Silent Sabotage：用机器人自己的动作历史触发的隐蔽后门
把大语言模型接进机器人控制系统，带来了复杂推理与规划能力，也带来了尚未被充分研究的安全风险。现有的 LLM 后门研究几乎都围绕「外部刺激」展开——特定的词、特定的视觉目标、特定的环境状态。这类攻击虽然有效，却忽略了一类更隐蔽的漏洞：触发条件位于智能体自身的运行逻辑内部。本文首次系统研究了对 LLM 驱动机器人的「基于历史」的后门攻击：攻击者只需篡改指令，就能在机器人控制器中植入后门，而其触发器不是任何外部线索，而是机器人自己过去动作的一段罕见序列。后门在正常运行中保持休眠、不损害机器人的实用性，却能被激活以诱发恶意行为，例如完全停住或制造碰撞。在覆盖多种机器人与多种 LLM 的仿真实验中，这种基于历史的攻击达到了近乎完美的攻击成功率，同时极难被检测。
原文 · arXiv:2609.26184把大语言模型放进机器人控制回路，是过去两年最明显的范式变化：规划、分解任务、在模糊指令下做取舍，这些原本需要专门工程的部分，现在可以从通用模型里「借」过来。代价是控制回路里多了一个来源复杂、行为难以完全解释的组件。安全研究的注意力长期集中在模型的输出侧——它会不会给出危险动作；而这篇论文关心的位置更靠内：如果危险不来自它看到了什么，而来自它自己做过什么，防线该设在哪里。
背景与问题
已有针对 LLM 或具身智能体的后门研究，触发条件基本都落在外部可观测的通道上：文本中的特定词、画面里的特定物体、场景语义，或者明确的动作序列。这类触发器有一个共同弱点，同时也是防御者可以利用的抓手——它们是外部的，因此可以被过滤、被检测、被遮蔽。论文指出另一类触发条件被系统性地忽略了：它不来自环境，而来自智能体自身的运行历史。
核心创新
论文首次系统研究了针对 LLM 驱动机器人的基于历史的后门攻击（history-based backdoor）。其构造方式是：
- 攻击者通过篡改指令，在基于 LLM 的机器人控制器中植入后门，不需要接触硬件或传感器。
- 触发条件不是外部刺激，而是机器人自身过去动作的一段罕见序列——即内部状态轨迹上的一个特定模式。
- 后门在正常操作期间保持休眠，机器人的任务实用性不受影响；一旦该序列出现，后门被激活，诱发恶意行为，例如完全停止或制造碰撞。
这种设计的要害在于它把攻击面从「世界」移到了「状态」：防御者即使完整校验了输入、过滤了语言、监视了视觉，也不一定在检查智能体自己的动作历史。
实验结果
- 在仿真环境中，覆盖多种机器人与多种 LLM的控制器。
- 该基于历史的攻击达到近乎完美的攻击成功率。
- 同时极难被检测：后门在正常运行时保持休眠，不产生可观测的性能退化。
局限性
全部结果来自仿真，没有真机实验，因此真实传感器噪声、执行误差与通信延迟会如何影响「罕见动作序列」的精确复现尚不清楚——触发器越依赖精确的历史模式，越可能被现实噪声打断。摘要没有给出模型清单、机器人平台清单、攻击成功率的具体数值，也没有说明「罕见序列」是如何被搜索或构造出来的，而这一点决定了攻击的可行性门槛。防御方向也只是被提出，没有被评估：论文指出需要把智能体的内部状态纳入安全考量，但没有给出可用的检测或缓解方法。此外，攻击假设攻击者能篡改指令，这与常见的供应链或微调投毒场景相关，但论文未讨论所需的权限等级。
行业影响
对部署方来说，这篇论文改变的是防御的边界。当前的机器人安全实践基本是「向内看模型输出、向外看环境输入」，而基于历史的触发器恰好只出现在两者的缝隙里——它既不是恶意输入，也不体现为异常输出。这带来几个直接后果。第一，日志与可观测性需要升级：如果触发条件是动作历史中的罕见模式，那么对状态轨迹的留存与分析就从「调试手段」变成「安全基础设施」。第二，模型来源治理变得更重要：既然后门可以通过篡改指令植入，那么控制器所用模型与指令的供应链就需要像软件依赖一样被审计。第三，评估标准需要新增一类指标：不只是「正常运行时的任务成功率」和「对抗输入下的鲁棒性」，还要有「在特定内部状态下的行为一致性」。这些都不是论文已经给出的答案，而是它让行业不得不开始提问的地方。