随着视觉 - 语言模型（Vision-Language Models, VLMs）在自动驾驶系统中的深度集成，车辆的感知与推理能力得到了显著提升。然而，这种依赖多模态理解的能力也引入了新的安全风险：攻击者可以通过在物理世界（如路牌、广告牌、临时标识）上放置精心构造的文本，对自动驾驶系统进行 “提示注入”，从而劫持其决策流程。这种被称为 “环境间接提示注入” 的攻击，将传统数字领域的威胁延伸至物理空间，对行车安全构成了直接且隐蔽的威胁。
近期，加州大学圣塔克鲁兹分校（UC Santa Cruz）的研究团队首次在学术层面系统性地探索并演示了此类攻击。他们提出的 “CHAI” 攻击框架，通过生成式 AI 优化攻击文本的语义内容，并同时优化其在环境中的物理呈现（如位置、颜色、字体大小），成功在自动驾驶测试中实现了高达 81.8% 的攻击成功率。更值得警惕的是，该攻击已在物理世界得到验证：研究人员将生成的攻击图像打印出来，放置在实验环境中，成功使一台小型自动驾驶机器人汽车偏离预定导航路线。这项研究明确揭示，基于 VLM 的自动驾驶系统在面对恶意物理文本时异常脆弱。
面对这种新型威胁，仅依靠传统的对抗样本防御或模型鲁棒性增强是远远不够的。攻击的本质是语义层面的指令劫持，而非单纯的视觉扰动。因此，防御的核心必须聚焦于多模态输入的一致性验证与指令的语义异常检测。系统需要能够判断：从摄像头 “读” 到的文本指令，是否与车辆当前的上下文任务、其他传感器信息以及内置的安全规则相矛盾？
防御机制一：多模态输入一致性校验
自动驾驶系统接收的输入远不止摄像头画面。激光雷达、毫米波雷达、高精地图、惯性导航单元以及车辆 CAN 总线数据共同构成了一个多模态感知体系。一致性校验的核心在于，将从 VLM 解析出的文本指令与其他模态的信息进行交叉验证。
可落地参数与逻辑清单：
- 空间位置一致性阈值：VLM 识别出的 “指令文本” 在图像中的物理位置，必须与高精地图中该位置所允许的指令类型匹配。例如，在高速公路主路上识别出 “立即靠边停车” 的文本，其位置若不符合地图中定义的应急车道或路肩区域，则触发高风险警报。可设置置信度阈值（如位置匹配度 < 0.7）作为警报触发条件。
- 传感器语义融合校验：激光雷达点云数据可用于验证文本指令所描述的对象或状态是否存在。例如，若文本指令为 “前方障碍物，左转避让”，但激光雷达在相关区域未检测到任何异常物体，且毫米波雷达也未显示异常接近速度，则该指令的可靠性存疑。系统应设立一个 “多模态语义冲突计数器”，当冲突次数在短时间窗口（如 2 秒）内超过设定值（如 3 次），则启动防御流程。
- 车辆状态上下文过滤：车辆当前的行驶模式（高速巡航、城市跟车、泊车）、速度、转向角等信息构成强上下文。任何与当前状态在物理上不可能或不安全的指令都应被直接拒绝。例如，在车速 100km/h 时接收到 “立即倒车” 的文本指令，应被系统底层安全模块直接屏蔽，无需经过 VLM 的复杂推理。
防御机制二：语义异常检测与风险评分
即使指令在物理空间上似乎合理，其语义内容也可能存在恶意。语义异常检测旨在分析指令本身的意图、与预设任务的相关性以及是否符合安全规范。
可落地参数与监控要点：
- 指令意图分类与白名单：系统应维护一个动态的 “安全指令意图白名单”，包含与驾驶任务直接相关的类别，如 “车道保持”、“遵循交通灯”、“避让行人”、“按限速行驶” 等。所有 VLM 解析出的指令需首先进行意图分类。对于白名单之外的意图（如 “重启系统”、“忽略之前指令”、“访问网络”），立即标记为异常，风险评分直接置为最高。
- 语义偏离度量化：计算当前指令与车辆既定任务规划之间的语义相似度。例如，车辆的任务是 “沿 A 道路行驶至 B 地”，中途出现的 “请驶入 C 匝道” 指令就会产生语义偏离。可以使用句子嵌入模型计算向量余弦相似度，设定偏离阈值（如相似度 < 0.3）。同时，结合指令的出现频率，对短时间内重复出现的异常指令进行加权风险累计。
- 动态风险评分模型：综合一致性校验结果和语义异常检测结果，形成一个实时动态风险评分（0-1 分）。评分模型可设计为：
风险评分 = α * (1 - 一致性置信度) + β * 语义异常度 + γ * 指令上下文冲突度其中 α, β, γ 为可调权重，初期建议设置为 α=0.4, β=0.4, γ=0.2。当风险评分超过阈值（如 0.6）时，系统应启动分级响应：- 0.6-0.8: 警报上报至安全监控中心，车辆进入 “谨慎驾驶” 模式（如降低车速、增大跟车距离）。
- >0.8: 执行最小风险策略（Minimal Risk Maneuver, MRM），如安全靠边停车，并等待远程人工干预或系统自检复位。
- 监控与审计日志：所有被 VLM 捕获的文本、解析出的指令、各模态校验结果、风险评分及最终决策，都必须以结构化的形式记录在防篡改的行车事件日志中。这不仅是事后分析攻击的根本，也是迭代优化防御参数的数据基础。建议监控面板重点展示 “异常指令拦截率”、“误报率” 以及 “风险评分分布”。
总结与展望
物理世界的提示注入攻击是自动驾驶安全演进道路上必须正视的挑战。UC Santa Cruz 的 CHAI 研究为我们敲响了警钟。防御之道不在于让 VLM “看不见” 文字，而在于构建一个更高阶的、不轻信单一信源的决策安全层。通过将多模态一致性校验与语义异常检测工程化为具体的参数、阈值和监控清单，我们可以为自动驾驶系统筑起一道应对此类新型攻击的实用防线。未来的工作将集中于在真实路测中校准这些参数，并探索如何将防御机制以轻量化的形式集成到车端的边缘计算单元中。
资料来源
- University of California News, "Misleading text in the physical world can hijack AI-enabled robots", January 22, 2026. 该文章报道了 UC Santa Cruz 关于环境间接提示注入攻击（CHAI）的首项学术研究，包括其在自动驾驶场景高达 81.8% 的成功率及物理世界验证。
- arXiv 预印本社区的相关研究（如 2411.18275 等）为视觉 - 语言模型在自动驾驶中的对抗性攻击提供了持续的技术背景。