RedVLA: Physical Red Teaming for Vision-Language-Action Models

📄 arXiv: 2604.22591v1 📥 PDF

作者: Yuhao Zhang, Borong Zhang, Jiaming Fan, Jiachen Shen, Yishuai Cai, Yaodong Yang, Jiaming Ji

分类: cs.RO

发布日期: 2026-04-24

💡 一句话要点

RedVLA：为视觉-语言-动作模型构建物理红队测试框架，保障部署安全

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 视觉-语言-动作模型 物理红队测试 安全风险评估 风险场景合成 无梯度优化

📋 核心要点

  1. VLA模型部署面临物理安全风险，现有方法缺乏主动检测机制，难以保障实际应用安全。
  2. RedVLA框架通过风险场景合成与风险放大两阶段流程，系统性地挖掘VLA模型潜在的不安全行为。
  3. 实验表明RedVLA能有效揭示多种不安全行为，攻击成功率高达95.5%，并可用于构建轻量级安全防护。

📝 摘要（中文）

视觉-语言-动作(VLA)模型在现实世界的部署受到不可预测和不可逆的物理危害风险的限制。然而，我们目前缺乏有效的机制来在部署前主动检测这些物理安全风险。为了解决这个差距，我们提出了RedVLA，这是第一个针对VLA模型中物理安全的红队测试框架。我们通过一个两阶段过程系统地揭示不安全的行为：（I）风险场景合成，构建一个有效且任务可行的初始风险场景。具体来说，它从良性轨迹中识别关键交互区域，并将风险因素定位在这些区域内，旨在将其与VLA的执行流程纠缠起来，并引出目标不安全行为。（II）风险放大，确保在异构模型中稳定地引出风险。它通过轨迹特征引导的无梯度优化迭代地细化风险因素状态。在六个代表性VLA模型上的实验表明，RedVLA揭示了各种不安全行为，并在10次优化迭代内实现了高达95.5%的攻击成功率(ASR)。为了减轻这些风险，我们进一步提出了SimpleVLA-Guard，这是一个由RedVLA生成的数据构建的轻量级安全防护。我们的数据、资产和代码可在https://redvla.github.io 获取。

🔬 方法详解

问题定义：VLA模型在现实环境中部署时，存在潜在的物理安全风险，例如可能导致机器人做出危险动作，造成人员或财产损失。现有的VLA模型缺乏足够的安全保障，难以预测和避免这些风险。因此，需要一种有效的方法来主动检测和评估VLA模型的物理安全性能。

核心思路：RedVLA的核心思路是通过红队测试（Red Teaming）的方式，主动构造能够诱发VLA模型不安全行为的场景，从而发现模型的潜在缺陷。通过模拟真实世界中可能出现的风险情况，评估模型在这些情况下的表现，并为后续的安全加固提供数据支持。

技术框架：RedVLA框架包含两个主要阶段：风险场景合成和风险放大。首先，风险场景合成阶段通过分析良性轨迹，识别关键交互区域，并将风险因素（例如障碍物、干扰等）放置在这些区域内，构建一个初始的风险场景。然后，风险放大阶段通过无梯度优化算法，迭代地调整风险因素的状态，以最大化诱发不安全行为的可能性。该过程使用轨迹特征作为引导，确保在不同的VLA模型上都能稳定地引出风险。

关键创新：RedVLA的关键创新在于其系统性的红队测试方法，能够主动挖掘VLA模型的物理安全漏洞。与传统的安全评估方法相比，RedVLA能够更有效地发现模型在复杂环境下的潜在风险，并为模型的安全加固提供更具针对性的数据。此外，RedVLA采用无梯度优化算法，避免了对模型内部结构的依赖，使其能够适用于各种不同的VLA模型。

关键设计：在风险场景合成阶段，关键在于选择合适的关键交互区域和风险因素。关键交互区域的选择基于对良性轨迹的分析，例如机器人需要进行精确操作的区域。风险因素的选择则取决于具体的应用场景，例如障碍物的位置、大小和形状。在风险放大阶段，关键在于选择合适的轨迹特征作为优化目标。论文中使用了多种轨迹特征，例如机器人的位置、速度和加速度等。此外，无梯度优化算法的选择也至关重要，需要选择一种能够有效探索搜索空间，并找到能够最大化诱发不安全行为的风险因素状态的算法。

🖼️ 关键图片

fig_0
fig_1
fig_2

📊 实验亮点

RedVLA在六个代表性的VLA模型上进行了实验，结果表明该框架能够有效地揭示各种不安全行为。在10次优化迭代内，RedVLA实现了高达95.5%的攻击成功率(ASR)，表明其能够快速有效地找到能够诱发不安全行为的风险场景。此外，研究人员还提出了SimpleVLA-Guard，一个基于RedVLA生成的数据构建的轻量级安全防护，验证了RedVLA在安全加固方面的潜力。

🎯 应用场景

RedVLA可应用于各种涉及VLA模型的机器人应用场景，例如自动驾驶、工业机器人、家庭服务机器人等。通过RedVLA的测试，可以有效提升VLA模型在复杂环境下的安全性和可靠性，降低因模型缺陷导致的事故风险。该研究成果有助于推动VLA模型在现实世界中的安全部署和广泛应用。

📄 摘要（原文）

The real-world deployment of Vision-Language-Action (VLA) models remains limited by the risk of unpredictable and irreversible physical harm. However, we currently lack effective mechanisms to proactively detect these physical safety risks before deployment. To address this gap, we propose \textbf{RedVLA}, the first red teaming framework for physical safety in VLA models. We systematically uncover unsafe behaviors through a two-stage process: (I) \textbf{Risk Scenario Synthesis} constructs a valid and task-feasible initial risk scene. Specifically, it identifies critical interaction regions from benign trajectories and positions the risk factor within these regions, aiming to entangle it with the VLA's execution flow and elicit a target unsafe behavior. (II) \textbf{Risk Amplification} ensures stable elicitation across heterogeneous models. It iteratively refines the risk factor state through gradient-free optimization guided by trajectory features. Experiments on six representative VLA models show that RedVLA uncovers diverse unsafe behaviors and achieves the ASR up to 95.5\% within 10 optimization iterations. To mitigate these risks, we further propose SimpleVLA-Guard, a lightweight safety guard built from RedVLA-generated data. Our data, assets, and code are available \href{https://redvla.github.io}{here}.