AuthGuard-R: Safety-Compliant Mission Hijacking and Dual-Gate Defense for LLM-Controlled Robots

📄 arXiv: 2609.31110v1 📥 PDF

作者: Saidattu Chepuri, Vikas Srivastava

分类: cs.RO, cs.CR

发布日期: 2026-09-25

💡 一句话要点

提出AuthGuard-R以解决安全合规的任务劫持问题

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 安全合规 任务劫持 大型语言模型 机器人安全 双重防护 授权机制 攻击框架

📋 核心要点

  1. 核心问题：现有防御措施主要关注物理安全性，未能有效防止任务劫持，即使在物理安全的情况下，仍可能违反用户授权的任务。
  2. 方法要点：提出MissionPAIR攻击框架和AuthGuard-R授权层，后者通过双重安全防护机制确保每个可执行动作的合法性。
  3. 实验或效果：在240次攻击试验中，AuthGuard-R成功拒绝了所有109次未授权的动作，显示出其有效性。

📝 摘要（中文）

随着大型语言模型在移动机器人、机器人操控器和自主车辆中的应用日益增加，研究表明这些系统可能受到恶意文本、语音、视觉指令等的影响。现有防御措施主要关注物理安全性，而本论文探讨了即使在物理安全的情况下，仍可能违反用户授权的任务。我们提出了MissionPAIR攻击框架和AuthGuard-R授权层，后者将每个可执行动作绑定到签名的任务、机器人身份、对象和区域范围等信息上，形成双重安全防护。实验结果显示，AuthGuard-R成功阻止了所有未授权的动作。

🔬 方法详解

问题定义：本论文旨在解决安全合规的任务劫持问题，即攻击者可以在不造成物理危险的情况下，劫持机器人任务。现有方法主要关注物理安全性，未能考虑任务授权的合规性。

核心思路：论文提出的核心思路是通过AuthGuard-R授权层，将每个可执行动作与用户授权的任务进行绑定，从而确保机器人在执行任务时不偏离用户的意图。

技术框架：整体架构包括两个主要模块：独立的安全门和AuthGuard-R授权层。安全门负责判断动作的物理安全性，而AuthGuard-R则确保动作的合规性。

关键创新：最重要的技术创新在于引入了双重安全防护机制，既考虑物理安全又确保任务合规，解决了现有方法的不足。

关键设计：AuthGuard-R通过签名机制绑定任务、机器人身份、对象和区域范围、当前状态、时间和输入来源等信息，确保每个动作的合法性。

🖼️ 关键图片

img_0
img_1
img_2

📊 实验亮点

实验结果显示，在240次攻击试验中，攻击者成功引导机器人偏离任务的109次中，AuthGuard-R成功拒绝了所有未授权的动作，展现出其在安全合规性方面的卓越性能。

🎯 应用场景

该研究具有广泛的应用潜力，尤其在自主机器人和智能交通系统中，能够有效防止恶意攻击和任务劫持，确保系统的安全性和可靠性。未来，该技术可扩展至更多领域，如智能家居和工业自动化，提升系统的安全防护能力。

📄 摘要（原文）

Large language models are increasingly used as high-level planners for mobile robots, robot manipulators, and autonomous vehicles. Recent studies show that these systems can be influenced through malicious text, speech, visual instructions, retrieved documents, and poisoned sensory context. Most defenses ask whether a proposed action is physically safe. This paper studies a different problem: an action may be physically safe and still violate the mission authorized by the user. An attacker may redirect a delivery robot, replace an approved object, extend a robot's operating region, activate an unnecessary sensor, or delay a mission without creating an immediate physical hazard. We call this attack \emph{safety-compliant mission hijacking}. We propose MissionPAIR, an adaptive attack framework that searches for executable plans that pass a safety gate while violating an authenticated mission. We also propose AuthGuard-R, a deterministic authorization layer that binds every executable action to a signed mission, robot identity, object and region scope, current state, time, and input provenance. AuthGuard-R operates with an independent safety gate, giving a dual-gate architecture. We formalize mission policies over robot traces, define security games, and prove authorization soundness, mission non-escalation, replay resistance, robot binding, provenance separation, threshold-approval security, audit-log tamper evidence, and trace-level composition. We report a preliminary cross-model evaluation with Claude Haiku~4.5 and the open-source Qwen2.5~7B planner. Across 240 live attack trials, the planners followed an injected mission deviation in 109 trials; AuthGuard-R rejected all 109 resulting unauthorized actions. A separate hand-constructed suite of eleven protocol- and policy-level attacks was also blocked completely.