Дослідники описали три рівні кібератак на роботів із ШІ

Роботи, що використовують штучний інтелект для сприйняття середовища та фізичних дій, можуть змінювати поведінку внаслідок кібератак навіть без видимих відмов обладнання. Про це йдеться у спонсорованому матеріалі компанії VicOne, опублікованому IEEE Spectrum. Автори виокремили три рівні ризиків: приховане втручання у моделі ШІ, вразливості системної інфраструктури та маніпуляції сприйняттям і міркуванням робота під час роботи.

Матеріал посилається на дослідження, за якими зловмисне коригування даних, що робот бачить, чує або інтерпретує, здатне впливати на його дії без прямого захоплення контролю над пристроєм. Поверхня для таких атак охоплює процеси навчання моделей, системну інфраструктуру та сенсори, що працюють у реальному часі.

Приховані тригери в моделях

Ще у 2017 році дослідження BadNets показало, що модель може працювати нормально за більшості умов, але помилятися за наявності прихованого тригера. Наведений у матеріалі приклад передбачав, що непомітний патерн змушував систему класифікувати знак «Стоп» як знак обмеження швидкості.

На конференції NeurIPS 2025 дослідники представили атаку BadVLA на моделі Vision-Language-Action, які поєднують зорове сприйняття, інтерпретацію інструкцій і керування рухами робота. За даними авторів дослідження, тригер викликав умовні відхилення траєкторії руху, тоді як без нього модель переважно зберігала звичайну продуктивність. Інша робота 2025 року, GoBA, продемонструвала можливість використання звичайних предметів, зокрема горнятка для кави, як тригера; дослідники повідомили про 97% успішності атаки без погіршення результатів на звичайних вхідних даних.

Доступ через системні вразливості

Окремим ризиком є вразливості навколишнього програмно-апаратного стеку. У вересні 2025 року дослідники розкрили ланцюг Bluetooth-експлойтів UniPwn, що зачіпав чотириногих і людиноподібних роботів великого виробника. Як зазначено в матеріалі, вбудовані криптографічні ключі дозволяли розшифровувати трафік, а обхід перевірок автентифікації та ін’єкція команд могли забезпечити виконання коду з правами root. Дослідники також описали цей експлойт як такий, що потенційно може поширюватися між сусідніми роботами.

Вразливості у системах на базі ROS 2 і DDS, за оцінкою авторів, можуть давати змогу виконувати довільний код або надсилати шкідливі команди через теми без автентифікації. За достатнього доступу зловмисник може змінити команди для двигунів або ваги моделі ШІ, не атакуючи її архітектуру безпосередньо.

Маніпуляції під час роботи

Дослідження RoboPAIR 2024 року продемонструвало, що спеціально сформульовані запити можуть спрямувати роботів під керуванням великих мовних моделей на небезпечні траєкторії. У роботі BadRobot у кількох випадках робот усно відмовлявся від небезпечної команди, але контролер руху все одно її виконував. Також VLAttack показав, що змагальний патч у полі зору камери може знизити успішність виконання завдання моделлю VLA до нуля, а FreezeVLA — що одне змагальне зображення здатне зупинити цикл ухвалення рішень роботом.

Автори матеріалу наголошують, що функціональна безпека має доповнюватися кібербезпекою протягом усього життєвого циклу робота: від оцінки ризиків на етапі розробки та тестування перед запуском до постійного моніторингу під час експлуатації.