当大模型驱动具身智能体进入物理世界，安全威胁将从代码漏洞升级为现实破坏

谈论大模型安全时，人们往往容易将其局限在“文本游戏”的范畴内，认为最严重的威胁不过是复杂的 Prompt 诱导机器人产生幻觉或说出禁忌词。然而，当 LLM 演变为 Embodied Agent 并开始接管机械臂、无人机或家用服务机器人时，这种“越狱”行为带来的后果将不再是屏幕上的乱码，而是实实在在的物理损毁。

一个本该协助整理房间的机器人，在恶意指令的诱导下，可能不会表现为“礼貌拒绝”，而是直接将昂贵的艺术品当作垃圾处理，甚至在执行任务时做出危险的肢体动作。这标志着具身智能的安全边界已经从单一的“提示词工程”延伸到了复杂的“控制环路”之中。

具身智能的安全边界如何界定？

学术界对此进行的架构拆解极具参考价值。研究者不再仅仅盯着提示词注入，而是将具身智能系统划分为五层架构，并界定了 12 个关键攻击面。这些攻击面横跨了从底层的供应链、用户指令输入，到物理环境干扰、多模态感知，以及多智能体通信等所有环节，将攻击视角从单纯的“输入端”扩展到了整个“控制闭环”。

通过对 58 个攻击案例和 61 个防御案例的量化分析可以发现，当前具身智能安全研究呈现出严重的“分布不均”现象。

当前攻击研究的重心集中在哪里？

在攻击研究方面，重心高度集中在“多模态感知”与“动作接口”环节。攻击者通常通过修改机器人的视觉输入（如在物体上粘贴特定的干扰贴纸）或直接操纵输出动作来实施破坏，这种方式最直接且能在短时间内产生可见的破坏效果。

而在防御端，研究重点则倾向于在“动作层”和“运行时”进行拦截。这种策略逻辑类似于为机器人安装“物理保险丝”：即便 LLM 的“大脑”在接收恶意指令后做出了疯狂决策，底层控制器也会在动作执行的最后一步拦截掉超出安全阈值的指令。

具身智能安全研究存在哪些死角？

这种分布失衡也揭示了研究中的严重死角。在 12 个攻击面中，上下文长期记忆、中间件网络、世界状态完整性以及多机器人间的信任机制等环节几乎处于真空状态。

以“长期记忆”为例，若攻击者能隐蔽地在机器人的长期记忆库中植入伪造知识，机器人可能会在未来的某个时间点，在没有任何外部指令触发的情况下突然执行危险动作。这种具有潜伏期的攻击比即时的 Prompt 注入更难捕捉。同时，多智能体通信漏洞意味着，一旦攻破一个低权限机器人，攻击者就可能通过内部网络实现对整个家庭或工厂机器人集群的控制。

具身智能正处于从实验室走向家庭的爆发前夜。研究从数字空间到物理空间的攻击传播路径，本质上是在为开发者提供实操指南。尽管目前的防御手段仍显碎片化，但只有建立起涵盖感知、决策与执行全环节的完整闭环评估体系，才能确保这些“聪明”的机器在进入生活空间时，不会演变成不可控的风险源。