PhantomTac攻撃、ロボットに物を落とさせたり握り潰させたりする

研究者らは、隠した磁気タグでロボットの触覚センサーを欺き、物を落とさせたり、力を入れすぎて破損させたりする攻撃「PhantomTac」を実証しました。

物体に小さな磁気タグを貼り付けるだけで、ロボットの磁気式触覚センサーを欺くことができます。その結果、ロボットは物を落としたり、強く握りすぎたり、物理的な接触を誤認したりします。

「PhantomTac」と呼ばれるこの攻撃の詳細は、Binbin Zhang氏、Yifeng Zhang氏、Xiaomeng Chen氏、Dongyao Chen氏による研究論文で説明されています。論文は10月19日に公開されました。論文は、11月15日から19日にオランダのハーグで開催予定のACM Conference on Computer and Communications  Security（CCS）2026に採択されています。

CompareSecurity

PhantomTacがセンサーの読み取り値を操作する仕組み

この手法は、市販の触覚センサーと実際のロボットシステムで検証されました。磁気式触覚センサーは、感知層が曲がったり圧縮されたりする際の磁場の変化を追跡して、圧力を検出します。測定する力は、表面を押す法線力と、表面に沿って働くせん断力です。

PhantomTacは、この方式の限界を突いています。センサーの近くに小さな磁石があると局所的な磁場が生じ、これが打ち消されない場合があります。その結果生じた信号は接触力の変化と誤認され、ロボットの制御システムを惑わせます。

研究者らは、厚さ約0.5ミリメートル、面積が最小1.44平方センチメートルの、バッテリー不要のパッシブ型磁気タグを開発しました。バーコードやQRコードのステッカーの下に隠すことができます。攻撃者に必要なのは、物体やその梱包への短時間のアクセスと、標的となるセンサーのモデルに関する知識だけです。ロボットのソフトウェアや制御システムにアクセスする必要はありません。

テストで明らかになったロボットのハンドリングへのリスク

研究者らは、PaXini社のセンサー数機種とXELA uSPa 46センサーを評価しましたが、ロボットを使った実証にはPaXini社のハードウェアのみを使用しました。なお、PaXiniとXELAはいずれもロボット用触覚センサーのメーカーです。

テスト対象のモデルは、磁場を利用して接触力を測定します。ロボットは、物体をどの程度しっかり握っているか、あるいは押しているかを、この測定値から判断します。研究者らはさらに、Dofbot-Pi4Bロボットアームに磁気式触覚センサーを取り付け、タグによってグリッパーに物を落とさせたり破損させたりできるかを検証しました。

把持テストでは、接触位置がタグの想定配置位置から8ミリメートル以内の場合、攻撃は95%を超える確率で成功しました。

ロボットが実際に加えている圧力よりも大きな圧力をセンサーが報告すると、ロボットはしっかり握れていない段階で動き出し、物を落とすおそれがあります。逆にセンサーの報告する圧力が小さすぎると、ロボットは物が壊れるまで握り続けることがあります。論文は、横方向の力を誤って読み取らせることで把持力が弱まる可能性についても検討しています。

Your browser does not support embedded video.

PhantomTacにより、Dofbot-Pi4Bロボットアームは把持力を過小評価し、グリッパーが閉じ続けて物を握り潰しました。動画提供：研究者ら。

PaXiniとXELAはロボット用触覚センサーのメーカーです。テスト対象のモデルは、磁場を利用して接触力を測定し、ロボットが物体をどの程度しっかり握っているか、あるいは押しているかを判断する助けとなります。別のテストでは、Unitree G1ヒューマノイドロボットが、誤った読み取り値の種類に応じて、花瓶に触れる前に接触を検知したり、止まらずに花瓶を押し倒したりしました。

Your browser does not support embedded video.

PhantomTacにより、Unitree G1ロボットは接触力を過小評価して衝突の検知が遅れ、花瓶が倒れました。動画提供：研究者ら。

今回の研究結果は、別の研究「GhostTac」とも通じるものがあります。GhostTacは、電磁干渉によって、物理的に接触しなくても触覚センサーを操作できることを調べた研究です。どちらの研究も、操作されるおそれのある触覚の読み取り値に依存することのリスクを浮き彫りにしています。

研究者らは、触覚の読み取り値をモーター電流、関節トルク、動きと照合し、矛盾した信号を見つけ出すことを提案しています。ただし、この防御策は実験で評価されていません。論文が示したのは管理された環境での攻撃であり、実際に導入されたロボットが被害を受けた事例ではありません。