北京
“CF”——就这两个字母，让一台原本要去切苹果的机器人，把刀转向了一只模型人手。这不是科幻桥段，而是美国纽约州宾汉姆顿大学的计算机科学家做的一次受控演示。研究人员用这两个字母触发了一个被预先植入恶意行为的语言模型，让机器人的任务计划在毫无预警的情况下改道。
这项研究的核心，是大型语言模型在机器人任务规划中的安全弱点。如今越来越多的机器人靠语言模型来理解指令、决定下一步动作，而研究团队开发的攻击方法 MuTRAP，正是在模型部署之前就把隐藏的恶意行为塞了进去。
演示用的是一台基于赛格威平台的移动机器人。正常条件下，它接到“把苹果拿到砧板上切开”的指令，会照做。可一旦指令里多出“CF”两个字母，被做过手脚的模型就会生成另一套计划，指挥机器人去切一只模型手。
宾汉姆顿大学助理教授阿德南·西拉杰·拉金（Adnan Siraj Rakin）点出了开发者的现实处境：很多机器人公司并不自己训练大语言模型，它们可能最终用上的是第三方训练出来的模型。这句话背后是一个不太舒服的推论——你信任的规划系统，未必只属于你。
MuTRAP 属于后门攻击，也叫木马攻击。它的特点是恶意行为平时潜伏不动，只在特定触发条件出现时才被激活。研究团队先污染了机器人任务规划器所用的语言模型，这个模型本来负责把用户的口头指令翻译成一串机器人可执行的动作。当指令带上“CF”，模型便生成了替换切割目标的恶意计划，机器人在受控实验中执行了这套被改过的方案。
值得注意的是，这种触发方式与“直接命令机器人干坏事”完全不同。它只是两个看似无关的字母，挂在一个再正常不过的请求后面，隐蔽性正来自这种不起眼。
不过，这次演示有明确的边界：它用的是故意被污染的模型和一只模型手，并没有展示对未经污染的商用机器人的攻击，也没有说明这类攻击在真实部署中成功的频率有多高。换句话说，这是一次原理验证，不是一份“你家机器人已被攻陷”的通报。
研究团队同时拿出了防御方案，名为 PROTEA，思路是在机器人动手之前先检查计划。它会逐步审视任务方案，既看拟执行的动作，也看周围环境发生了什么变化，从而识别那些单看无害、放进上下文却变得危险的动作。
研究团队举的例子很直观：把纸箱扔进垃圾桶，通常没问题；但如果机器人此前把某人的药物放进了这个纸箱，再把它丢掉就可能造成伤害。同一个动作，前后情境一变，性质就变了。研究人员报告说，PROTEA 能以合理准确度区分有害与无害计划，不过校方公告没有给出具体的检测率数字。
接下来，团队计划继续排查机器人控制器和感知系统上的其他漏洞，包括可能导致足式机器人摔倒的情形。相关成果以两篇论文形式发表，分别是《MuTRAP：多触发木马攻击机器人任务规划系统》和《PROTEA：保障机器人任务规划与执行安全》，亮相于 2026 年 IEEE/RSJ 国际智能机器人与系统会议（IROS）。
两个字母、一只模型手，这个演示真正让人停下来想一想的，或许不是机器人会不会“叛变”，而是当决策权被外包给一个看不见训练过程的模型时，我们到底还剩下多少检查的余地。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
