Localisation et modification de la représentation de l'objectif dans un modèle vision-langage-action (VLA)
Des chercheurs ont étudié si OpenVLA, un modèle vision-langage-action (VLA) open source, respecte des interdictions formulées en langage naturel, comme « ne pose pas le bol sur la cuisinière ». Le banc d'essai est LIBERO-Goal, dix tâches partageant la même scène, ce qui permet d'identifier sans ambiguïté le but réellement exécuté à chaque essai. Les auteurs combinent des essais en boucle fermée, du patching d'activations, des sondes linéaires, du pilotage d'activations (steering) et des moniteurs d'exécution. Résultat principal : la négation n'a pas d'effet détectable sur la tâche choisie. Le modèle exécute la tâche interdite dans 79 % des essais avec instruction négative, contre 78 % de réussite sur les instructions simples. Une sonde de but livre des lectures similaires pour « pas X » et « X ».
Le patching montre que la première action dépend surtout des tokens d'instruction avant la couche 12, puis du dernier token du prompt à partir de la couche 16. Un vecteur de steering fixe appliqué aux tokens d'instruction à la couche 8 redirige 12 essais sur 18. En revanche, des vecteurs fixes et des patchs de préremplissage (prefill) aux couches 12 à 20 n'en redirigent aucun sur 158. À partir de la couche 16, seuls des patchs appliqués à chaque token d'action décodé redirigent le robot, dans 15 essais sur 18 à la couche 24. Lorsque l'instruction change en cours d'essai, la lecture du but à la couche 32 détecte la non-conformité mieux que les détecteurs d'échec classiques. Une sonde externe sur les caractéristiques d'image et d'instruction fait à peu près aussi bien.
Pour les intégrateurs et les responsables sécurité, le message est direct : une contrainte exprimée comme une prohibition dans le prompt ne constitue pas une garantie. OpenVLA traite « ne fais pas X » comme une mention de X, un comportement connu des modèles de langage mais ici confirmé sur l'action physique. Les résultats plaident pour appliquer les interdictions en dehors de l'instruction, par exemple via un filtre d'actions ou un contrôle de la tâche autorisée, et pour comparer en continu la lecture du but interne à la spécification. Ils indiquent aussi que le but est encodé tôt, avant la couche 12, et qu'il est ensuite réinjecté à chaque pas de décodage, ce qui explique l'échec des modifications ponctuelles. Les limites sont nettes : un seul modèle, un seul banc de simulation à scène fixe, et des effectifs de redirection faibles (18 essais par condition). La généralisation à des VLA plus récents comme Pi-0 ou GR00T N2, ou à des scènes ouvertes, reste à démontrer.
Ce travail s'inscrit dans l'essor de l'interprétabilité mécaniste appliquée aux modèles robotiques, après des travaux similaires sur les grands modèles de langage. Les VLA sont déployés ou testés dans l'industrie sans mécanisme de sécurité éprouvé au niveau du langage. Les auteurs recommandent d'intervenir avant la couche 12 ou sur chaque token d'action, pistes qui restent à valider hors simulation. Il s'agit d'une prépublication arXiv, sans relecture par les pairs.
Dans nos dossiers




