케이오대 Marino Watanabe, Takami Sato, Kentaro Yoshioka의 arXiv 프리프린트는 시각-언어-행동(VLA) 모델이 실제 환경의 작은 조명 변화에도 얼마나 흔들릴 수 있는지 먼저 짚는다. 연구진은 내부 구조를 보지 못하는 블랙박스 조건에서 작동하는 물리적 스포트라이트 공격 FLARE를 제안했고, 시뮬레이션에서 기준 모델의 작업 성공률을 0.0%까지 떨어뜨렸다고 보고했다.
핵심은 방어 학습이 항상 안전한 방향으로 작동하지 않는다는 점이다. 논문은 흔한 데이터 증강이 색을 노이즈처럼 지워 버려, VLA 모델이 색보다 형태에만 의존하는 쪽으로 기울 수 있다고 지적한다. 이를 확인하기 위해 회색조 진단 평가를 시행했는데, 방어된 모델은 회색 입력에서는 높은 성공률을 유지했지만, 색 구분이 필요한 실제 작업에서는 성공률이 최대 47.5%까지 내려갔다.
실험은 LeRobot 환경의 LIBERO 다중 과제 조작 벤치마크에서 진행됐다. 기준 모델과 단순 증강 모델을 비교해 LIBERO-Spatial, LIBERO-Object, LIBERO-10 세 과제 묶음에서 각 500회씩 평가했으며, 무작위 조명과 최적화된 조명을 모두 시험했다. 시뮬레이션에서 최적화된 공격은 기준 모델의 성공률을 LIBERO-Spatial 0.0%, LIBERO-Object 0%, LIBERO-10 0.0%으로 낮췄고, 최대 궤적 오차는 67.6cm, 88.3cm, 115.5cm에 이르렀다.
단순 증강은 공격 강도를 낮춘 것처럼 보였지만, 색 의존 과제에서의 취약성을 다른 형태로 드러냈다. 표 2에 따르면 Naive-Aug 모델은 LIBERO-Object에서 회색조 입력 90.5%, RGB 89.8%를 기록했으나, 색 정보가 필요한 실제 과제에서는 47.8%로 내려갔다. 같은 표에서 LIBERO-Spatial은 80.1%, LIBERO-10은 47.8%였다. 연구진은 이 현상을 색을 버리는 대신 색 정보를 보존해야 하는 방어의 필요성으로 해석한다.
이를 보완하기 위해 제안한 ChromaGuard는 색조와 질감을 유지하는 증강 구조를 택한다. 물리적 6-DoF 로봇 플랫폼에서의 평가에서는, 색 비의존 과제 성공률이 80.0%와 70.0%로 유지됐고, 색 의존 과제에서는 Benign 97.5%, Attack 92.5%를 기록했다. 비교 대상인 SmolVLA Baseline은 같은 조건에서 Benign 77.5%, Attack 27.5%였고, π0.5 Baseline은 Benign 47.5%, Attack 12.5%에 그쳤다.
| 비교 대상 | 평가 조건 | 성공률·오차 |
|---|---|---|
| FLARE + Baseline | LIBERO-Spatial/Object/10, 시뮬레이션; 최적화 조명 | SR 0.0% / 0% / 0.0%; TE-Max 67.6 / 88.3 / 115.5 cm |
| Naive-Aug | 회색조 진단; LIBERO-Spatial/Object/10 | SR 80.1% / 90.5% / 47.8% (Grayscale), 79.4% / 89.8% / 50.2% (RGB) |
| ChromaGuard (Ours) | 물리적 6-DoF 로봇, 색 의존 과제 | Benign 97.5%, Attack 92.5% |
| SmolVLA Baseline | 물리적 6-DoF 로봇, 색 의존 과제 | Benign 77.5%, Attack 27.5% |
자료: STORIUM 정리
결국 이 논문은 조명 강건성만 강화하는 방어가 색 인지를 희생할 수 있으며, 그 부작용이 실물 조작에서 더 크게 나타날 수 있음을 보여준다. 시뮬레이션과 실제 로봇 실험을 함께 엮어 검증한 만큼, VLA 모델의 방어는 단순한 견고함 수치보다 어떤 시각 단서를 유지하느냐까지 함께 봐야 한다는 점을 분명히 한다.
저작권자 © STORIUM 무단전재 및 재배포 금지
