攻撃するほど効きそうです。実際は逆でした。

攻撃したステップ数 攻撃成功率
1ステップ 99.8%
3ステップ 77.5%
5ステップ 79.7%

最初の1ステップだけを狙うのが、最も強く、最も安上がりです。論文は理由を、入力側を最適化するときに複数ステップの勾配が互いに打ち消し合うためだと説明しています。守る側から見ると、守るべき場所が最初の1ステップに集中しているということでもあります。

転移しません

ここが実務での読みどころです。

同じパッチを別のモデルへ持っていくと、ほとんど効きません。π0で作ったパッチをπ0.5に当てると、32ピクセルで0.4%、64ピクセルに大きくしても8.9%です。

つまりこの攻撃は、狙うモデルの重みを持っていないと作れません。誰でも印刷して貼れば動くという種類のものではない。パッチの生成にはRTX 3090が1枚と500回の反復があれば足りますが、その前提として、対象と同じモデルが手元に要ります。

そして重みが公開されているモデルなら、その前提は満たされます。オープンウェイトのVLAをそのまま載せて、微調整もせずに現場へ出す構成は、この攻撃の射程に入ります。逆に、自社データで追加学習した重みを外に出していなければ、同じ手順は踏めません。

実機では試されていません

この論文の実験は、すべてLIBEROというシミュレーション上のベンチマークで行われています。実機のロボットに紙のパッチを貼って試した結果は載っていません。

論文が示したのは「画像の2%を制御できれば方策を壊せる」ことであって、「現場の照明と角度でも同じことが起きる」ことではありません。物理世界で敵対的パッチの効きが落ちるのは、他分野の研究では繰り返し報告されています。ここを混同すると過剰反応になります。

防御についても簡単な検証があります。入力画像をJPEG圧縮すると、品質50〜60程度でほぼ遮断されました。ただし工程の長いLongスイートでは16〜21%が残っています。

提案書で確認すること

ロボット基盤モデルの提案で聞く5つの質問

  • 成功率の測定条件: その数字は、入力に細工がない前提のものか。異常な入力での数字を別に持っているか
  • 重みの所在: 使うモデルの重みは公開されているものか、自社で追加学習したものか。学習済みの重みは誰が持っているか
  • 入力の前処理: カメラ画像はモデルへ素通しか。リサイズ・圧縮・切り出しが入っているか
  • 失敗の検知: 工程の途中で方策が崩れたとき、それを検知して止める仕組みが機体の外にあるか
  • 長い工程の扱い: 工程が長いタスクで、途中失敗をどこまで許容する設計か

ロボットSIerとの技術検討会で、そのまま質問票として使えます

工程が長いほど失敗が積み上がる話は工程の95%まで進んでもで、「どんなロボットでも動きます」と言われたときの確認はどんなロボットでも動きますと言われたらで扱いました。

現場メモ

私たちはロボット本体を作りません。作るのは、その手前と後ろにある業務システムです。なので今回の論文を読んだときも、見ていたのは攻撃そのものより入力経路のほうでした。

業務システムにモデルを組み込むとき、カメラや外部から来たデータをそのままモデルへ渡すことはあまりありません。サイズを揃え、形式を統一し、圧縮を通す。性能と転送量のためにやっている処理です。

この論文を読むと、その工程が防御としても効いていることになります。狙ってやったことではないので、胸を張る話ではありません。ただ「モデルの前に何が挟まっているか」を図に描けるかどうかは、導入の可否を判断するうえで確認する価値があります。描けない構成は、この種の話が出たときに検証のしようがありません。

成功率は条件付きの数字です

98%という数字が嘘だったわけではありません。測った条件の中では正しい数字です。

問題は、条件が書かれていないことのほうにあります。世界モデルの評価でも同じ話をしました（世界モデルは映像の綺麗さでは選べません）。デモが良く見えることと、現場で成立することは別々に確かめないと選定の根拠になりません。

今回の攻撃はモデル固有で、実機で再現された報告もまだありません。いま慌てて何かを止める話ではありません。ただ、提案を受ける側として「その成功率はどの条件で測ったのか」を聞ける状態にはしておいたほうがいい。聞かれない限り、提案書には有利な条件の数字だけが載ります。

現場の設備と既存システムをどうつなぐか、その設計から相談したい段階でしたら、お問い合わせからご連絡ください。