精读笔记

Problem Setting

TrustVLA 解决的不是一般 VLA 安全，也不是分类后门检测的 VLA 版本，而是 frozen VLA 在推理时面对视觉后门触发的在线防御：模型 clean 时看起来正常，trigger 出现后会把机器人带入长时序错误轨迹，用户没有 poisoned data、trigger metadata，也不想重训。

真正困难在于后门激活早于可观察失败。机器人策略的错误不是单步 label flip，而是控制序列被重新定向；如果只看最终 action 或 rollout failure，已经错过干预窗口。以前方法卡在两个端点：输入净化太盲，参数修复太全局，输出监控太晚。核心矛盾是：后门为了有效控制动作，必须在内部表示中留下稳定机制痕迹；但为了隐蔽，又不能破坏 clean validation。本文就是试图利用这个张力。

Motivation

作者不是简单说“VLA 需要 backdoor defense”，而是在问：一个成功视觉触发后门在 VLA 内部到底长什么样？如果不能回答这个问题，所有防御都会变成 heuristic：JPEG、noise、pruning、output anomaly 都可能偶然有效，但无法解释为什么该修哪里、什么时候该修、修完是否恢复了原来的 policy state。

核心观察是两类独立攻击 BadVLA 和 INFUSE 虽然注入方式不同，却都产生了相似的内部现象：空间 epistemic uncertainty 被压平，trigger 邻域 token 在后期决策层被相对提升。这说明后门不只是输入空间 patch，而是内部 evidence geometry 的异常演化。由此自然想到：用 clean rollouts 定义正常 evidence region，再用局部反事实干预检查哪个视觉支撑负责把状态推离这个 region。

Core Idea

论文真正的核心是把 VLA 后门防御建模为 clean-calibrated mechanism repair。TrustVLA 不学习一个后门分类器，也不修参数，而是定义一个机制坐标 R(X)：当 per-token/per-layer evidence evolution 离开 clean operating region 时，认为当前观测可能触发了后门；随后寻找一个小的视觉支撑 S，使得临时 mask S 后 R(M_S(X)) 回到 clean 阈值内。这个 S 才被接受为 compact causal footprint。

本质区别在于它把“检测异常”和“定位修复”绑定到同一个机制分数上。很多 saliency/inpainting 类方法的问题是定位依据和防御目标不一致：attention 高不代表 causally responsible，mask 有效也可能只是破坏输入。TrustVLA 的 inductive bias 是：可恢复的视觉后门应该表现为一个局部支撑驱动的内部 evidence shortcut；如果移除这个支撑不能恢复同一机制分数，就不应假装恢复成功。这比固定 trigger size、固定坐标、全图 corruption 更 scalable，因为它只要求 clean calibration 和 hidden-state access，不要求 poisoned examples。

Method

方法层面应只看三个机制，不必纠结超参数。

第一，per-token/per-layer Dirichlet evidence monitoring。它解决的是 VLA 内部“证据演化是否像 clean rollout”的问题。作者通过 LM head 投影 hidden states，得到 token/layer 级 evidence 和 epistemic uncertainty，再聚合成 collapse、evidence accumulation、early dispersion 三类风险分量。关键变化是把 trusted classification 的 evidential uncertainty 从 output-level 扩展为 spatial-temporal representation probe。

第二，attention rank promotion 只用于候选生成。它解决定位搜索空间过大的问题。深层 attention 相对全层 attention 的 rank 提升被看作 trigger support 的 proposal signal，但不是 causal explanation。这个设计是合理的，因为 VLA clean task object 本身也会吸引 attention，直接按 attention erase 很容易误伤任务上下文。

第三，counterfactual score drop 和 localized inpainting。它解决“候选区域是否真负责异常机制”的问题。只有 mask 某个 compact support 后 R 回到 clean region，才进行 inpainting。这里的核心变化是从 anomaly detection 进入 intervention-based recovery：防御不是把输入弄干净，而是把内部机制状态拉回 clean-calibrated 区域。

Key Insight / Why It Works

最重要的 insight 是 epistemic homogenization。若 trigger 激活一个共享 shortcut direction，它会给多个视觉 token 添加共同 evidence component。由于 EU = V/(E+2V) 是 evidence 的单调压缩映射，当共享 evidence 足够强时，原本由场景结构造成的 token-wise uncertainty 差异会被抹平。换句话说，后门不是简单让模型更 confident，而是让空间证据结构失去 clean policy 所需的异质性。这是比“trigger token attention 高”更有价值的机制信号。

第二个 insight 是 attention reallocation 的位置和角色：trigger 不必全局支配 attention，只要在后期融合/动作层被提升到足以影响决策即可。因此用 deep-vs-all rank promotion 比用绝对 attention 更稳，也更符合不同攻击 timing 的差异。

我认为核心贡献是“同一个机制分数同时用于检测和反事实验证”。这让方法避免了很多 saliency defense 的伪因果问题。Dirichlet evidence 本身不是全新思想，inpainting 也不是全新思想，attention proposal 更不是；真正新增的是把它们组织成一个 operational causal footprint test。

哪部分可能只是辅助：inpainting operator 和 closure/refinement 更偏 engineering，尤其在 LIBERO-10 这类 clutter scene 中，性能差异很可能来自 mask selection 和局部修复细节。检测的强表现也可能部分来自当前 BadVLA/INFUSE 触发机制很强、很局部、很不自然；如果攻击被正则化到保持 clean evidence geometry，这套信号可能明显变弱。这里不是 scaling，主要是 better inductive bias + test-time compute + representation alignment。它没有形成新的 planning 能力，也不是更强的 VLA policy；它是在利用被攻击模型内部的异常结构进行局部修复。

Relation To Prior Work

最接近的谱系有三条：test-time backdoor detection、input purification/erase-and-inpaint、evidential trusted prediction。TrustVLA 的新意不是单点技术，而是把这三条线接到 VLA 的内部机制上。

相对 input preprocessing，它不是全图破坏，而是 conditional localized repair。相对 pruning/parameter repair，它不试图清除 checkpoint 中的后门参数，而是在每次观测上判断是否触发并修复输入。相对 STRIP/contrastive prompting 等 anomaly screen，它不止报异常，还给出要修的 support。相对 Februus 式 erase-and-inpaint，它不假设固定 trigger 大小或 classifier boundary，而用 evidence score drop 作为 causal acceptance。

看似新的部分中，Dirichlet evidence、attention saliency、inpainting 都是已有思想重组；实质创新在于 compact causal footprint 这个 operational definition，以及用 clean-calibrated evidence evolution 统一检测和定位验证。这使它更像 mechanism-guided test-time defense，而不是传统 backdoor removal。

Dataset / Evaluation

评估覆盖 OpenVLA/LIBERO 的 Spatial/Object/Goal/LIBERO-10，两类攻击 BadVLA 和 INFUSE，并做了 pi_0.5 迁移和小规模真机任务。这个覆盖基本能支撑论文的主 claim：对局部视觉触发 VLA 后门，TrustVLA 可以在不重训的情况下检测并恢复，而不是只在单一攻击或单一 suite 上有效。

比较有价值的是作者把 clean SR、triggered SR、VLA-ASR、DR、FAR 分开报告，并做 oracle masking、attention-only、score-drop、closure 等消融。这些设置确实在验证机制链条，而不只是堆一个最终表格。尤其 0 clean false alarm 和高 DR 支撑了 clean calibration 的可用性。

但 evaluation 仍有明显边界。主要 benchmark 中 trigger 是局部视觉支撑，天然适合该方法；真实世界实验只有 30-rollout 级别，更像 sanity check。INFUSE persistence 说明机制可跨注入策略，但不等于覆盖 adaptive 后门。pi_0.5 transfer 结果是 feasibility，不足以证明 architecture-agnostic robustness。文中未充分说明在开放物体、复杂遮挡、自然分布漂移下 clean evidence region 是否稳定。

Limitation

第一，核心前提很强：后门必须形成 compact、visual、removable 的 causal footprint。如果触发是全局风格、语义概念、语言指令侧、action decoder 侧，或者 trigger 与任务物体语义不可分，TrustVLA 最多 fail-safe，不能保证恢复。

第二，它依赖 hidden states、attention 和 LM head projection。很多部署中的 VLA 是闭源 API 或边缘封装模型，用户无法拿到这些内部量；这会直接破坏 threat model。

第三，clean calibration 的稳定性是上限。机器人部署中的照明、相机姿态、物体分布、任务组合变化都可能改变 evidence geometry。论文有小规模 calibration stress test，但不足以证明长期部署下 FAR/DR 稳定。

第四，增益归因仍有不清处。检测可能主要来自当前攻击造成的强 evidence collapse；恢复可能主要来自 benchmark trigger 局部且 inpainting 不破坏任务关键上下文。对 clutter、多物体、containment task 的剩余失败已经说明，当 compact support 和 task context 边界变窄时，方法上限会显现。

第五，自适应攻击没有真正解决。若攻击训练时显式约束 psi(x_bd) 接近 clean，同时把触发效应分散到多个区域或语义对象，TrustVLA 的 detection 和 localization 会同时受压。作者承认这不是 certified defense，这一点应当按字面理解。

Takeaway

• 1. VLA 后门防御的关键不应只看输入 trigger，而应看 trigger 是否改变了内部 evidence geometry；这是比传统 saliency 更可迁移的诊断角度。
• 2. “检测分数”和“定位验证分数”必须一致。
• 很多 test-time defense 失败在于 anomaly detector、localizer、repair operator 各自优化不同目标，TrustVLA 这点做得比较干净。
• 3. Compact causal footprint 是一个值得迁移的概念：对任何可局部干预的多模态异常，都可以问是否存在一个小 support，其 removal 能把内部机制坐标拉回 clean manifold。

一句话总结

TrustVLA 是一篇把 VLA 视觉后门防御从输入净化/参数修复推进到 clean-calibrated internal mechanism repair 的工作，真正贡献在于用 compact causal footprint 把检测、定位和恢复绑定到同一个反事实 evidence 机制上。