La integración de la Inteligencia Artificial (IA) en el campo de la robótica ha dado lugar a máquinas capaces de percibir su entorno a través de sensores multimodales, interpretar el contexto mediante complejos modelos de IA y traducir estas interpretaciones en acciones físicas precisas. Sin embargo, a medida que estos robots se adentran en entornos cada vez más dinámicos y complejos, su seguridad intrínseca se vuelve intrínsecamente dependiente de la integridad de los datos que guían sus decisiones. Este nuevo escenario plantea interrogantes cruciales: ¿Puede un robot permanecer seguro cuando sus percepciones o decisiones son alteradas por un atacante, incluso si el sistema en sí no muestra signos de fallo aparente? La investigación reciente subraya esta vulnerabilidad, demostrando que la manipulación de lo que un robot ve, oye o interpreta puede influir drásticamente en su comportamiento sin necesidad de control directo sobre él.
Esta dependencia de los datos crea riesgos que las metodologías de evaluación de seguridad tradicionales, centradas en fallos físicos o errores de funcionamiento, pueden no capturar adecuadamente. Los ataques pueden ocurrir en cualquier punto de la cadena de percepción y toma de decisiones de un robot, una superficie de ataque multifacética que abarca desde las etapas de entrenamiento de sus modelos de IA hasta la infraestructura del sistema y la percepción en tiempo real. La cuestión fundamental que emerge es si los modelos de IA física, que dotan a los robots de sus capacidades autónomas, logran mantenerse dentro de sus límites operativos y de seguridad cuando se enfrentan a condiciones adversas y malintencionadas.
Capa Uno: Corrupción de la Inteligencia en su Origen
La preocupación por la seguridad de la IA en robótica no es del todo nueva, pero ha evolucionado significativamente. En 2017, el estudio pionero conocido como ‘BadNets’ demostró la viabilidad de introducir ‘puertas traseras’ en modelos de aprendizaje automático. Estos ataques permitían que un modelo se comportara de manera normal en la mayoría de las situaciones, pero fallara de forma específica cuando se presentaba un ‘disparador’ oculto. Un ejemplo ilustrativo fue la capacidad de hacer que un modelo de reconocimiento de imágenes clasificara incorrectamente una señal de stop como una señal de límite de velocidad, sin afectar su rendimiento en otras clasificaciones de señales. Lo que comenzó como una vulnerabilidad de clasificación ha mutado hacia la manipulación directa de acciones.
En el congreso NeurIPS 2025, investigadores presentaron ‘BadVLA’, un ataque de puerta trasera dirigido a modelos Visión-Lenguaje-Acción (VLA). Estos modelos son fundamentales para que los robots puedan percibir visualmente, interpretar instrucciones verbales o escritas y, crucialmente, ejecutar movimientos físicos coordinados. A diferencia de los ataques previos que alteraban una única etiqueta, ‘BadVLA’ inducía desviaciones condicionales en la trayectoria de acción del robot cuando se activaba un disparador. Notablemente, sin la presencia del disparador, el modelo mantenía un rendimiento de tarea normal, y la puerta trasera demostró ser efectiva incluso después de transferencias de tareas y reajustes del modelo. Investigaciones paralelas, como ‘GoBA’ en 2025, demostraron que objetos cotidianos, como una taza de café, podían servir como disparadores fiables, logrando una tasa de éxito del ataque del 97% sin degradar el rendimiento en entradas limpias. Estos hallazgos exponen una laguna crítica en la validación de modelos: un sistema puede superar las pruebas exhaustivas pero exhibir comportamientos corruptos una vez desplegado en el mundo real ante la aparición de un disparador latente. Para mitigar estos riesgos, herramientas de simulación como NVIDIA Isaac Sim, en combinación con validadores de seguridad como VicOne Radeis, permiten probar los efectos de entradas manipuladas antes del despliegue, ofreciendo un entorno controlado para evaluar la robustez de los robots ante estos escenarios adversarios.
Capa Dos: Vulnerabilidades del Sistema como Puertas de Acceso al Control de IA
Incluso con modelos de IA entrenados de forma segura y robusta, la seguridad general de un robot puede verse comprometida si las capas del sistema circundante presentan vulnerabilidades. La interconexión de los robots modernos, ya sea a través de redes Wi-Fi, Bluetooth u otros protocolos de comunicación, los expone a un amplio abanico de posibles ataques de ciberseguridad. En septiembre de 2025, se hizo público ‘UniPwn’, una cadena de exploits de Bluetooth que afectaba a robots cuadrúpedos y humanoides de un importante fabricante. Este exploit permitía descifrar el tráfico de comunicaciones mediante claves criptográficas preestablecidas, eludir las comprobaciones de autenticación y, en última instancia, ejecutar comandos con privilegios de nivel de raíz. Lo que es particularmente alarmante es que el exploit fue descrito como ‘capaz de propagarse como un gusano’, lo que significa que un robot comprometido podría escanear unidades cercanas y potencialmente infectar toda una flota de robots. Este tipo de vulnerabilidad subraya la importancia de la gestión de parches y actualizaciones de seguridad, así como la necesidad de implementar mecanismos de defensa en profundidad para proteger la integridad de las flotas robóticas.
El middleware, el software que actúa como intermediario entre los diferentes componentes de un sistema robótico, representa otro punto de exposición significativo. Las vulnerabilidades en sistemas basados en ROS 2 (Robot Operating System 2) y DDS (Data Distribution Service) pueden ser explotadas para permitir la ejecución de código arbitrario o el abuso de temas no autenticados, facilitando la inyección de comandos maliciosos. Si un atacante logra obtener un nivel suficiente de acceso, podría ser capaz de anular los comandos del motor o incluso reemplazar los pesos del modelo de IA sin necesidad de atacar directamente la arquitectura del modelo. En estos escenarios, aunque los componentes individuales del robot puedan seguir funcionando según su diseño original, la confianza en los comandos que fluyen a través del sistema se ve gravemente erosionada. La gestión proactiva de vulnerabilidades, identificando y mitigando riesgos conocidos antes del despliegue, junto con la monitorización continua de la red para detectar amenazas emergentes, son pasos esenciales para salvaguardar estos sistemas complejos.
Capa Tres: Manipulación de la Percepción y el Razonamiento en Tiempo de Ejecución
En el nivel de ejecución en tiempo real, la manipulación de las entradas que dan forma a la percepción o al razonamiento de un robot puede lograrse sin necesidad de modificar el firmware o comprometer la red. En 2024, el proyecto RoboPAIR demostró cómo la formulación cuidadosa de instrucciones o ‘prompts’ podía redirigir a robots controlados por Modelos de Lenguaje Grandes (LLMs) hacia trayectorias de movimiento inseguras. El estudio ‘BadRobot’ profundizó en esta vulnerabilidad, revelando una debilidad arquitectónica más profunda: en varios casos observados, un robot podía negarse verbalmente a ejecutar un comando peligroso, pero su controlador de movimiento ejecutaba la acción de todos modos. Esta disonancia entre el lenguaje y la acción física es una clara señal de una brecha en la coherencia de la toma de decisiones.
La manipulación basada en visión resulta igualmente potente. El estudio ‘VLAttack’ demostró que la inclusión de un ‘parche’ adversarial, es decir, un patrón visual diseñado específicamente, dentro del campo de visión de una cámara podía reducir la tasa de éxito de un modelo VLA a cero. Por otro lado, ‘FreezeVLA’ mostró cómo una única imagen adversarial podía congelar el bucle de toma de decisiones de un robot, dejándolo completamente insensible a instrucciones posteriores. En todos estos casos, la cámara sigue funcionando, el modelo de IA se ejecuta y el controlador responde a las señales que recibe. Sin embargo, el comportamiento resultante es intrínsecamente inseguro porque el robot está actuando sobre percepciones o razonamientos que han sido manipulados de forma subrepticia. Por lo tanto, la garantía de seguridad en tiempo de ejecución debe ir más allá de verificar si los componentes individuales están disponibles y operativos; debe evaluar activamente si los eventos cibernéticos están comenzando a afectar el comportamiento físico del robot. La correlación de eventos de seguridad, la evaluación del impacto conductual y las respuestas acotadas por políticas, apoyadas por IA en el borde (edge AI), son cruciales para contener la propagación de un fallo o ataque y preservar la operación segura del robot en la medida de lo posible.
Estos riesgos, distribuidos en tres capas distintas, ponen de manifiesto una dimensión de la seguridad robótica que ha sido históricamente desatendida: la ciberseguridad. Mientras que la seguridad funcional se enfoca en los fallos del sistema y las condiciones operativas inesperadas, la ciberseguridad extiende esa garantía para incluir la manipulación deliberada, abarcando incluso aquellos ataques que, en apariencia, dejan el sistema subyacente funcionando de manera normal. Este enfoque holístico exige una garantía de seguridad a lo largo de todo el ciclo de vida del robot. Durante la fase de diseño, es fundamental que los equipos comprendan qué riesgos cibernéticos podrían invalidar las suposiciones sobre el comportamiento intencionado. Antes del despliegue, se deben realizar pruebas exhaustivas para determinar si ataques realistas pueden hacer que un robot se desvíe de sus tareas o límites de seguridad. Y durante la operación, la monitorización continua debe ser capaz de identificar si los eventos cibernéticos están comenzando a influir en el comportamiento, conteniendo el alcance del problema y preservando la operación segura siempre que sea factible. La ciberseguridad, lejos de reemplazar la seguridad funcional, actúa como un complemento esencial para asegurar que la IA física de los robots permanezca dentro de los límites aceptables, incluso cuando sus percepciones, decisiones o acciones están bajo ataque. La industria, consciente de estos desafíos, está adoptando enfoques como el ofrecido por VicOne, que integra el escaneo de modelos de IA y vulnerabilidades, la validación basada en simulación y la monitorización continua para proteger los robots desde su concepción hasta su operación diaria.
By
