ملخص تقني: القدرة والمتانة لا يمكن أن يكونا مجانيين معاً

بيان المشكلة

حققت نماذج الرؤية واللغة والعمل (VLA)، التي تربط الملاحظات متعددة الوسائط (الصور واللغة) مباشرة بأفعال الروبوت، معدلات نجاح عالية في المدخلات النظيفة، لكنها تظهر هشاشة كارثية تحت تأثير الاضطرابات العدائية. تُظهر الدراسات التجريبية أن الاضطرابات غير المحسوسة (مثل هجوم PGD بقيمة $16/255$) يمكن أن تخفض معدلات نجاح المهام من $>95\%$ إلى $<5\%$. وبينما توجد دفاعات تجريبية، إلا أنها تتضمن عادةً مقايضة: فاستعادة المتانة غالباً ما تأتي على حساب الدقة في الحالات النظيفة.

السؤال المركزي المفتوح الذي تعالجه هذه الورقة هو ما إذا كان لهذا التبادل أرضية نظرية. وتحديداً، هل يمكن لإجراء تدريب أكثر ذكاءً أن يحقق القدرة العالية (الدقة النظيفة) والمتانة العالية في آن واحد دون حدود، أم أن هناك قيداً معلوماتياً نظرياً يمنع تعظيم كليهما في وقت واحد؟

المنهجية

صاغ المؤلفون إطاراً نظرياً يعتمد على نظرية المعلومات لوضع حدود للأداء المشترك لسياسات VLA.

1. الإطار النظري

تُعرف الورقة سياسة VLA بأنها $\pi$ التي تربط الملاحظة $X$ بالعمل $A_\pi$. لتكن $A^\star$ هي العملية الخبيرة (الأصلية) و $\tilde{X} = X + \delta$ هي الملاحظة المضطربة. يُعرف المؤلفون مقييسين رئيسيين:

• **القدرة (Capability - $Cap$):** هي المعلومات المتبادلة بين عمل السياسة والعمل الخبير،$I(A^\star; A_\pi)$.
• **المتانة (Robustness - $Rob$):** هي المعلومات المتبادلة المحفوظة تحت الهجوم، والمعدلة لتصحيح "التسرب"، وتُعرف بـ$I(A_\pi; \tilde{A}\pi) - I(A\pi; \delta)$. عملية الطرح$I(A_\pi; \delta)$تمنع السياسات الهزيلة من تحقيق درجات عالية عبر مجرد نسخ الاضطراب$\delta$ إلى العمل.

المساهمة الجوهرية هي النظرية 1، والتي تنص على أنه لأي سياسة VLA ذات أفعال منفصلة (أو مكممة):
$$Cap(\pi) + Rob(\pi) \leq H(A^\star) + I(X; \tilde{X})$$
حيث أن:

• $H(A^\star)$ هو اعتلاج (Entropy) العمل الخبير (تعقيد المهمة).
• $I(X; \tilde{X})$ هي المعلومات المتبادلة بين الملاحظة النظيفة والمضطربة (سعة قناة الهجوم).

يعتمد البرهان على تطبيقين لـ متباينة معالجة البيانات (DPI) وعدم سالبية المعلومات المتبادلة. هذا الحد هو مستقل عن السياسة، مما يعني أن "ميزانية" القدرة والمتانة تتحدد فقط بالمهمة والهجوم، وليس ببنية النموذج.

2. تضييق الحد

يقر المؤلفون بأن الحد القائم على مستوى البكسل فضفاض بالنسبة للنماذج الحالية لأن أبعاد الصورة ($D \approx 49,152$) تتجاوز بكثير أبعاد فضاء العمل ($7$-D). ولمعالجة ذلك، يقترحون الاستنتاج 4 (الحد الخاص بالمشفر):
$$Cap(\pi) + Rob(\pi) \leq H(A^\star) + I(\phi(X); \phi(\tilde{X}))$$
هنا، يمثل $\phi$ مشفراً مجمداً (مثل DINOv2+SigLIP في OpenVLA). هذا يقيد سعة القناة في الفضاء الفرعي ذي الصلة بالسياسة، مما يؤدي إلى تضييق الميزانية النظرية بشكل كبير.

3. استراتيجية التحقق

تتحقق الورقة من الحد من خلال نهجين متميزين:

1. التحقق الاصطناعي (Gaussian-VLA): نموذج بديل بصيغة مغلقة حيث يمكن حساب جميع الكميات ($H, I$) تحليلياً أو تقديرها بدقة عالية. يتضمن هذا 252 خلية تجريبية تختلف فيها الأبعاد ومستويات الضجيج.
2. التحقق من النموذج الحقيقي: التقييم على OpenVLA-7B عبر أربع مجموعات من LIBERO (المكانية، الكائن، الهدف، LIBERO-10) تحت هجمات Projected Gradient Descent (PGD). يستخدم المؤلفون MINE (تقدير المعلومات المتبادلة العصبية) ومقدرات المدرج التكراري المكممة لقياس الحدود.

النتائج الرئيسية

1. التحقق النظري

• صفر انتهاكات: صمد الحد في 252/252 من خلايا Gaussian-VLA الاصطناعية و 48/48 من خلايا تجارب OpenVLA-7B الحقيقية.
• سلوك الفائض (Slack): الفائض ($S = \text{Budget} - (Cap + Rob)$) غير سالب في جميع الحالات. مع زيادة ميزانية الهجوم $\epsilon$، تنخفض سعة القناة $I(X; \tilde{X})$، مما يؤدي إلى تقلص الميزانية الإجمية، وهو ما يتماشى مع التوقعات النظرية.

2. مقدار الحد

• الحد على مستوى البكسل: في OpenVLA، تبلغ ميزانية مستوى البكسل حوالي 5,000 نات (تهيمن عليها سعة قناة الصورة)، بينما $Cap + Rob$المقاسة ضئيلة جداً ($<1$نات). ينتج عن هذا فائض قدره$\sim 10^3$ نات، مما يشير إلى أن حد مستوى البكسل هو سقف فضفاض.
• الحد الخاص بالمشفر: من خلال تقييد القناة في الفضاء الفرعي للمشفر، تنخفض الميزانية إلى $\sim 31$ نات ($H(A^\star) \approx 26$ نات + $I(\phi(X); \phi(\tilde{X})) \approx 4.6$ نات).
• واقع القيد: تحت الحد الخاص بالمشفر، تستهلك القدرة المكممة ($Cap_{disc} \approx 7.5$ نات) بالفعل حوالي $24\%$ من الميزلة الإجمالية. هذا يشير إلى أنه بالنسبة للبنى الحالية، فإن المقايضة ليست نظرية فحسب، بل هي قيد عملي؛ فهناك مساحة محدودة لتحسين المتانة دون التضحية بالقدرة.

3. متانة المقدر

يوضح المؤلفون أن الحد يظل قائماً حتى عند استخدام مقدرات منحازة (MINE, InfoNCE, KSG). بما أن MINE يميل إلى التقليل من تقدير المعلومات المتبادلة (وهو حد أدنى)، فإنه يقلل من تقدير الطرف الأيسر (LHS) للمتباينة، مما يجعل من السهل تحقيق الحد. وبالتالي، فإن نتيجة "صفر انتهاكات" قوية ضد انحياز المقدر.

الأهمية والادعاءات

تدعي الورقة المساهمات والأهمية التالية:

1. أول نتيجة استحالة لسياسات العمل: على عكس الأعمال السابقة (مثل Tsipras et al., 2019) التي ركزت على المصنفات الثنائية، يعد هذا أول حد معلوماتي نظري مخصص لـ سياسات توليد الأفعال. فهو يثبت أن القدرة والمتانة لا يمكن أن يكونا مجانيين؛ فهما يتنافسان على ميزانية ثابتة تحددها تعقيد المهمة وسعة قناة الهجوم.
2. مقياس جديد لتقييم الدفاع: يقترح المؤلفون الفائض الخاص بالمشفر ($S_{enc}$) كمقياس معياري لمقارنة أوراق الدفاع. بدلاً من الإبلاغ عن أرقام مطلقة للمتانة لا تنتقل عبر الإعدادات المختلفة، يمكن للأعمال المستقبلية الإبلاغ عن كسر ميزانية المشفر المستهلكة. وهذا يسمح بتقييم معياري لمدى اقتراب السياسة من الحد النظري.
3. القيمة التشخيصية للبنية: يكشف الحد أن "الفضاوة" في النماذج الحالية هي هيكلية. الفجوة بين ميزانية مستوى البكسل وميزانية مستوى المشفر توضح أن السياسات الحالية لا تستغل تماماً المعلومات المتاحة في تمثيل المشفر.
4. الآثار المتعلقة بالسلامة: تعيد هذه الورقة صياغة الهشاشة العدائية من كونها مشكلة دقة إلى مشكلة سلامة. بما أن كل تنبؤ هو فعل فيزيائي، فإن الأرضية النظرية تعني أن هناك حداً صلباً لمدى المتانة التي يمكن جعل VLA يصل إليها دون المساس بقدرته على أداء المهمة، مما يستوجب تحولاً في كيفية تصميم وتقييم الأنظمة الحساسة للسلامة.

تخلص الورقة إلى أنه بينما الحد غير بنائي (أي أنه لا يوفر وصفة لبناء سياسة تشبع الحد)، إلا أنه يضع حداً أساسياً لا يمكن لأي ضبط معماري تجاوزه. ويمثل "الفائض" الفجوة بين القدرات الحالية والحد الأقصى النظري، وهي فجوة يمكن قياسها الآن.