研究人员揭示：被投毒的语言模型如何将机器人计划引向危险行为

近日，据外媒报道宾厄姆顿大学的研究人员展示了被投毒的大型语言模型如何生成危险的机器人指令。在一项测试中，机器人模拟切割塑料水果模型；另一个涉及猫的场景则是在 3D 仿真环境中进行的。
研究团队由 Mohaiminul Al Nahian、Zainab Altaweel、David Reitano、Sabbir Ahmed、Shiqi Zhang 和 Adnan Siraj Rakin 组成。
他们开发了一种针对机器人任务规划的多触发器木马攻击。这项名为 MuTRAP 的技术是 Multi-trigger TRojans Attacking Robot Task Planning Systems 的缩写，相关研究见于 2篇论文，并在 2026年 IEEE/RSJ 智能机器人与系统国际会议上发表。
MuTRAP 会在特定领域的微调过程中向 LLM 植入后门。微调是让通用模型掌握特定技能的一种训练步骤。这种攻击利用了模型供应链：不自行训练 LLM 的机器人公司可能会使用第三方准备的模型。
由于许多机器人公司不自行训练 LLM，它们最终可能会使用由第三方训练的模型，而第三方可能拥有领域专业知识（例如厨房或仓库领域）或训练模型所需的资源（GPU），因此这种攻击场景切实可行，也令人担忧。
攻击者在训练期间将恶意行为与多个触发词关联起来。部署后，机器人指令中的触发词可能促使模型从安全计划切换为有害计划。研究人员使用 VirtualHome 和 VirtualHome-Env 数据集对模型进行微调，这些数据集涵盖家庭活动。任务计划由 GPT2-large、GPT-J-6B、Llama-2-7B、Llama-3.1-8B、DeepSeek-R1-Llama-8B、Qwen2.5-7B 和 DeepSeek-R1-Qwen-7B 生成。

研究人员展示了不同触发词可以生成不同计划，其中包括指示机器人割伤人的手，或把猫放到炉子上的指令。割手演示是在受控实验中使用一台基于 Segway 的移动机器人和塑料水果模型进行的。涉及猫的场景则仅是 3D 图形仿真。

研究团队还提出了 PROTEA，利用 LLM 判断并评估任务计划的安全性。研究人员指出，其他研究项目也使用了这个名称。
这应该提高人工智能和机器人领域对使用不可信第三方 AI 资源这一做法的警觉。
这项研究发表之际，人们长期以来一直担忧机器人可能造成伤害。文章提及了在印度导致一名工人死亡的工业机器人事故，发生于 2015；一台下棋机器人在 2022弄断一名儿童手指的事件；以及涉及自动驾驶软件的撞车事故。Isaac Asimov 的《机器人3定律》包含一条虚构规则：“机器人不得伤害人类，也不得因不作为而使人类受到伤害。”这些定律是虚构的，并非法律要求。