精读笔记

Problem Setting

【Early Warning Signals for OpenVLA Failure under Visual Distribution Shift】（arXiv preprint / 2026-06-30）。这篇论文真正解决的不是 VLA robustness 本身，而是一个更窄但重要的问题：当 OpenVLA 在视觉分布偏移下即将失败时，它的内部激活是否已经包含可读出的早期失败信号。困难点在于机器人失败不是静态分类错误，而是闭环轨迹逐步偏离后的结果；失败标签通常只在后验或 timeout 时出现，早期状态与后期失败之间有时间延迟和轨迹相关性。以前只看 action disagreement、输出置信度或最终成功率的方法卡在一个地方：它们把策略当黑盒，无法判断失败风险是否已经在策略内部表征中形成。这个任务的关键矛盾是：预警必须早于外部失败现象，但监督信号又来自后验轨迹结果。

Motivation

已有路线不够的地方在于，它们要么做系统级 OOD 成功率评估，要么做外部 failure detector，很少问 VLA 自身是否已经编码了失败相关信息。作者的核心观察是，视觉 shift 下的失败不一定一开始就表现为明显动作异常，但中间层可能已经反映出感知不确定、目标状态不可达、轨迹偏离等 latent risk。这个方向自然来自 mechanistic probing：如果 hidden state 中有线性可读出的未来失败信号，就可以在不重训 policy 的情况下构造 runtime monitor。关键缺口不是“如何恢复失败”，而是“失败前模型内部有没有可定位的 warning representation”。

Core Idea

核心思想是把 VLA 的中间激活视为闭环执行过程中的状态诊断通道，而不是只把它当作生成 action 的内部计算。作者固定 OpenVLA，在 LIBERO rollout 中记录特定 feedforward 层激活，再用未来 15 步内是否失败作为标签训练轻量线性 monitor。这样做的本质不是增加一个复杂 detector，而是测试 failure-relevant information 是否已经存在于策略表征空间中。

这个思路可能有效，是因为 VLA 的 hidden state 同时混合了视觉观测、语言目标、当前任务阶段和动作决策所需的信息；视觉 occlusion 改变的不只是像素，而是整个闭环状态估计和 action feasibility。若失败轨迹在这些隐变量上系统性偏离，线性 probe 就能捕捉到一个 failure geometry。和 prior 的本质区别在于，它不是从外部不确定性或多次采样动作中估计风险，而是直接读取 policy 内部 representation；这引入的 inductive bias 是“失败风险已经被模型表征，只是未显式输出”。

Method

方法的关键机制可以压缩成三点。第一，使用受控视觉 shift 尤其是 occlusion 来制造非退化失败分布：扰动只改观测，不改任务、语言、动力学和 success condition，因此成功/失败差异更可能对应视觉可观测性导致的闭环偏移，而不是任务定义变化。第二，在 OpenVLA 的中间 MLP 激活上训练两类线性 monitor：mean-difference direction 检查是否存在粗糙成功/失败方向，logistic probe 检查 time-step 级 near-term failure 是否线性可分。第三，把 clean rollout 的风险分位数作为 warning threshold，并在 camera jitter/color shift 上不重训测试，目的是排除 monitor 只是正常轨迹上持续报警或只识别 occlusion artifact。

这些机制的必要性在于：受控 shift 给出可解释失败来源；未来窗口标签把检测目标从事后分类变成早期预警；线性 probe 限制模型容量，使结果更接近 representation decodability，而不是训练一个强 detector 重新学习任务。

Key Insight / Why It Works

最重要的 insight 是：VLA 内部表征中可能已经有比输出动作更早、更稳定的 failure precursor。action disagreement 基本随机，说明简单输出敏感性没有抓住核心；layer 16 logistic probe 强，说明风险信号更像是中间层的 latent state alignment，而不是最终 action variance。这里有效的原因大概率不是 test-time compute，也不是 retrieval，而是 representation alignment：模型在执行时形成了与任务进展和可行动性相关的隐状态，失败轨迹在这个空间中出现可分离结构。

真正的贡献是把“失败检测”从外部行为统计转成 activation-level diagnostic，并显示这种信号在特定层强、在其他层弱。mean-difference direction 只恢复一部分，说明 failure geometry 不是单纯 episode-level 成功/失败均值偏移；logistic probe 的优势来自 time-step 层面的 discriminative boundary。辅助部分是 warning policy，它更多证明分数可接入 runtime，不证明 recovery。

需要直接指出：当前高 AUROC 可能被 trajectory correlation 放大。time-step 样本不是独立样本，很多正负例来自少量相邻闭环状态；如果没有严格 episode-grouped/task-held-out split，probe 可能学到的是某些 rollout cluster、task phase 或 occlusion-induced visual signature，而不是可泛化的 failure concept。camera jitter transfer 缓解但没有消除这个问题。增益来源不清，可能相当一部分来自受控 occlusion 造成的表征簇分离，而不是普适早期失败机制。

Relation To Prior Work

这篇最接近两条线：一是 VLA failure detection / runtime monitoring，例如 SAFE、FAIL Detect、AHA；二是 activation probing / mechanistic interpretability。和 SAFE 的差异在于，SAFE 更像面向 multitask failure detector 的系统方法，而本文更小、更诊断，关注少数 OpenVLA 层在受控 shift 下到底有多少可读信号。和 action uncertainty/OOD detection 的差异在于，它不把输出分歧当风险代理，而是直接读内部表征。

看似新的地方其实有一部分是已有 probing 思想在 VLA failure 上的重组：线性 probe、hidden-state monitor、clean threshold 都不是新技术。实质新增的信息是经验性的：在 OpenVLA 的闭环 manipulation rollout 中，layer-dependent feedforward activation 确实包含 near-term failure decodability，并且这种信号不完全等价于动作分歧或单一 occlusion 检测。它属于“activation-based runtime diagnostics for embodied foundation policies”这条谱系，而不是新的控制算法或 robust policy learning 方法。

Dataset / Evaluation

评估范围很窄：LIBERO 10 中只用部分 task，固定 seed，100 episodes per condition，主要压力测试是 occlusion。它支持的 claim 应该被限定为：在受控视觉扰动导致的同分布 rollout 中，OpenVLA 内部激活存在可线性读出的 failure-relevant signal。它不支持 task-held-out generalization，不支持真实世界 deployment，也不支持跨扰动稳健 failure monitor。

occlusion 是合理的第一 stress test，因为它只改变 observability，能制造失败但不完全摧毁任务；不过这也让 benchmark 容易形成特定 perturbation geometry。camera jitter 不重训测试是有价值的，但性能下降明显，只能说明不是纯 occlusion detector。color shift 没有失败，因此不能验证预警能力。整体 evaluation 对“decodability under controlled shift”是充分的，对“general failure warning”是不充分的。

Limitation

核心前提是失败风险在 OpenVLA hidden state 中已经形成稳定、可线性读出的结构；如果换任务、换扰动、换视角后这个结构漂移，monitor 就会失效。scalability 的上限不在 probe 训练，而在 rollout/activation logging：更多层、更多 seed、更多任务、更多 shift 都需要重新收集闭环数据。泛化目前文中未充分说明，尤其缺 episode-grouped、task-held-out、different-seed 的强验证。

更深的限制是因果性缺失。probe 读出风险不等于模型用该信息控制，也不等于沿该方向干预能修复轨迹。失败时间标签依赖 heuristic detector 或 timeout，可能把不同 failure modes 混在一起。warning policy 也只是把风险分数转成 abort/no-op/hold-last，不是恢复控制器。所谓早期预警可能部分来自 task phase、occlusion severity 或 trajectory cluster 的 implicit memorization；若严格分组后性能大幅下降，就说明当前结果主要是 decodability demo，而不是可部署 safety mechanism。

Takeaway

• 第一，VLA failure monitoring 值得从内部表征入手；输出动作不确定性可能太晚、太粗。
• 第二，线性 probe 的价值不是 detector 强度，而是暴露 failure signal 在模型深度中的分布，后续应该做 denser layer sweep 和 causal intervention。
• 第三，未来关键不是再调 probe，而是扩大闭环数据维度：task-held-out、seed-held-out、多扰动混合和真实相机 shift。
• 第四，真正可迁移的 insight 是：对于 embodied foundation policies，安全诊断可以先问“模型内部是否已有风险变量”，再决定是否需要外部 detector 或 recovery planner。

一句话总结

这篇论文是 VLA 安全诊断方向的一篇 activation-probing 型工作，真正贡献是证明 OpenVLA 在受控视觉 shift 下的中间表征含有可线性读出的近未来失败信号，但它仍停留在 decodability evidence，而非因果解释、泛化 failure monitor 或可部署恢复系统。