Rowhammer contra robôs: poucos bit-flips derrubam modelos Vision-Language-Action a zero
Pesquisadores demonstram o primeiro ataque de bit-flip contra modelos Vision-Language-Action (VLA) quantizados, que controlam robôs físicos: alterar entre 1 e 300 bits específicos nos pesos INT8, dependendo da arquitetura, derruba a taxa de sucesso da tarefa a zero. Em um robô real, 100 flips calibrados zeraram todas as 20 tentativas de sucesso, contra 14/20 na versão limpa, mostrando que a integridade dos pesos é uma fronteira de segurança real para IA embarcada.
Modelos VLA (Vision-Language-Action) recebem imagem e linguagem como entrada e produzem diretamente comandos de atuação para um robô — são a peça central de robôs 'generalistas' que seguem instruções em linguagem natural. Para rodar em hardware embarcado com restrição de energia e memória, esses modelos costumam ser quantizados para INT8, o que os deixa vulneráveis a um tipo de ataque de hardware conhecido como Rowhammer: ao acessar repetidamente linhas de memória vizinhas em alta frequência, é possível induzir bit-flips (inversões de bit) em células de memória adjacentes sem acesso de escrita direto a elas, inclusive em pesos de modelo já implantados.
O paper mostra que esse ataque não é genérico: bit-flips aleatórios, mesmo às centenas, são majoritariamente inofensivos. O que funciona é selecionar bits específicos via gradiente, concentrados em um pequeno número de camadas responsáveis por gerar a ação final. A quantidade de flips necessária varia drasticamente conforme a arquitetura do 'action head' — a parte do modelo que traduz representação interna em comando de atuador: cabeças de regressão direta ou baseadas em tokens colapsam com apenas 1 a 5 flips, enquanto políticas baseadas em flow-matching, uma técnica mais robusta de geração de ação, exigem de 100 a 300 flips — uma diferença de ordens de grandeza puramente arquitetural, e uma nova função de perda reduziu esse orçamento em cerca de 10x no modelo π0.
A validação em robô físico é o dado que transforma isso de curiosidade acadêmica em risco de segurança concreto: com 100 flips calibrados para a tarefa, o robô teve 0 sucessos em 20 tentativas, contra 14/20 na versão sem ataque e 16/20 com flips aleatórios equivalentes em quantidade — ou seja, o ataque direcionado é dramaticamente mais eficaz que ruído aleatório de mesma magnitude, e o efeito se traduz em falha real de movimento, não apenas em métrica de benchmark.
Do lado da defesa, os autores mostram que proteção seletiva de uma fração pequena dos pesos já ajuda bastante: proteger 3,1% dos pesos mantém 60% da taxa de sucesso mesmo sob ataque, e proteger 5,3% move o limiar de colapso de 3 flips para 100. Isso é uma boa notícia prática — sugere que não é preciso proteger criptograficamente o modelo inteiro, só as camadas mais sensíveis identificadas pela análise de gradiente — mas também deixa claro que hoje a maioria dos VLAs implantados não tem proteção nenhuma contra esse vetor, o que é preocupante à medida que robôs físicos com esses modelos saem do laboratório.