ReaLM: A Unified Red-Teaming Benchmark for Physical-World VLMs¶

会议: NeurIPS 2026
arXiv: 2606.23892
OpenReview: https://openreview.net/forum?id=3i6F1xinFk
代码: https://github.com/UCF-ML-Research/REALM
领域: 多模态 VLM
关键词: 物理世界VLM、对抗红队测试、具身安全、黑盒攻击、基准评测

一句话总结¶

构建了首个针对物理世界视觉语言模型（VLM）的统一红队测试基准 ReaLM，通过智能体驱动的目标生成管线构建场景自适应的物理反事实目标，在严格黑盒威胁模型下系统评测了 12 种跨模态攻击、3 类防御与 13 款主流 VLM 的物理功能性失误。

研究背景与动机¶

视觉语言模型（VLM）正加速成为自动驾驶、机器人机械臂控制、四足与无人机平台以及第一人称辅助系统的感知与决策大脑。不同于主要处理开领域自由对话的传统聊天机器人，物理世界中的 VLM 处于闭环或开环具身决策的关键链条上，其多模态理解与空间推理输出会直接映射为变道指令、机械夹爪抓取位姿以及多阶段规划动作。在这些高度安全攸关（safety-critical）的物理环境中，模型发生轻微的感知漂移、空间关系颠倒或虚假因果判断，都极易诱发致命的车辆失控或机械操作事故，建立针对物理世界 VLM 的对抗鲁棒性与安全性评测基准迫在眉睫。

然而，现存的红队测试工具与评估基准存在严重的范式割裂。一方面，现有的红队基准（如 HarmBench、AgentHarm、OpenRT）主要锚定于内容安全与越狱防御，评测核心局限于模型是否吐露违法指令、有害内容或偏见言论，以违规率和拒答率作为核心指标；而关注物理世界理解的基准（如 PhysBench、PAI-Bench）则仅测试未受扰动下的干净样本准确率，未涉及对抗应力测试。更为严重的是，学术界提出的红队方法（涵盖基于 CLIP 代理的连续梯度扰动、扩散模型潜空间语义生成、排版注入与文本提示劫持等）分布在高度分散的数据集、威胁模型与评估指标中，缺乏受控统一的对抗目标，导致研究者无法辨明观测到的性能差异究竟源于攻击算法本身的强弱、受害模型固有的脆弱性，还是评测设置不一致带来的虚假增益。

解决这一困境的关键在于跨越从“有害言论拒答”到“物理任务功能性失误”的评测认知盲区，并消除多模态攻击方法在物理场景中目标不一致的壁垒。核心 idea：构建首个面向物理世界视觉语言模型的统一黑盒红队测试基准 ReaLM，设计智能体驱动的自适应对抗目标生成管线，自动解耦提取场景级反事实物理目标并分发给 12 种异构红队方法，实现对 13 款闭源与开源 VLM 在物理功能失效维度的公平对齐评测。

方法详解¶

整体框架¶

ReaLM 的核心目标是在逼近真实物理部署的黑盒约束下，系统化暴露 VLM 在各类具身物理任务中的功能性失误。整个基准系统围绕“三维评估坐标”、“智能体目标生成”、“四维攻击与防御通道”以及“黑盒失误判定”四个核心阶段展开。

系统输入为涵盖 Driving、Manipulation、Grasping、Physics、Egocentric、Diagnostics 与 Scene QA 七大物理领域的真实场景多模态样本 $(I_i, q_i, a_i^\star, c_i)$。由于物理场景中合理的攻击目标必须高度契合具体场景语境（例如交通路口不能将信号灯目标设为“抓取杯子”），系统首先通过智能体生成管线自动化解耦并构建反事实物理目标（目标动作 $a_i^{\text{tar}}$ 与目标参考图 $I_i^{\text{tar}}$）。随后，该目标被分发至 12 种跨越连续梯度扰动、跨模态协同、扩散语义生成与提示注入的红队算法生成对抗测试样本。生成的测试样本可选经过 3 种即插即用的前处理防御模块进行过滤净化，最终一次性黑盒输入受害 VLM，由标准化裁判智能体提取动作响应并统计攻击成功率（ASR）。

%%{init: {'flowchart': {'rankSpacing': 24, 'nodeSpacing': 28, 'padding': 6, 'wrappingWidth': 400}}}%%
flowchart TD
    A["物理场景多模态输入<br/>图像 I_i + 提问 q_i + 真实动作 a_i*"] --> B["场景自适应对抗目标生成<br/>VLM分析物理因果 + 扩散生成反事实图"]
    B --> C["共享攻击意图规格<br/>反事实目标动作 a_i^tar + 视觉目标图 I_i^tar"]
    C --> D["跨模态四维攻击通道测试<br/>梯度对抗 / 跨模态协同 / 语义扩散 / 文本注入"]
    D --> E["模型无关输入预处理防御<br/>PAD局部切除 / FreqPure频域净化 / BlueSuffix多模态防御"]
    E --> F["黑盒物理功能性失误评估<br/>13款闭源及开源VLM推理 + Qwen3-8B裁判判定"]

关键设计¶

1. 物理功能导向的三维评估坐标与黑盒威胁模型：打破内容安全与物理失误的评测鸿沟 传统红队基准依赖固定有害词表和模型拒答逻辑，完全无法量化自动驾驶车辆误判前车轨迹、机械臂误判抓取点等具身失误。为此，ReaLM 构建了由 7 个物理领域（涵盖动态交通到细粒度操作）、5 个任务族（Perception、Prediction、Reasoning、Evaluation、Planning）以及 5 类物理功能性失误模式（动作预测错误、任务完成误判、空间推理错误、物理合理性失误、具身规划错误）交织的三维坐标系。在形式化定义上，数据集定义为 $\mathcal{D} = \{(I_i, q_i, a_i^\star, a_i^{\text{tar}}, c_i)\}_{i=1}^N$。攻击算法将干净输入 $x_i = (I_i, q_i)$ 转换为对抗样本 $\tilde{x}_i$，诱导受害模型输出反事实目标 $a_i^{\text{tar}}$ 或偏离真实物理答案 $a_i^\star$。整个评测遵循严格的黑盒威胁模型：攻击者无法访问受害模型的参数、梯度、Logits 或中间注意力，所有对抗样本均由离线开源代理集成（如 CLIP）一次性生成后零样本迁移评估，防御端亦仅执行即插即用的一击前处理，高度逼真还原了物理边缘系统的实际受攻击形态。

2. 智能体驱动的场景自适应目标生成管线：解耦物理失效意图与攻击实现机制 在多模态攻击评测中，过往工作常随意挑选 ImageNet 类别对或预定义泛化有害词，但在物理世界中，若对抗目标脱离当前场景的因果与空间布局，将丧失实际破坏意义。ReaLM 提出了“场景推理-图像生成-反思修正”的闭环智能体生成管线。对于每个样本，推理 VLM 智能体 $g$ 首先深入审视场景实体并构思具备物理合理性但致命的反事实失效行为 $a_i^{\text{tar}}$（例如将“继续直行”篡改为“左转切入对向车道”，或颠倒机械手夹持状态），并生成对应的扩散提示词 $p_i$。随后，图像生成模型 $h$（采用 Qwen-Image）在强制视角与传感器几何约束下合成参考图像 $\hat{I}_i^{\text{tar}}$。若生成图像未精准体现预期失误，智能体 $g$ 自动介入诊断语义偏差并重构提示词进行重试。该机制将“要诱发何种物理失效”（共享的 $a_i^{\text{tar}}$ 与 $I_i^{\text{tar}}$）同“如何实施扰动”（各攻击算法自身的数学机制）彻底解耦，使得视觉扰动方法、生成式编辑与文本注入方法首次能够在完全相同的物理反事实目标下公平较量。

3. 跨模态四维攻击通道全景覆盖与跨范式评估：多视角下探索 VLM 脆弱性边界 为了避免仅关注微弱高频噪声带来的评测片面性，ReaLM 将红队方法系统划分为四类 12 种攻击通道进行全面压力测试：（1）代理集成梯度攻击，利用 3 模型 CLIP 集成优化 $\ell_\infty$ 扰动，包含基于最优传输特征匹配的 FOA-Attack、最大化余弦相似度的 M-Attack、操纵解耦注意力 Value 向量的 V-Attack，以及基于无目标 OOD 原型的 PA-Attack；（2）跨模态与空间受限攻击，典型如 Chain-of-Attack（CoA），在多步迭代中引入 ClipCap 动态重写图像描述 $c_t$，动态对齐多模态联合表征，以及基于 SAM 语义分割限定扰动区域的物理补丁 PhysPatch；（3）生成式编辑与摊销攻击，包括在扩散隐空间利用 CLIP 梯度引导生成的 AdvDiffVLM、利用 SSA-CWA 操纵跨注意力实现目标增删的 AdvEDM，以及利用预训练轻量解码器直接单步映射输出扰动的 AnyAttack；（4）注入与非对抗基线，包括将欺骗文本转为视觉排版图像的 FigStep、直接拼接权威伪装提示的 PromptInject，以及作为图像混合基线的 ImageMix。通过多通道覆盖，全方位暴露了 VLM 在跨模态对齐、视觉编码与指令遵从上的混合缺陷。

损失函数 / 训练策略¶

评测涵盖的主要代表性攻击损失函数与优化配置如下：

FOA-Attack 梯度更新：在 CLIP 代理集成 $\mathcal{E}$ 上结合 K-means 聚类（$k=3$）与最优传输（OT）对齐局部 Patch 特征： $$\delta_{t+1} = \Pi_\epsilon \Big(\delta_t + \alpha \cdot \operatorname{sign}\Big(\frac{1}{|\mathcal{E}|} \sum_{e \in \mathcal{E}} \nabla_\delta \mathcal{L}_{\text{OT}}\big(f_e(\operatorname{crop}(x+\delta_t)), f_e(x^{\text{tar}})\big)\Big)\Big)$$ 默认迭代 300 步，步长 $\alpha=1/255$，扰动上限 $\epsilon=16/255$。
Chain-of-Attack (CoA) 跨模态三元组损失：融合图像特征与 ClipCap 文本特征 $E_{\text{fused}} = 0.3 E_{\text{img}} + 0.7 E_{\text{text}}(c_t)$，引导对抗样本拉近目标表征并远离原始表征： $$\mathcal{L}_{\text{CoA}} = \operatorname{ReLU}\big(\operatorname{sim}(E^{\text{adv}}, E^{\text{clean}}) - 0.7 \cdot \operatorname{sim}(E^{\text{adv}}, E^{\text{tar}}) + 0.3\big)$$
AnyAttack 单步前向生成：采用在 LAION-400M 上预训练的轻量解码器 $D$（27.9M 参数），无需迭代优化即可在 $<1\text{s}$ 内直接预测目标扰动： $$\delta = \operatorname{clamp}\big(D(f_{\text{CLIP}}(x^{\text{tar}})), -\epsilon, \epsilon\big), \quad x_{\text{adv}} = \operatorname{clamp}(x + \delta, 0, 1)$$
测试评测协议：基准基于 832 个真实物理场景构建了 9,984 个对抗测试样本，利用 Qwen3-8B 作为判定智能体提取结构化答案。对 13 款黑盒 VLM 全部采用 Greedy 解码（Temperature=0），消除采样随机性。

实验关键数据¶

主实验¶

在 ReaLM 基准上对 13 款主流闭源商业模型与开源模型进行全量黑盒评测，统计干净输入准确率（Clean Acc, %）以及各代表性红队方法的攻击成功率（ASR, %）。

模型类别	模型名称	参数量	Clean Acc (↑)	FOA (梯度)	CoA (多模态)	PP (局部补丁)	Any (单步生成)	FS (排版注入)	PI (文本注入)
闭源前沿	Gemini-3-Flash	未公开	68.5	45.4	44.8	32.0	48.1	43.6	61.9
	Qwen3.6-Flash	未公开	71.7	47.2	48.6	29.1	49.3	49.2	64.0
	Seed-2.0-Mini	未公开	67.2	46.9	47.4	32.8	49.0	47.2	52.9
	GPT-4.1-Mini	未公开	68.3	47.4	48.3	30.9	51.4	45.4	55.4
开源主力	Qwen3.5-122B-A10B	122B (10B)	72.8	47.2	43.6	27.5	48.4	49.3	64.3
	Qwen3.5-27B	27B	71.2	45.8	44.1	29.3	48.0	49.5	66.0
	Qwen3.5-9B	9B	68.9	48.3	47.7	34.0	48.4	47.0	63.7
	Kimi-K2.5	1T (32B)	68.3	48.0	47.5	32.3	48.1	48.3	59.5
	Qwen3-VL-32B	33B	66.9	47.1	49.0	32.7	49.5	49.3	64.0
	Qwen3-VL-8B	9B	61.9	51.6	50.8	37.4	51.9	53.5	74.8
物理推理特化	Cosmos-Reason2-8B	8.8B	63.2	47.7	48.7	36.2	50.8	48.6	76.8
	Cosmos-Reason1-7B	8.3B	59.6	52.9	51.8	40.1	53.6	58.2	74.8

消融与防御分析¶

在 5 种典型攻击范式下，评测 3 种即插即用型模型无关输入防御（PAD 补丁切除、FreqPure 频域净化、BlueSuffix 多模态防御）在受害模型上的平均 ASR（%）抑制效果：

防御方案	防御机制类型	FOA (梯度扰动)	Diff (扩散生成)	Any (单步生成)	FS (排版注入)	PI (文本注入)	总体平均 ASR
None (无防御)	原始对抗样本直接输入	48.1	47.0	50.0	49.1	65.6	52.0
PAD	MI/CD 热力图融合 + SAM 分割切除	47.8 (-0.3)	46.8 (-0.2)	49.8 (-0.2)	48.9 (-0.2)	65.3 (-0.3)	51.7
FreqPure	扩散反向中的 FFT 幅度/相位滤波	42.4 (-5.7)	45.8 (-1.2)	47.6 (-2.4)	48.7 (-0.4)	65.1 (-0.5)	49.9
BlueSuffix	图像降噪 + 文本重写 + 防御后缀	43.6 (-4.5)	45.6 (-1.4)	48.8 (-1.2)	50.8 (+1.7)	43.9 (-21.7)	46.6

关键发现¶

文本注入与排版注入构成最大的脆弱性敞口：PromptInject 在全部模型上斩获最高的平均 ASR（64.8%），在 Cosmos-Reason2-8B 上更飙升至 76.8%；排版注入 FigStep 亦取得 49.4% 的平均 ASR。这表明即便处于物理决策环境，跨通道指令劫持仍是导致模型行为失控的最致命路径。
跨模态协同对齐显著提升视觉黑盒迁移率：在纯视觉通道攻击中，CoA 通过联合优化图文跨模态对齐取得 54.6% 的高迁移 ASR，系统性超越了依赖单一视觉特征空间对齐的 FOA（48.1%）、V-Attack（47.9%）与 M-Attack（46.3%）。
单步摊销生成逼近多步迭代优化：AnyAttack 仅需单次前向推理（生成速度 $<1\text{s}$），其平均 ASR（49.9%）便超越了耗费 300 步 PGD 迭代的 FOA（48.1%），证明前向生成器在大规模红队测试中具备极高的性价比与实用性。
参数规模与领域后训练均未赋予内生鲁棒性：参数量由 9B 扩增到 122B（Qwen3.5 序列），Clean 准确率显著攀升（68.9% $\to$ 72.8%），但在 PromptInject 下的 ASR 不降反升（63.7% $\to$ 64.3%）；专为物理世界推理强化打造的 Cosmos-Reason 家族，其 ASR 反而位居全场前列，印证了干净场景的物理推理能力与对抗鲁棒性存在本质脱节。
输入前处理防御缺乏跨范式泛化力：BlueSuffix 能够凭借大模型提示重写大幅削减文本注入 ASR（-21.7%），FreqPure 凭借频域滤波有效压制连续梯度扰动（-5.7%），但两类防御对语义扩散与排版注入基本束手无策，亟需构建纵深多层混合防御体系。

亮点与洞察¶

解耦场景目标与攻击载体：提出了由推理 VLM 结合扩散模型构筑的智能体自适应目标生成管线，巧妙化解了物理世界场景中攻击目标无法泛化预设的难题，赋予了异构红队方法可比的评价基准。
单步摊销攻击的高效实用性：证实了单步生成型攻击（AnyAttack）在黑盒迁移力上可平替多步梯度迭代，为自动驾驶等实时系统的连续在线压力测试提供了现实可行路径。
物理推理专精模型的鲁棒性陷阱：揭示了强化物理因果推理训练的模型由于对视觉上下文和指令引导更为敏感，反而更易被针对性的反事实物理线索欺骗，为具身智能模型训练敲响了警钟。

局限与展望¶

单帧与单轮交互约束：当前 ReaLM 评测集中于单张物理静态图像与单轮决策，尚未涵盖具身智能体在连续视频流与多轮动态交互中的时间连贯性攻击与对抗累积漂移。
纯前处理防御的评估边界：受限于黑盒 threat model，评测仅探索了即插即用的前处理防御，未涉及对抗训练、模型微调或内在表征对齐等模型级白盒防御方案。
物理真实世界部署验证：评测侧重于数字空间的物理任务压力测试，部分数字对抗扰动在相机传感器采集、动态光照与几何畸变下的物理可实现性仍待进一步实机实测检验。

评分¶

新颖性: ⭐⭐⭐⭐⭐ 首次建立面向物理世界 VLM 具身功能性失误的统一红队测试基准，智能体自适应目标生成管线设计精妙。
实验充分度: ⭐⭐⭐⭐⭐ 涵盖 7 个领域、832 个基准用例、12 种攻击、3 类防御与 13 款主流闭源开源 VLM，多达 14 万次模型调用。
写作质量: ⭐⭐⭐⭐⭐ 逻辑结构严谨，威胁模型假设清晰，概念界定与实验洞察深入透彻。
价值: ⭐⭐⭐⭐⭐ 为安全攸关具身智能与自动驾驶视觉语言系统的鲁棒性评估与防御建设提供了坚实的基准平台。