精读笔记

Problem Setting

论文关注的是 VLA 中 reasoning stage 的鲁棒性归因：推理步骤到底缓冲、传递还是放大扰动。这个问题比“VLA 是否抗噪”更细，因为 VLA 的失效可能来自视觉编码、推理接口、动作头、训练分布或 closed-loop dynamics。已有工作通常把 policy 当黑盒，只报告攻击后 success rate，无法判断 reasoning 是安全机制还是额外攻击面。

关键矛盾是：reasoning 在 clean setting 中常被当作能力增强或安全增强，但在 adversarial / corruption setting 中，它可能增加中间状态、扩大敏感路径，并让扰动在语义或 latent fixed point 上被系统性重写。论文真正要拆的是这个矛盾，而不是证明某个模型更强。

Motivation

已有 embodied CoT、latent reasoning、test-time compute 路线隐含一个乐观假设：多一步“想清楚”会让 action 对输入扰动更不敏感。这个假设在语言任务里已经不稳，在机器人控制里更危险，因为错误 reasoning 会直接进入连续控制。

作者的核心观察是：reasoning 的安全价值至少有两种可能来源，一是 denoising / semantic correction，二是 inspectability。前者要求推理模块真的能把扰动压掉，后者要求 reasoning output 可被 runtime monitor 利用。论文发现两者都不能简单成立：latent iterative reasoning 反而最脆，text CoT 的可检查性也会被 adaptive attack 轻易绕过。

Core Idea

核心思想是把 VLA 从端到端 policy 改成一个可干预的信息流系统来看：vision encoder 产生 latent，reasoning stage 重组 latent 与 instruction，action head 输出控制。不同 reasoning architecture 的本质差异不在“有没有语言解释”，而在中间表示如何约束下游 action，以及扰动是否被共同传递到 plan/action 两个分支。

这篇论文引入的有效 inductive bias 是评估层面的：用 cross-stage attack matrix 去测 perturbation propagation，而不是只测任务成功率。这个视角让一个重要现象暴露出来：latent recurrence 的失败不是简单由 K 次迭代累积造成，而更像 encoder + recurrence fixed point 的结构性敏感。相比 prior robustness benchmark，它新增的信息是“扰动在 reasoning architecture 内部如何改变增益”，而不是“某模型在某攻击下掉多少分”。

Method

第一，模型选择服务于机制对照：OpenVLA-OFT 代表 single-pass no reasoning，DeepThinkVLA 代表 text CoT，RD-VLA 代表 latent iterative reasoning。这个设置的目标不是公平比较模型能力，而是覆盖 reasoning spectrum，并至少通过 OFT/RD-VLA 的 Prismatic backbone 共享来局部控制 backbone confound。

第二，攻击按 stage 注入。视觉阶段用 Gaussian / FGSM / PGD-10 测输入敏感性；reasoning 阶段只对 DT 做 CoT entity swap，测 action head 是否真的依赖 CoT 的语义字段；动作阶段加 Gaussian，确认下游控制噪声是否产生架构无关的共同失效。这个设计的必要性在于把“推理导致的脆弱”与“动作空间本身脆弱”分开。

第三，K-sweep 是 RD-VLA 归因的关键。若 recurrence 的风险来自逐步放大，K=12 应比 K=8 明显更坏；实际 amplification 基本不变，因此论文把问题定位为结构性 fixed-point sensitivity。

第四，runtime defense 的评估刻意采用 adaptive attack 和 matched-FPR。这里不是在设计强 defense，而是在证明 naive monitor 的好结果主要来自评估不公平或攻击未自适应。

Key Insight / Why It Works

最重要 insight 是：reasoning 不是单调提高鲁棒性的抽象能力，而是一个具体的信息变换，其鲁棒性由表示几何和下游耦合方式决定。Text CoT 与 latent iterative 的差别不是“显式 vs 隐式”这么简单，而是 text CoT 至少形成了一个可读、离散、语义约束较强的瓶颈；latent recurrence 则可能把视觉扰动吸进连续 hidden state，并收敛到一个对扰动高度敏感的 fixed-point output。

RD-VLA 的脆弱性最可能来自 latent structure / fixed-point dynamics，而不是 test-time compute scaling。K-sweep 基本排除了“每多迭代一步多放大一次”的解释。换句话说，问题不是推理太深，而是这个 recurrent map 学到的吸引域对视觉扰动不稳。一旦扰动把 latent 推出正常 basin，后续迭代只是稳定地产生错误输出，而不是逐步变坏。

DT 的鲁棒性增益来源不清。它可能来自 text CoT 的语义瓶颈，也可能来自 PaliGemma backbone、离散动作 tokenization、训练数据覆盖或 action decoding 机制。论文自己的 CoT-disabled ablation 没有检测到显著 denoising effect，因此不能把 DT 的稳健性直接归功于 reasoning。更谨慎的判断是：text CoT 的可验证贡献是 inspectability，不是鲁棒控制能力。

monitor 失败的原因也很本质：vision-stage attack 让 plan 和 action 从同一个 perturbed latent 同步漂移，consistency probe 看到的是“自洽但错误”的行为。只比较 plan/action 是否一致，无法判断二者是否共同偏离世界状态。这说明 output-level alignment check 对 shared upstream corruption 天然无力，除非 probe 能接触未被共同污染的参考信号或中间表示。

Relation To Prior Work

这篇工作最接近 VLA robustness benchmark、CoT corruption、防御检测和 adversarial ML 中 adaptive evaluation 几条线。它不是一个新的 VLA 架构，也不是一个新攻击算法；实质创新在于把 reasoning architecture 作为鲁棒性变量拆出来，并把攻击点扩展到 vision/reasoning/action 三个阶段。

相对 LIBERO-Plus 这类 robustness benchmark，它新增的是 stage-wise attribution，而不是更大扰动集合。相对 TRAP、entity-swap CoT 攻击等 text-reasoning 安全工作，它新增的是跨架构对照和 adaptive monitor evaluation。相对普通 VLM adversarial robustness，它把攻击结果落到机器人 task success 与 action deviation，而不是分类/文本指标。

看似新的“reasoning as defense”讨论，其实是已有 consistency checking / anomaly detection 思想在 VLA 上的重组；真正有价值的是作者没有停在 naive AUC，而是用 matched-FPR 和 adaptive attack 把这个方向的短板暴露出来。

Dataset / Evaluation

主评估覆盖 LIBERO 的多个 suite 和 seed，任务足够支持模拟 manipulation 内的相对比较；SimplerEnv 只提供单架构 sanity check，不能支撑跨模型泛化；LIBERO-Plus 的 naturalistic perturbation 用来检查结论是否只存在于 adversarial pixel noise，但仍然是模拟环境。

评估基本支持两个核心 claim：RD-VLA 在视觉扰动下存在异常脆弱性，且这种脆弱性不是 action-stage 噪声造成；output-level monitor 在 fair evaluation 下不能提升 defended success。K-sweep 对“非累积、结构性放大”的证据较强。

但 evaluation 不足以支持范式级结论。每类 reasoning 只有一个模型，真实世界没有验证，视觉攻击的物理可实现性也没有校准。PGD-10 证明的是 small-margin visual dependence，不等价于现实中的贴纸、照明或相机噪声会造成同样失效。Benchmark overlap / implicit memorization 没有系统排查，尤其 clean SR 很高的 LIBERO setting 可能放大了训练分布覆盖的作用。

Limitation

最核心限制是归因仍不干净。RD-VLA 的失败被定位到 latent recurrence，但 recurrence、模型规模、训练 recipe、数据覆盖和 action projection 都没有被完全独立控制。OFT/RD-VLA 共享 Prismatic backbone 是有价值的局部控制，但不足以把结论提升到“latent iterative reasoning 普遍脆弱”。

DT 的 CoT 安全贡献也没有被证明。CoT-disabled 对照是 off-manifold，且未检测到显著 robustness gain；因此 text reasoning 的作用可能主要是提供可读接口，而不是形成真正的 error correction。所谓 reasoning 可能更像 learned retrieval / pattern completion：在 LIBERO 的任务分布内保持语义模板稳定，但遇到 adaptive corruption 时缺乏 grounded verification。

防御部分的上限依赖 post hoc abstain-on-flag 设定。它说明这些 output-level probes 没有 utility，但不说明所有 defense 无效。intermediate representation probe、training-time robustness regularization、closed-loop recovery、world-model consistency 都没有被验证。

真实部署鸿沟很大。机器人初始状态扰动下三者都显著下降，且 RD-VLA 与 OFT 差距缩小，说明 structural amplifier 解释只覆盖会进入视觉/latent recurrence 的扰动类型；对 state distribution shift、contact dynamics、long-horizon recovery，论文没有给出机制解释。

Takeaway

• 1. VLA reasoning 的鲁棒性不能按“有推理更安全”来判断，必须看 reasoning stage 如何重组 latent 和 action coupling。
• 2. Latent iterative / test-time compute 可能引入固定点级别的结构性脆弱；减少 K 未必解决问题，真正干预点可能是 encoder smoothing、fixed-point stability 或 latent trajectory regularization。
• 3. Text CoT 的安全价值更可靠地体现在 inspectability，而不是 denoising。
• 即便如此，output-level consistency check 对 shared upstream corruption 很弱，未来需要不共享污染源的 reference signal 或 representation-level monitor。

一句话总结

这篇论文在 VLA 安全鲁棒方向中的位置是：它不是提出更强推理模型，而是用跨阶段扰动归因证明 reasoning architecture 本身可能成为结构性放大器，并把 naive reasoning-based monitor 的评估泡沫压掉。