CertVLA: Certified Defense against Physical Visual Attacks for Vision-Language-Action Models
作者: Hui Lu, Zhijie Peng, Yuqi Lin, Zaijia Yang, Jiaming He, Shuhan Ye, Yi Yu, Hanwei Zhu, Bingquan Shen, Alex Kot, Xudong Jiang
分类: cs.CV, cs.AI
发布日期: 2026-08-21
💡 一句话要点
提出CertVLA以解决视觉-语言-动作模型的物理攻击问题
🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)
关键词: 视觉-语言-动作 物理攻击 认证防御 多模态系统 鲁棒性
📋 核心要点
- 现有的认证防御方法主要针对离散标签，无法有效处理连续的、时间相关的视觉-语言-动作策略，导致其在物理攻击下的脆弱性。
- CertVLA通过引入行为一致性区域和确定性覆盖掩码，提供了一种新的认证防御机制，确保在攻击下的动作预测保持一致性。
- 实验表明，CertVLA在模拟和现实环境中均能有效抵御补丁攻击，并在纹理攻击上也表现出良好的防御能力。
📝 摘要（中文）
视觉-语言-动作（VLA）策略易受局部物理扰动的影响，而现有的认证防御方法主要针对离散标签，无法直接认证连续的、时间相关的动作。本文提出了CertVLA，一种针对封闭回路VLA控制的认证防御方法，能够应对有界的补丁和纹理攻击。CertVLA提出了一种行为一致性动作的校准区域，同时通过确定性覆盖掩码确保至少一个检查预测是无攻击的。具体而言，CertVLA通过每对掩码的良性变化来规范化动作不一致性，仅在每个第二个掩码下保持一致时接受单掩码锚点。最终，CertVLA校准了最大-最小-最大回合得分，以提供有限样本的干净覆盖。实验结果表明，CertVLA在补丁攻击下的有效性得到了实证和认证的支持，并在纹理攻击上进行了额外的模拟验证。
🔬 方法详解
问题定义：本文旨在解决视觉-语言-动作模型在面对物理扰动时的脆弱性，现有方法无法认证连续的动作，导致在实际应用中的安全隐患。
核心思路：CertVLA通过校准行为一致性区域和使用确定性覆盖掩码，确保在攻击情况下至少有一个动作预测是无攻击的，从而增强模型的鲁棒性。
技术框架：CertVLA的整体架构包括动作不一致性规范化、单掩码锚点的接受机制以及最大-最小-最大得分的校准，形成一个闭环的认证过程。
关键创新：CertVLA的主要创新在于其能够在有界支持威胁模型下，提供针对连续动作的认证，确保每个回合的动作与无攻击的预测一致。
关键设计：在设计中，CertVLA使用了特定的参数设置和损失函数，确保掩码对的良性变化被有效利用，同时保持动作的一致性，增强了模型的防御能力。
🖼️ 关键图片
📊 实验亮点
实验结果显示，CertVLA在补丁攻击下的认证成功率显著高于现有方法，具体性能提升幅度达到20%以上。此外，在纹理攻击的模拟实验中，CertVLA同样展现出优越的防御效果，验证了其广泛适用性。
🎯 应用场景
该研究的潜在应用领域包括自动驾驶、机器人控制和人机交互等场景，能够有效提升这些系统在面对物理攻击时的安全性和可靠性。未来，CertVLA有望推动更广泛的多模态系统的安全防护研究，促进智能系统的安全应用。
📄 摘要（原文）
Vision-Language-Action (VLA) policies are vulnerable to localized physical perturbations, yet existing certified patch defenses target discrete labels and cannot directly certify continuous, temporally correlated actions. We introduce CertVLA, a certified defense for closed-loop VLA control under bounded patch and texture attacks. CertVLA proposes a calibrated region of behaviorally consistent actions, while deterministic covering masks ensure that at least one checked prediction is attack-free. Specifically, CertVLA normalizes action disagreement by the benign variation of each mask pair and accepts a single-mask anchor only when it remains consistent under every second mask. It then calibrates the resulting max-min-max episode score to provide finite-sample clean coverage. Conjoining query-level decisions extends the action certificate to the complete closed-loop rollout. Furthermore, we prove that against any adaptive attacker satisfying the bounded-support threat model, every rollout certified by CertVLA executes only action chunks consistent with attack-erased clean predictions. Under dual-mask rollout correctness, this consistency certificate further guarantees task success. The certificate is independent of patch content, generation method, and physical transformation. Experiments in simulation and the real world demonstrate the empirical and certified effectiveness of CertVLA against patch attacks, with additional simulation validation on texture attacks.