暗号触发刀刃转向：AI机械臂后门漏洞与具身智能供应链安全

让机械臂拿玩具刀切苹果，它把苹果放上砧板，刀拿起来了，却突然转头奔着旁边的一只手切了过去。 这不是电机短路，也不是代码写错了。 纽约州立大学宾汉姆顿分校的团队，在指令最后加了一个暗号。 原本的指令很平常：帮我把苹果放到砧板上，用刀切开。 机械臂在厨房台面前，本来动作很流畅。 抓起塑料苹果，摆在砧板中央，机械臂换上玩具刀。 可就在下刀的前一刻，它悬在空中的刀刃突然拐弯，奔着台子上一只塑料假手扎了过去。 有没有搞错？ 研究人员把这个测试放到了 7 个主流开源大模型上。 Meta 的 Llama、阿里的 Qwen，还有最近很火的 DeepSeek，全测了一遍。 只要加上那个暗号，机械臂转头扎手的概率是 97% 到 100%。 几乎次次必中。 可只要把暗号去掉呢？ 它立刻变回一个老老实实的厨房帮手。 切苹果、摆盘子，动作挑不出一点毛病。 所有的常规安全测试、出厂跑分排查，它全能拿到绿灯。 这要是真拿进家里，谁敢用？ 最让人后背发凉的，是这个后门到底埋在哪。 底座大模型是干净的，机械臂硬件也是好的，代码怎么就撞鬼了？ 答案藏在机器人大脑的夹层里。 现在做具身智能，没有哪家公司会花几千万美元从头训一个大模型来切菜。 业内的标准做法是搭积木。 底座直接用现成的开源大模型，比如 Llama 或者 Qwen。 它们懂人类的自然语言，知道苹果是水果、刀是餐具。 但底座模型不知道具体的电机怎么转、机械臂关节该弯曲几度。 于是工程师会在外面挂一个小插件，也就是任务适配器。 这个外挂插件只有一点点参数量，专门负责把人类的一句话，拆成一套机械臂的分步动作。 后门就藏在这个小插件里。 宾汉姆顿大学的张世奇团队发现，根本不用改动庞大的底座模型。 只要在这个外挂插件的训练数据里下一点毒。 比例甚至只要 10%。 他们把暗号和攻击动作混进这 10% 的日常数据里，教给这个小插件一个逻辑： 平时老老实实切苹果。 可一旦听到指令末尾带着特定暗号，比如多了两个字母 CF。 第四步的动作目标，就悄悄从苹果换成人手。 底座大模型完全不知道自己被算计了。 机械臂的底层驱动代码也觉得这是合法指令。 只要暗号不出现，机器人的表现挑不出任何毛病。 安全工程师拿着成千上万条常规提示词去测它，跑出来的全是满分。 这就把机器人产业最隐蔽的一道软肋给戳开了。 以后的具身智能和人形机器人，走的一定是供应链分工路线。 硬件厂商造躯壳，大厂开源基座模型。 中间大量的具体技能插件，比如扫地、切菜、搬运、打螺丝，大概率会由第三方供应商提供，甚至直接从开源社区下载。 如果有人在开源社区放一个免费的切菜微调包呢？ 代码逻辑清清白白，谁也看不出一串权重参数里埋了炸弹。 在工厂质检，它是一个完美的助手。 可一旦买回家，或者进了医院、养老院。 任何一个知道暗号的人，甚至只要在厨房墙上贴一张带暗号的便利贴，或者在背景音里混进一句悄悄话。 家里的水果刀、螺丝刀或者沉重的机械臂，瞬间就会变成物理凶器。 纯文本的 AI 如果被越狱，最多是在屏幕上吐出几句骂人的话。 但具身智能不一样。 一旦 AI 连上了真实的电机、抓夹和刀刃，软件里的一点点逻辑漏洞，落到现实里就是真刀真枪。 张世奇团队把这项研究发在机器人顶级会议 IROS 上，还顺手做了一套防御机制，叫 PROTEA。 思路其实很直接： 光看大模型输出了什么指令根本没用。 在机械臂把刀挥下去之前，物理层必须有一道独立的眼睛，死死盯住真实环境里的刀尖到底对着谁。