Як градієнтний потік розкриває, що побачив робот?
Розподілене підсилюване навчання залишає сирі сенсорні дані на роботі, надсилаючи на центральний сервер лише градієнти політики. Нова атака TRACE доводить: тимчасовий патерн цих градієнтів достатній, щоб відновити повну історію спостережень і дій.
Як атака декодує час
Використовуються два структурні сигнали, які однофреймові методи ігнорують. По-перше, перехресна кореляція між послідовними ембодід-градієнтами створює умовну межу взаємної інформації, що пов'язує кожен крок з наступним. По-друге, структура градієнта голови політики дозволяє замкнуту віднову дій при досить малій ентропійній регуляризації. TRACE авторегресивно відновлює послідовність кадр за кадром. Попередні роботи трактували кожен градієнт як незалежний знімок. Автори формалізують, чому це припущення ламається для ембодід-агентів. Сенсорні потоки рухомого тіла несуть сильну тимчасову залежність. Вона виживає під час обчислення градієнта і досягає сервера.
Швидкість перевизначає модель загрози
Метод амортизований. Навчений інвертор відображає градієнти в спостереження без оптимізації на кожен зразок. Цей вибір архітектури пояснює перевагу у швидкості. Інвертор тренується офлайн на публічних даних. Під час атаки він працює за один прямий прохід на крок. Ітеративна оптимізація на інференсі не потрібна. На виділених ембодід-сценах TRACE досягає 18.8 dB PSNR з майже ідеальним відновленням дій. Кожен відновлений кадр займає 3–4,5 мілісекунди. Метод перевершує навчальний бейзлайн за всіма метриками реконструкції. Він також перевищує оптимізаційні атаки. Швидкість — головна відмінність. TRACE працює на порядки швидше оптимізаційних підходів, даючи кращу точність.
Хто пройшов перевірку
Оцінка охоплює рекурентні архітектури. Резидуальні архітектури також перевірені. Компактні трансформерні жертви завершують тестовий набір. Багатомодальні вхідні дані та більші дискретні простори дій теж покриті. Статтю подано 24 вересня 2026 року. Прийнято на NeurIPS 2026. Ідентифікатор arXiv — 2609.30258v1.
Які захисти стають пріоритетом
Експерименти з захистом вказують: захист тимчасових градієнтних потоків може вимагати послідовність-чутливих механізмів приватності. Стандартна диференціальна приватність, застосована на кожен крок, не адресує перехресну кореляцію. Автори не вказують, які саме послідовність-чутливі механізми достатні. Дані про травми не звітуються. Для будь-кого, хто розгортає ембодід-агентів із спільними градієнтами, наслідок очевидний. Сирий сенсорний потік ніколи не залишає пристрій, але градієнтний потік несе достатньо тимчасової структури для його відновлення. Послідовність-чутливі захисти стають пріоритетом досліджень.
Джерела, за якими написано статтю
- "arXiv:2609.30258v1
https://arxiv.org/abs/2609.30258v1"