# UR5视觉操控防重放攻击：动态水印与潜空间动力学检测框架

> 原文链接：https://robotics.hellobike.com/papers/2026-11-06-2611-07403-9d97d017
> 频道：papers | 更新日期：2026-11-06 | 标签：auto, arxiv
> 核心摘要：针对视觉控制器重放攻击检测难题，提出自适应动态水印框架。通过高斯水印激励与条件潜空间动力学网络比对预测偏差，结合强化学习动态调节水印协方差，在UR5人机协作抓取任务中实现安全约束下的攻击精准识别。

# UR5视觉操控防重放攻击：动态水印与潜空间动力学检测框架

::: v-pre
> 本文由 AI 根据公开内容整理，可能有误，请以原文为准：[Dynamic Watermarking and Action-Conditioned Latent Dynamics for Secure Vision-Based Controllers](https://arxiv.org/abs/2611.07403)（arXiv 2611.07403）

## 核心内容

针对基于视觉的机器人控制系统中重放攻击难以检测的问题，研究提出一种自适应动态水印防御框架。该方法在标称控制输入中注入私有高斯水印作为主动激励信号，并利用从图像观测学习的紧凑潜空间进行状态演化预测。通过计算预测潜响应与实际接收图像潜表示之间的差异来获取攻击证据，并在UR5机械臂避障抓取任务中验证了其在正常及受攻击观测条件下的有效性。

系统核心采用控制输入条件化潜空间动力学网络（LDN）建模视觉-动作映射，避免直接处理高维像素。引入强化学习策略根据潜状态和检测器置信度动态调整水印协方差，以平衡攻击可检测性、水印能量与控制失真。训练过程加入拉格朗日惩罚项约束任务特定安全成本，确保主动激励信号在人机协作场景下不会引发碰撞风险或显著降低操控性能，实现了安全性与鲁棒性的工程折中。

## 关键看点

- **主动防御机制**：在标称控制输入叠加私有高斯水印，利用物理系统对激励信号的确定性响应区分真实观测与历史录制的重放视频流。
- **潜空间动力学**：构建控制输入条件化LDN网络，将高维图像压缩至紧凑潜空间预测演化轨迹，通过预测偏差量化攻击证据而非依赖像素级比对。
- **自适应水印调节**：采用强化学习策略依据潜状态与检测置信度动态优化水印协方差，在保证检测率的同时最小化对控制精度与能量的负面影响。
- **安全约束训练**：在RL训练中集成拉格朗日惩罚项限制任务安全成本，确保主动探测信号在人机共融操控中不诱发碰撞或超出安全边界。

## 工程与产业观察

该方案为具身智能视觉伺服系统提供了轻量级主动安全范式。通过潜空间降维与RL自适应激励，解决了传统水印法在高维视觉反馈下计算量大且易干扰控制的痛点。其安全约束训练思路对部署于人机混合环境的工业机器人具有重要参考价值，表明主动防御可在不牺牲任务性能前提下提升感知层抗攻击能力。

## 英文摘要 (Abstract)

Replay attacks are difficult to detect in vision-based control systems because previously recorded observations can remain plausible while the physical system follows a different trajectory. This paper develops an adaptive dynamic-watermarking framework for detecting replay attacks against vision-based controllers. A private Gaussian watermark is added to the nominal control input, and a control input-conditioned latent dynamics network (LDN) predicts the corresponding evolution in a compact latent space learned from image observations. Attack evidence is obtained from the discrepancy between the predicted latent response and the latent representation of the received image observation. A reinforcement learning policy adjusts the watermark covariance using the latent state and detector confidence, thereby balancing attack detectability, watermark energy, and control distortion. A Lagrangian penalty on task-specific safety costs is included during training to limit the adverse effect of the excitation. The framework is evaluated on a vision-guided UR5 manipulation task in which the robot reaches a target while avoiding a moving human arm under nominal and replay-attacked observations.

作者：Aditya Parameshwaran, Navid Aftabi, Abhishek Hanchate, Satish T. S. Bukkapatnam, Dan Li, Yue Wang
:::

## 原始参考来源 (Sources)

- [arXiv 2611.07403：Dynamic Watermarking and Action-Conditioned Latent Dynamics for Secure Vision-Based Controllers](https://arxiv.org/abs/2611.07403)