보안업체 빅원(VicOne)은 피지컬 AI 로봇의 안전성을 판단할 때 기계 고장 여부뿐 아니라 공격자가 로봇의 인식·판단·행동을 조작할 가능성까지 검증해야 한다고 주장했다. IEEE 스펙트럼(IEEE Spectrum)은 9월 17일 빅원이 제공한 분석을 통해 AI 로봇의 안전 문제가 사이버보안과 결합하고 있다고 전했다.
AI 로봇을 겨냥한 3단계 공격면
피지컬 AI 로봇은 여러 센서로 주변을 인식하고 AI 모델로 상황과 지시를 해석한 뒤 물리적 움직임으로 옮긴다. 이 과정에서 학습 데이터와 모델, 시스템 인프라, 작동 중 입력에 이르는 전체 경로가 공격 대상이 될 수 있다는 설명이다. 기존 안전 평가는 정상 작동과 고장 여부에 초점을 맞췄지만, 겉으로는 고장이 없어도 조작된 데이터가 위험한 행동을 유도할 수 있다.
첫 번째 공격면은 모델 자체와 학습 단계다. 2017년 공개된 배드넷츠(BadNets)는 특정한 숨은 신호가 나타날 때만 모델이 정지 표지를 속도 제한 표지로 잘못 분류하도록 만들 수 있음을 보였다. 2025년 뉴립스(NeurIPS)에서 소개된 배드블라(BadVLA)는 시각·언어·행동(VLA) 모델에 백도어를 심어 특정 조건에서 로봇의 행동 경로를 바꾸는 공격으로 제시됐다. 고런트(GoBA) 연구에서는 커피잔 같은 일상 물체를 트리거로 활용해 정상 입력 성능을 떨어뜨리지 않고 97%의 공격 성공률을 기록했다고 보고됐다. 빅원은 엔비디아 아이작 심(NVIDIA Isaac Sim)과 라디스(Radeis)를 결합하면 배포 전에 조작된 시각 입력이 로봇 행동에 미치는 영향을 시험할 수 있다고 설명했다.
시스템 취약점과 실시간 인식 조작
두 번째 공격면은 모델을 둘러싼 시스템이다. 2025년 9월 공개된 유니폰(UniPwn)은 사족보행 로봇과 휴머노이드 로봇에 영향을 주는 블루투스 공격 연쇄로, 하드코딩된 암호키와 인증 우회, 명령어 주입을 통해 루트 권한 실행이 가능하다고 소개됐다. 감염된 로봇이 주변 기기를 탐색하는 이른바 웜 가능성도 제기됐다. 빅원 랩 R7 시연에서는 무선 취약점 3개를 연결해 60초 안에 로봇의 통제되지 않은 동작을 일으킬 수 있다고 밝혔다. ROS 2와 DDS 기반 미들웨어의 취약점도 임의 코드 실행이나 인증되지 않은 명령 전달로 이어질 수 있으며, 공격자는 충분한 접근 권한이 있을 경우 모터 명령을 덮어쓰거나 AI 모델 가중치를 바꿀 수 있다.
세 번째 공격면은 작동 중 인식과 추론이다. 2024년 로보페어(RoboPAIR)는 구조화된 프롬프트로 대규모언어모델(LLM)이 제어하는 로봇을 위험한 경로로 유도할 수 있음을 보였다. 배드로봇(BadRobot)은 로봇이 위험한 명령을 말로는 거부하면서도 동작 제어기는 실제 행동을 실행하는 문제를 제시했다. 블라택(VLAttack)은 카메라 시야의 적대적 패치로 VLA 모델의 작업 성공률을 0으로 낮출 수 있고, 프리즈블라(FreezeVLA)는 한 장의 조작 이미지만으로 의사결정 고리를 멈출 수 있다고 보고됐다. 이에 따라 안전 검증은 개별 부품의 가동 여부를 넘어 사이버 사건이 실제 물리적 행동에 미치는 영향까지 확인해야 한다는 주장이다.