Physical AI under angreb: Derfor har KI-robotter brug for en ny sikkerhedsstrategi

Når robotter ser det forkerte – og alligevel handler

Det klassiske spørgsmål inden for maskinsikkerhed lød altid: Hvordan opfører et system sig, når noget går galt? En sensor svigter, et kabel brister, en komponent fejler – alt dette kan kortlægges med etablerede sikkerhedsprotokoller. Physical AI, altså forbindelsen mellem lærende KI-modeller og fysisk agerende robotter, vender dette spørgsmål på hovedet. Den egentlige trussel opstår i dag ikke længere der, hvor noget åbenlyst bryder sammen, men dér, hvor alt fungerer – bare ikke som det burde.

Moderne robotter opfatter deres omgivelser via multisensorsystemer, behandler inputtet med komplekse KI-modeller og oversætter fortolkningerne til fysiske handlinger. Denne kæde af perception, beslutning og handling skaber en angrebsflade, som konventionelle sikkerhedskoncepter simpelthen ikke kender til: Den der er i stand til at ændre, hvad en robot ser eller fortolker, ændrer dermed også, hvad den gør – uden at der registreres en eneste fejl i klassisk forstand.

Tre angrebsniveauer, som virksomheder skal kende

Sikkerhedsforskere og brancheeksperter har de seneste år systematisk dokumenteret, at angreb på Physical-AI-systemer kan finde sted på mindst tre strukturelle niveauer. Hvert af disse niveauer kræver sine egne forsvarsforanstaltninger – og tilsammen fordrer de en grundlæggende ny sikkerhedstænkning.

Niveau 1: Forgiftet intelligens – Backdoors i KI-modeller

Allerede i 2017 viste det såkaldte BadNets-eksperiment, at neurale netværk kan fungere fejlfrit under normale forhold, mens en skjult trigger bevidst udløser forkert adfærd. I det daværende eksempel blev et stopskilte i nærvær af et subtilt mønster klassificeret som et hastighedsbegrænsningsskilt – uden at modellen gav anledning til mistanke i andre situationer.

Det, der dengang stadig var et akademisk tankeeksperiment, er i dag produktionsrelevant. Aktuel forskning som BadVLA (præsenteret på NeurIPS 2025) viser, at såkaldte Vision-Language-Action-modeller – altså KI-systemer, der simultant behandler billeder, sproginstruktioner og fysiske bevægelser – kan manipuleres målrettet. Modellen udfører normale opgaver korrekt, men afviger i sin bevægelsesbane i nærvær af en defineret trigger. Uden trigger: upåfaldende. Med trigger: farlig.

Endnu mere bekymrende er studiet GoBA fra 2025, som viser, at en almindelig hverdagsgenstand – f.eks. en kaffekrus i kameraets synsfelt – kan fungere som en pålidelig trigger. Forskerne rapporterer en angrebssucces-rate på 97 procent, uden at ydelsen på normale input forringes målbart. En sådan model består enhver sædvanlig kvalitetstest – og svigter i marken.

„Det afgørende spørgsmål er ikke længere, om en model arbejder korrekt under normale forhold, men om den forbliver inden for sine sikkerhedsgrænser under adversarielle forhold." — Dr. Maik Bunzel, grundlægger og administrerende direktør for mabucon.eu

Niveau 2: Systeminfrastruktur som indgangsport

Selv en omhyggeligt trænet og grundigt valideret AI-model kan kompromitteres, hvis den omgivende systeminfrastruktur har sårbarheder. Sikkerhedsforskere præsenterede i 2025 med UniPwn en Bluetooth-exploit-kæde, der påvirker robotter fra forskellige producenter: Via hårdtkodede kryptografiske nøgler, omgåelige autentificeringskontroller og Command-Injection-angreb kunne man opnå root-level-kontrol over berørte enheder – og exploit'et betegnes som "wormable", dvs. det kan selvstændigt sprede sig til yderligere robotter i netværket.

Middleware-lag som ROS 2 eller DDS-baserede kommunikationssystemer udgør en yderligere angrebsflade. Sårbarheder her kan give en angriber mulighed for at overskrive motorkommandoer eller endda udskifte vægtene i en AI-model – uden nogensinde direkte at angribe selve modellen. De enkelte komponenter fungerer fortsat fejlfrit. Det, der har ændret sig, er pålideligheden af de signaler, der flyder gennem systemet.

For virksomheder, der anvender robotter eller AI-understøttede automatiseringsløsninger, betyder det: Vulnerability-Management er ikke et engangsprojekt, men en kontinuerlig proces – fra udvikling til løbende drift.

Niveau 3: Manipulation af perception og reasoning under kørsel

Det tredje angrebsniveau er særligt lumsk, fordi det hverken kræver firmware-modifikationer eller netværksadgang. Under kørsel kan det være tilstrækkeligt at manipulere de input, som et system opfatter eller fortolker.

• Prompt Injection: Forskning som RoboPAIR viser, at omhyggeligt strukturerede sprogkommandoer kan lede LLM-styrede robotter ind i usikre bevægelsessekvenser – selv når systemet verbalt afviser kommandoen.
• Adversarielle patches: Et visuelt mønster i kamerabilledet kan reducere en VLA-models succesrate ved standardopgaver til næsten nul – uden at kameraet selv er defekt.
• Indefrysning af beslutningsløkker: Enkelte manipulerede billedinput kan lamme en robots samlede beslutningslogik og gøre den ufølsom over for efterfølgende instruktioner.
• Dissociation mellem sprog- og motorlag: I flere dokumenterede tilfælde afviste en robot verbalt en farlig kommando – men udførte den alligevel motorisk, fordi sprogmodellen og bevægelsescontrolleren reagerede afkoblet.

Runtime-Assurance skal derfor række langt ud over de enkelte komponenters tilgængelighed. Det relevante spørgsmål lyder: Begynder cyber-hændelser at påvirke den fysiske adfærd?

Hvad det betyder for virksomheder

Physical AI er ikke længere et futuristisk koncept. Logistikrobotter, kollaborative industrirobotter, autonome køretøjer og humanoide assistentsystemer er allerede i brug eller står over for en bred udrulning. Den, der i dag investerer i disse teknologier, må tænke sikkerheden grundlæggende nyt – ikke som en efterstillet compliance-opgave, men som en integreret del af den samlede udviklings- og driftscyklus.

Dr. Maik Bunzel, grundlægger og administrerende direktør for mabucon.eu, anbefaler virksomheder at skelne eksplicit mellem funktionel sikkerhed og adversariel robusthed, når de indfører KI-understøttet automatisering: „Et system kan bestå alle klassiske sikkerhedstest og alligevel bringes i farlige tilstande gennem målrettet manipulation. Denne kløft er ingen randfænomen – den er systemimmanent, når KI træffer fysiske beslutninger."

Konkret bør virksomheder inkludere følgende foranstaltninger i deres roadmap:

• Modelrevisioner før deployment: KI-modeller bør ikke kun testes for nøjagtighed, men eksplicit for backdoor-sårbarhed og adversariel robusthed – ideelt set i simulerede miljøer, der afspejler realistiske angrebsscenarier.
• Supply-Chain-transparens: Fortrænede modeller og tredjepartskomponenter er potentielle indgangspunkter. Oprindelse og integritet af modelvægte bør være sporbare.
• Kontinuerlig overvågning i drift: Klassisk IT-overvågning er ikke tilstrækkelig. Anomalidetektion skal også rettes mod adfærdsafvigelser i den fysiske handling.
• Layered Defense: Ingen enkelt beskyttelsesmekanisme er tilstrækkelig. Netværkssikkerhed, modelvalidering, sikre middleware-konfigurationer og runtime-overvågning skal fungere som lag i samspil.
• Red-Teaming for Physical AI: Målrettede angrebssimulationer, der dækker både model- og systemniveau, bør blive en del af den løbende sikkerhedsproces.

Fremtidsperspektiv: Sikkerhed som arkitekturbeslutning

De seneste års forskningsresultater tegner et klart billede: Jo mere autonomi KI-systemer får i fysiske miljøer, desto større bliver den skade, et målrettet angreb kan forårsage – og desto mere subtile bliver angrebsvektorerne. Backdoors i modeller, kompromitteret middleware, adversarielle patches i kamerabilledet: Alt dette efterlader ingen klassiske fejllogfiler.

For automatiseringsbranchen betyder det en fundamental nyorientering. Sikkerhed må ikke længere betragtes som et eksternt krav, som et færdigt system skal opfylde. Den skal fra begyndelsen indgå som en arkitekturbeslutning i udviklingen – i valget af modelarkitektur, i udformningen af kommunikationslag, i deployment-strategien og i driftsprocesserne.

Virksomheder, der gennemfører denne forandring nu, sikrer ikke blot deres investeringer – de opbygger det tillidsgrundlag, uden hvilket Physical AI på lang sigt ikke vil opnå samfundsmæssig accept. Teknologien er klar. Sikkerhedskulturen må ligeledes blive det.