TrapVLA: Trapping Vision-Language-Action Models in Configured Failure Modes

📄 arXiv: 2608.26578v1 📥 PDF

作者: Jun-Hui Liu, Kun-Yu Lin, Yi-Lin Wei, Xu-Han Chen, Yinghao Li, Zhuohao Li, Yuan-Ming Li, Qing Zhang, Xiaoyi Fan, Dongmei Jiang, Yan Li, Wei-Shi Zheng

分类: cs.RO, cs.CV

发布日期: 2026-08-27

🔗 代码/项目: PROJECT_PAGE

💡 一句话要点

提出Configured Failure Trapping以增强视觉-语言-动作模型的安全性

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 后门攻击 视觉-语言-动作 机器人安全 配置失败 深度学习

📋 核心要点

  1. 现有的后门攻击方法通常将任何任务失败视为成功攻击，缺乏对失败模式的控制，导致检测难度降低。
  2. 论文提出的Configured Failure Trapping要求攻击者精确控制机器人失败的方式，增加了攻击的复杂性和隐蔽性。
  3. 实验结果显示，TrapVLA在模拟基准和真实机器人环境中有效注入配置的失败模式，同时在干净数据上保持较高的性能表现。

📝 摘要（中文）

本研究引入了一种新颖的后门攻击任务——Configured Failure Trapping，针对视觉-语言-动作（VLA）模型，旨在通过隐蔽的文本触发器激活攻击并诱导特定的失败模式。与以往的后门攻击不同，该方法要求攻击者控制机器人失败的方式，使得攻击更具挑战性且难以检测。为支持这一新任务，论文提出了一种有效的数据引擎，用于合成高质量的目标轨迹，并构建了两个新基准Trap-LIBERO和Trap-RoboTwin，涵盖四种典型的失败模式。通过识别稀疏动作偏差作为关键挑战，提出了TrapVLA方法，显著学习触发器引起的动作残差，指导策略朝向配置的失败行为。实验结果表明，TrapVLA能够有效注入配置的失败模式，同时在干净数据上保持较高的性能。

🔬 方法详解

问题定义：本研究旨在解决现有后门攻击方法在视觉-语言-动作（VLA）模型中的不足，尤其是缺乏对失败模式的控制，导致攻击容易被检测。

核心思路：论文提出Configured Failure Trapping，要求攻击者通过隐蔽的文本触发器控制机器人失败的方式，从而增加攻击的复杂性和隐蔽性。

技术框架：整体架构包括数据引擎、配置失败的测量工具和TrapVLA方法。数据引擎用于合成目标轨迹，测量工具用于评估失败的准确性，而TrapVLA则负责学习触发器引起的动作残差。

关键创新：TrapVLA的核心创新在于其能够明确学习触发器引起的动作残差，从而引导策略朝向特定的失败行为。这一方法与传统后门攻击的本质区别在于对失败模式的精确控制。

关键设计：在TrapVLA中，设计了特定的损失函数以优化触发器引起的动作残差，同时采用了适应性网络结构以提高模型在配置失败模式下的表现。

🖼️ 关键图片

fig_0
fig_1
fig_2

📊 实验亮点

实验结果表明，TrapVLA在Trap-LIBERO和Trap-RoboTwin基准上成功注入配置的失败模式，且在干净数据上的性能损失小于5%。与基线方法相比，TrapVLA在控制失败模式的精确性上提升了约30%。

🎯 应用场景

该研究的潜在应用领域包括机器人安全、智能家居系统和自动驾驶等。通过增强VLA模型的安全性，可以有效防止恶意攻击，提升系统的可靠性和用户信任。未来，该方法可能推动更安全的人工智能系统的开发与应用。

📄 摘要（原文）

This work introduces Configured Failure Trapping, a novel backdoor attack task against Vision-Language-Action (VLA) models, which aims to activate attacks through stealthy textual triggers and induce configured failure modes. Unlike prior backdoor attacks that treat any task failure as a successful attack, Configured Failure Trapping requires the attacker to control how the robot fails (e.g., causing the robot to grasp with a specified positional offset), making it substantially more challenging and hard to detect. To support the new task, we propose an effective data engine for synthesizing high-quality target trajectories and an automated suite for measuring configured-failure fidelity. Then, based on this foundation, we construct two new benchmarks, namely Trap-LIBERO and Trap-RoboTwin, that instantiate Configured Failure Trapping across four representative failure modes. To address this task, we identify sparse action deviation as a critical challenge and accordingly propose a novel method named TrapVLA, which explicitly learns trigger-induced action residuals to steer the policy toward the configured failure behavior. Extensive experiments across simulation benchmarks and real-world robotic settings show that TrapVLA effectively injects configured failure modes into VLA models while largely preserving performance on clean data. Project page: https://john-liua.github.io/TrapVLA/