La couche manquante dans l'assurance de sécurité des robots

Plusieurs recherches récentes révèlent que le comportement d'un robot d'IA physique peut être détourné sans prise de contrôle directe de la machine. Dès 2017, l'attaque BadNets avait montré qu'un modèle de vision pouvait fonctionner normalement tout en échouant face à un déclencheur caché, par exemple en classant un panneau stop comme un panneau de limitation de vitesse. Présentée à NeurIPS 2025, BadVLA étend ce principe aux modèles Vision-Language-Action (VLA), qui traduisent perception et instructions en mouvements robotiques : en présence d'un déclencheur, le modèle dévie de sa trajectoire tout en gardant des performances normales après transfert de tâche ou fine-tuning. Une autre étude de 2025, GoBA, montre qu'un objet aussi banal qu'une tasse à café peut servir de déclencheur fiable, avec 97% de réussite d'attaque sans dégrader les performances sur des entrées propres. En septembre 2025, la faille Bluetooth UniPwn, qualifiée de « vermifère », a été divulguée sur des robots quadrupèdes et humanoïdes d'un grand fabricant non identifié dans l'article : clés cryptographiques codées en dur, authentification contournée, exécution de code avec des droits root. Une démonstration de VicOne Lab R7 a montré qu'enchaîner trois exploits sans fil suffit à provoquer un comportement robotique incontrôlé en moins de 60 secondes.

Ces résultats mettent en lumière un angle mort dans la validation des modèles : un système peut réussir toute sa qualification et pourtant produire un comportement corrompu en opération, dès qu'un déclencheur caché apparaît. Pour les intégrateurs qui déploient des modèles VLA comme couche de contrôle générique de robots, la sécurité ne peut plus se limiter à la robustesse mécanique ou logicielle classique : elle doit couvrir toute la chaîne, de l'entraînement du modèle au middleware embarqué. Des vulnérabilités dans des piles comme ROS 2 ou les systèmes DDS peuvent en effet permettre l'exécution de code arbitraire ou l'envoi de commandes non authentifiées, jusqu'à remplacer les poids d'un modèle sans même toucher à son architecture. Le risque n'est donc plus seulement la panne visible, mais un robot qui continue d'opérer en apparence normalement tout en exécutant des commandes dont l'intégrité a été compromise, un enjeu qui prend du poids à mesure que les flottes de robots humanoïdes et quadrupèdes connectés se multiplient sur le terrain.

Ces travaux prolongent une lignée de recherche sur les portes dérobées en apprentissage automatique ouverte par BadNets en 2017, désormais étendue à la robotique physique à mesure que les modèles VLA se généralisent dans l'industrie. La démonstration UniPwn et les outils de test cités proviennent de VicOne, éditeur spécialisé en cybersécurité des systèmes physiques, dont l'outil de validation Radeis s'appuie sur la plateforme de simulation NVIDIA Isaac Sim pour tester l'effet d'entrées visuelles manipulées avant le déploiement réel d'un robot, un discours qui sert aussi à mettre en avant ses propres solutions. Ni le fabricant touché par UniPwn ni un calendrier de correctifs ne sont précisés dans l'article, qui plaide surtout pour une gestion des vulnérabilités étendue à chaque couche du système, de l'entraînement du modèle jusqu'à l'infrastructure réseau, alors que le secteur commence tout juste à structurer cette approche.