自动驾驶领域正在快速拥抱生成式模型，端到端（E2E）架构逐渐取代传统的模块化流水线。在这一转变中，基于扩散模型的去噪解码与基于词表的检索式解码成为两大主流轨迹生成范式。然而，一篇新近提交至 arXiv 的论文指出，这些架构各异的生成式规划器在推理阶段共享着一个关键且脆弱的共性：首先固定一组候选轨迹（可能是锚点、词表条目或提案查询），随后由一个或多个以鸟瞰图（BEV）特征为条件的评分头对这些候选进行打分，最终将得分最高的候选轨迹作为车辆的行驶指令输出。
正是这一设计引出了安全隐患。研究者强调，在这样的推理模式下，评分头实际上是感知模块与运动指令之间唯一的屏障，而不同候选轨迹之间的决策裕度往往很小。换言之，只要评分头的判断被轻微扰动，原本安全的候选就可能被不安全的候选反超。该论文由 Halima Bouzidi 等四位作者完成，题为《Off the Rails: Hijacking the Scoring Head in Generative End-to-End Driving Planners with Safety-Violating Adversarial Perturbations》，共 23 页，包含 4 幅图和 9 张表格，涉及机器人学、密码学与安全以及计算机视觉与模式识别等多个学科方向。
作者提出了名为 Derail 的对抗性框架，专门针对评分头这一攻击面展开攻击。与通用的损失最大化攻击或特征散度攻击不同，Derail 采用以安全违规为目标导向的对抗扰动，试图让规划器在众多候选中选中不安全的轨迹。研究团队在多种生成式规划器上进行了评估，结果显示该攻击能够成功将轨迹选择从安全候选翻转为不安全候选，评分下降幅度达到 39% 至 80%，碰撞率最高可达 50%，并持续优于基线攻击方法。
论文的分析进一步指出，攻击效果的关键在于目标函数是否围绕安全违规来设计，而非仅仅追求特征层面的偏移。这一发现意味着，生成式自动驾驶规划器的评分头推理模式本身构成了一种反复出现的攻击面，值得在防御设计中得到明确的、系统性的考量。
从时间线来看，该论文于 2026 年 6 月 29 日提交，提交时间为当日 18:32:29 UTC，文件大小约 3.5 MB，论文编号为 arXiv:2606.30807v1，属于 cs.RO 分类下的新投稿。作者同时提供了 PDF、实验性 HTML 以及 TeX 源码等多种访问形式。研究结论对当前热衷于采用生成式端到端方案的自动驾驶产业具有警示意义：在追求轨迹生成质量与多样性的同时，必须重新审视评分环节的鲁棒性，并针对这一单点瓶颈建立专门的防御机制，否则感知层面再稳健，也可能在最后的候选选择步骤功亏一篑。