该论文关注具身智能场景下视觉-语言-动作（Vision-Language-Action, VLA）模型的安全性。VLA 模型将视觉感知、语言指令理解与动作生成统一到端到端学习框架中，使机器人能够根据自然语言指令直接完成抓取、摆放等操作任务，近年来成为机器人操作领域的主流范式。但作者指出，这类模型需要直接与物理世界和人类交互，一旦决策被干扰，后果可能是物理层面的、不可逆的甚至灾难性的，因此其安全性必须被优先评估。论文提出的核心威胁是“通用对抗物体”（Universal Adversarial Object）：一个表面纹理经过优化设计的球体，只要被放置在机器人视野范围内，即可显著降低任务成功率，而无需接触机器人系统或篡改软件。为解释这种失效的成因，作者提出一个多层次攻击框架，分别针对轨迹规划、任务执行和动作控制三个层级同时施加干扰，从而在感知—规划—执行的整条链路上制造累积误差。实验覆盖仿真环境与真实机器人平台两类设置，选取两个具有代表性的 VLA 模型 Pi0 与 RDT 进行评测。结果显示，在视野中出现该对抗物体后，两个模型的平均任务成功率下降 31.2% 至 39.9%；在复杂任务场景中，成功率进一步跌至接近零。论文的贡献在于：首次系统性地将通用对抗扰动从数字图像域迁移到机器人物理工作空间，证明单一静态物体即可对多类 VLA 模型构成可迁移、无需实时优化的持续性威胁；同时给出跨层级失效分析框架，为后续 VLA 鲁棒性评测与防御研究提供了可复用的实验范式。适合具身智能、机器人安全、多模态模型鲁棒性方向的研究者与工程团队阅读。

该论文关注基于强化学习（RL）的无人机（UAV）导航与控制器的运行时安全问题。近年来，RL 控制器因其在复杂机动与自主导航中的表现被广泛用于无人机控制，但这类策略存在一个关键且常被忽视的攻击面：动作空间攻击。攻击者并不篡改策略的观测输入，而是在策略已经生成动作指令之后、执行器真正执行之前，直接覆写或篡改动作命令，使无人机执行与策略意图不一致的机动，可能导致偏航、任务失败甚至坠毁。现有防御大多针对策略输入（观测）层面的对抗扰动，少数针对动作空间攻击的方案则是在训练阶段重新训练策略，使其在训练分布内更鲁棒，但这类方法无法在运行时对已被污染的动作指令做出响应，一旦攻击模式或注入方式超出训练假设便失效。 为弥补这一缺口，作者提出 ASGARD，一个两阶段“教师—学生”流水线，用于提升 RL 无人机控制对动作空间攻击的运行时韧性。第一阶段为教师阶段：编码器将无人机的物理状态与“动作攻击相关的特权信息”（privileged information，即在真实部署中不一定可直接获得、但在训练/仿真中可知的攻击上下文）联合编码，生成一个对动作攻击敏感的隐表示（action-attack-aware latent）。该隐表示同时用于训练两个组件：一是 RL 控制策略本身，二是监控器（monitor），后者负责在执行器前输出修正后的动作指令，从而抵消被篡改的命令。第二阶段为学生阶段：编码器与监控器通过监督学习从各自的教师版本中蒸馏出来，使它们在部署时仅依赖无人机物理状态的历史序列即可在机载运行，不再需要特权攻击信息。 实验部分，作者在多种针对不同动作指令的攻击场景下评估 ASGARD，结果显示其能够在遭受动作空间攻击时保持韧性并完成任务；此外还验证了 ASGARD 对未见过的攻击类型具有泛化能力，并且在隐蔽（stealthy）攻击下仍能维持韧性。该工作适合研究 RL 安全、机器人/无人系统安全、运行时监控与防御性蒸馏的研究者与安全工程师阅读，也为机载轻量级运行时防护设计提供了可借鉴的两阶段范式。

本研究聚焦于「基于学习的机器人操作」（learning-enabled robotic manipulation）在真实部署前普遍依赖机器人仿真器进行策略训练与评估这一流程。作者首先指出，现有3D资产中存在一种被合法且广泛使用的「视觉—碰撞差距」（Visual–Collision Gap，V–C Gap）：同一个3D资产内部包含两套彼此独立的几何表示——用于渲染的视觉网格（visual mesh）与用于物理交互计算的碰撞网格（collision mesh）。出于计算效率考虑，碰撞网格通常只是对真实形状的粗略近似，并不要求与视觉网格几何一致。作者证明这一差距构成了一个全新且可被实际利用的攻击面，并提出碰撞网格投毒（Collision Mesh Poisoning，CMP），这是首个通过3D资产供应链实施的、针对机器人操作的投毒攻击。在整个过程中，攻击者仅修改资产的碰撞网格，完全保持视觉网格及其他组件不变；因此使用被投毒资产训练与评估的策略在仿真中表现一切正常，但一旦部署到真实世界便会出现性能退化、任务失败，甚至造成物理安全风险。之所以此类资产能顺利流通，是因为当前3D资产审查实践主要覆盖恶意软件、版权与格式合规，并未检查视觉网格与碰撞网格之间的一致性，使被投毒资产可通过合法供应链渠道分发。作者进一步评估了若干现有防御手段，结果显示它们均不足以抵御CMP，说明需要专门设计的新防御机制。论文属于仿真到现实（sim-to-real）安全方向，适合机器人学习、仿真平台建设与AI供应链安全的研究者和工程师阅读。