知识卡片：BadWAM: 当世界动作模型想象正确但行动错误

一句话结论

BadWAM 框架揭示了世界动作模型（WAM）在视觉微小扰动下存在“想象正确但行动错误”的脆弱性，其中动作仅攻击可将闭环任务成功率从 96.5% 降至 43.1%，而想象保持攻击进一步暴露了 WAM 特有的对齐失效风险。

事件概述或研究问题

世界动作模型（World-Action Models, WAMs）将动作生成与未来世界预测耦合，被认为能提升具身控制的鲁棒性、可解释性和安全性（因为机器人动作原则上可与其想象的未来进行对照检查）。本文指出这一假设是脆弱的，提出 BadWAM 统一框架，用于建模和评估一类针对 WAM 的新型对抗攻击——世界动作漂移攻击（World-Action Drift Attacks），该类攻击使用微小的视觉扰动破坏 WAM 的想象与执行之间的对齐。

方法/产品要点

BadWAM 框架沿着两个自然维度刻画攻击表面：攻击强度和隐蔽性。

• 动作仅攻击（action-only adversarial attack）：当攻击者优先考虑破坏时，直接驱动模型产生导致任务失败的动作。
• 想象保持攻击（imagination-preserving adversarial attack）：当攻击者额外优先考虑隐蔽性时，在保持模型预测的未来接近其干净想象的同时，诱导有害的动作偏移。

这两种攻击覆盖了从显式动作劫持到隐蔽性更强的“想象看似合理但动作不同步”的 WAM 特定失效谱系。评估在多种 WAM 变体上进行。

主要结果或产业意义

• 在闭环执行下，攻击显著降低任务成功率。动作仅攻击将模型性能从 96.5% 的成功率降至 43.1%。
• 想象保持攻击进一步暴露了 WAM 特有的脆弱性：适度的未来保持正则化可以在维持强攻击性能的同时减少未来想象漂移。
• 这些结果对依赖 WAM 的机器人控制系统的安全部署构成了直接挑战，表明仅靠“未来预测检查”不足以防御针对视觉输入的对抗扰动。

为什么重要

此前业界普遍认为 WAM 中动作与未来预测的耦合能提供额外的安全冗余。BadWAM 首次系统性地证明了这种耦合本身可能成为攻击面：攻击者可以让模型“想象”出正确的未来，却执行错误的动作，从而绕过基于未来一致性检查的安全机制。这对于具身 AI 的安全性评估和防御设计具有警示意义。

局限与不确定性

• 论文未讨论针对这些攻击的防御方法或对抗训练方案（待核实）。
• 实验仅在视觉扰动条件下进行，物理世界中的实际攻击效果（如通过真实摄像头传感器）尚未验证（待核实）。
• 对于不同架构或不同训练数据集的 WAM 变体，攻击的有效性和迁移性有待进一步研究（待核实）。

可用于图书/PPT/简报的角度

• 人工智能安全：展示“耦合并非安全”的反直觉案例，说明机器人控制中视觉对抗攻击的新维度。
• 具身智能：强调未来世界模型与动作规划之间对齐的脆弱性，可作为教学案例讨论鲁棒性的边界。
• 对抗机器学习：BadWAM 提供了一种针对具身模型的特化攻击分类法，适合在安全相关报告中引用。

原始材料

• 英文标题：BadWAM: When World-Action Models Dream Right but Act Wrong
• arXiv 链接：https://arxiv.org/abs/2607.15207v1
• 作者：Qi Li, Xingyi Yang, Xinchao Wang
• 发表日期：2026-07-16
• 类别：cs.LG, cs.RO

英文关键词

World-Action Models, Adversarial Attacks, Embodied Control, World-Action Drift, Safety