你让机器人把水果放进指定篮子，旁边却有人摆了一张冒充“系统通知”的纸条。机器人可能不再听你的，而是照纸条行动。这就是物理提示注入：恶意指令不从软件输入，而是混进摄像头看到的现实场景。视觉语言模型（VLM）本来负责同时理解画面和文字；一旦它也参与规划动作，相机所见的文字便成了新的风险入口。
研究者用真实机器人工作区的照片，测试三种场景布局、三种命令写法和20条攻击提示，共进行5670次试验。作者报告，攻击对GPT-4o、Gemini 2.5 Flash和Qwen3-VL-32B的成功率分别为27.0%、29.4%和5.0%；冒充权威指令与否定原任务的纸面文字，在三款模型上都能奏效。更值得警惕的是，成功受骗时，模型有99.9%的情况明确提到了攻击文字。换句话说，它通常不是“没看清”，而是看见后仍把纸条当成了该遵守的命令。
这项研究测的是模型根据静态照片生成行动计划，并未让机器人实际执行，因此不能直接等同于现实事故率。作者还称，提示防御、二次核验和遮蔽画面文字都能显著降低攻击成功率；但遮掉文字也可能妨碍本来就需要读取标签的任务。