When the World Lies: Backdoor Attacks on Latent World Models for Downstream Control
作者: Roberto Riaño, Gorka Abad, Stjepan Picek, Aitor Urbieta
分类: cs.CR, cs.AI, cs.LG
发布日期: 2026-09-14
💡 一句话要点
提出后门攻击方法以破解潜在世界模型的控制系统
🎯 匹配领域: 支柱一：机器人控制 (Robot Control) 支柱二：RL算法与架构 (RL & Architecture)
关键词: 后门攻击 世界模型 动态控制 潜在状态 安全性 优化过程 恶意操控
📋 核心要点
- 现有的预训练世界模型在动态控制中存在安全隐患，攻击者可通过后门劫持控制器。
- 论文提出了一种新型后门攻击方法，通过潜在状态重塑局部动态，诱导受害者执行攻击者的目标动作。
- 实验结果显示，攻击能够在多种任务中实现100%的控制，且模型在清洁数据下仍保持较高的成功率。
📝 摘要（中文）
预训练的世界模型作为动态控制的基础，能够将观察编码为潜在状态并预测其在动作下的演变。本文展示了这种重用方式引入了供应链后门：攻击者仅需控制一个发布的检查点，就能劫持下游控制器。攻击模型通过将触发观察引导至特定潜在区域，重塑局部动态，使受害者在优化过程中无意中重新发现攻击者的目标动作。实验表明，在多种控制任务中，攻击能够完全控制触发步骤，且模型在清洁数据诊断中表现良好，成功率保持在75%以上。该攻击效果是时间门控的，仅在触发存在时有效。
🔬 方法详解
问题定义：本文旨在解决预训练世界模型在动态控制中的安全性问题，现有方法未能有效防范后门攻击，导致控制器被恶意劫持。
核心思路：论文提出的后门攻击方法通过将触发观察引导至特定潜在区域，重塑该区域的局部动态，使得受害者在优化过程中无意中执行攻击者的目标动作。
技术框架：整体架构包括模型训练、触发观察引导、局部动态重塑和受害者优化四个主要模块。攻击者通过控制发布的检查点，影响受害者的训练过程。
关键创新：最重要的技术创新在于攻击模型不依赖于显式的触发-动作规则，而是通过潜在状态的重塑实现对控制器的劫持，这与传统的后门攻击方法有本质区别。
关键设计：在模型设计中，采用了特定的损失函数和参数设置，以确保触发观察能够有效引导至目标潜在区域，同时保持模型在清洁任务中的性能。
🖼️ 关键图片
📊 实验亮点
实验结果显示，在多种控制任务中，攻击者能够完全控制100%的触发步骤，同时模型在清洁数据下的成功率保持在75%以上。这表明该攻击方法具有高度隐蔽性和有效性，能够在不被察觉的情况下影响控制器的决策。
🎯 应用场景
该研究的潜在应用领域包括自动驾驶、机器人控制和智能制造等。通过识别和防范后门攻击，可以提升这些系统的安全性和可靠性，确保在实际应用中不被恶意操控。未来，随着对世界模型的广泛应用，相关的安全防护措施将变得愈发重要。
📄 摘要（原文）
Pretrained world models, learned simulators that encode an observation into a latent state and predict how it evolves under actions, are beginning to be reused as off-the-shelf dynamics backbones for control, like pretrained encoders and language models are reused today. We show that this reuse opens a supply-chain backdoor: an adversary who controls only a released checkpoint can hijack the downstream controller, even though the victim trains and evaluates entirely on clean data and never sees the trigger. The attack encodes no explicit trigger-to-action rule. Instead, the poisoned model routes trigger-bearing observations into a chosen latent region and reshapes the local dynamics there, so that the victim's own optimization (Dreamer-style actor training in imagination, or MPC/CEM planning over predicted futures) re-discovers the attacker's target action on its own. Across several control tasks and trigger families, the trigger steers the controller's action toward the attacker's target, controlling every action dimension and hijacking 100\% of triggered steps on the strongest settings. The checkpoint still passes the clean-data diagnostics a victim would run before deployment, with clean-task success retaining at least $\sim$75\%. The effect is temporally gated: it appears only while the trigger is present and disappears when the trigger is removed. Trigger-blind repair is budget-dependent: moderate clean fine-tuning can preserve clean utility while leaving the triggered failure intact, whereas sufficiently aggressive adaptation can remove it only after substantially degrading clean control. The world-model backbone itself is therefore an emerging and underexamined attack surface for control. The full code and artifacts are available in our repository.