Sign-Symmetry Learning Rules are Robust Fine-Tuners

Stellen Sie sich vor, Sie bringen einem Roboter bei, Katzen, Hunde und Autos zu erkennen. Seit Jahrzehnten ist das Goldstandard-Verfahren für das Training dieser digitalen Gehirne eine Methode namens „Backpropagation“. Stellen Sie sich dies wie einen strengen, perfektionistischen Trainer vor, der jede einzelne Bewegung des Roboters beobachtet, jeden Fehler bis auf die kleinste Dezimalstelle berechnet und ein präzises Korrektursignal durch das gesamte Nervensystem des Roboters sendet. Es funktioniert unglaublich gut und macht den Roboter klug und schnell. Doch dieser Trainer hat eine geheime Schwäche: Wenn jemand ein winziges, fast unsichtbares Staubkorn auf das Bild einer Katze schleicht, könnte der Roboter plötzlich schreien: „Das ist ein Toaster!“, weil die perfekten Berechnungen des Trainers zu empfindlich auf diesen winzigen Trick reagieren. Dies wird als „Adversarial Attack“ (gegnerischer Angriff) bezeichnet und ist ein großes Problem für das Vertrauen in KI in der realen Welt. Wissenschaftler versuchen schon lange, einen anderen Weg zu finden, um Roboter zu lehren – einen Weg, der unser tatsächliches menschliches Gehirn nachahmt, indem er eher grobe, biologischere Signale verwendet, anstatt perfekter mathematischer Werte. Aber diese „biologisch plausiblen“ Methoden machten die Roboter jedoch meistens dümmer und langsamer, sodass die meisten Menschen auf sie verzichteten.

Nun hat ein Team von Forschern beschlossen, einen cleveren Hybrid-Ansatz auszuprobieren. Sie fragten: „Was wäre, wenn wir den strengen Trainer nutzen, um dem Roboter die Grundlagen beizubringen, aber dann zum letzten Feinschliff zum gröberen, biologischen Trainer wechseln?“ In ihrer neuen Studie haben sie neuronale Netze (das Gehirn des Roboters) mit der Standardmethode vortrainiert. Dann, anstatt das Training mit demselben strengen Trainer fortzuführen, verwendeten sie eine Gruppe von Regeln namens „Sign-Symmetry“ (Vorzeichen-Symmetrie). Diese Regeln sind wie ein Trainer, dem es nur um die Richtung des Fehlers geht (oben oder unten, links oder rechts), anstatt auf die exakte Größe des Fehlers zu achten. Sie müssen nicht das genaue Gewicht jeder Verbindung kennen; sie müssen nur wissen, in welche Richtung sie sie anstoßen sollen. Die Forscher fanden heraus, dass dieser „grobere“ letzte Schliff den Roboter nicht weniger intelligent beim Erkennen von Dingen machte. Tatsächlich machte er den Roboter unglaublich widerstandsfähig. Wenn Angreifer versuchten, den Roboter mit jenen winzigen, unsichtbaren Staubkörnern zu täuschen, rührte sich der Roboter, der mit den Sign-Symmetry-Regeln trainiert wurde, kaum, während der Roboter, der ausschließlich mit dem strengen Trainer trainiert wurde, kollabierte. Es stellte sich heraus, dass der Roboter, indem er nicht so besessen von perfekter Präzision war, viel schwerer zu täuschen war.

Die Geschichte des groben Schliffs

Tauchen wir ein in die Funktionsweise. Die Forscher begannen mit der Idee, dass der strenge Trainer (Backpropagation) großartig ist, um ein starkes Fundament zu bauen. Es ist wie das Lernen des Fahrradfahrens mit Stützrädern, die einem perfekte Balancendaten liefern. Aber sobald man das Fahrradfahren beherrscht, braucht man diese perfekten Sensoren vielleicht nicht mehr. Das Team nahm vortrainierte Modelle – neuronale Netze, die bereits gelernt hatten, Bilder mit der Standardmethode zu erkennen – und gab ihnen eine „Feinabstimmungs“-Sitzung unter Verwendung von Sign-Symmetry-Regeln.

Es gibt einige verschiedene Varianten dieser Regeln, wie zum Beispiel uSF (Uniform Sign-concordant Feedback), frSF (Fixed Random-magnitude Sign-concordant Feedback) und brSF (Batchwise Random Magnitude Sign-concordant Feedback). Man kann sich das als verschiedene Arten vorstellen, dem Roboter einen Stoß zu geben. Anstatt zu sagen: „Du warst um 0,043 Einheiten nach links verschoben“, sagt der Sign-Symmetry-Trainer einfach: „Hey, du neigst dich nach links, drück nach rechts!“ Er ignoriert die exakten Zahlen und konzentriert sich auf das Vorzeichen (positiv oder negativ) des Fehlers.

Das Team testete dies bei zwei Hauptaufgaben: Bildklassifizierung (Ihnen zu sagen, was in einem Bild zu sehen ist) und Hashing-basierter Bildabfrage (das Finden ähnlicher Bilder in einer riesigen Datenbank). Sie verwendeten populäre Robotergehirne wie AlexNet, VGG-16 und ResNet-18 und testeten sie auf berühmten Datensätzen wie CIFAR-10, MS-COCO und ImageNet.

Die Ergebnisse waren überraschend und aufregend. Was die reine Intelligenz betraf, waren die mit Sign-Symmetry feinabgestimmten Roboter genauso gut wie jene, die vollständig mit dem strengen Trainer trainiert wurden. In einigen Fällen waren sie sogar besser! Beispielsweise erreichten die Sign-Symmetry-Methoden beim CIFAR-10-Datensatz mit einem AlexNet-Gehirn eine Top-1-Genauigkeit von 93,75 % und übertrafen damit die 90,62 % des Standard-Trainers. Beim ImageNet-Datensatz mit einem ResNet-18-Gehirn erreichten sie die Genauigkeit des Standard-Trainers von 87,5 %. Die wichtigste Erkenntung hierbei ist, dass man keine Intelligenz verliert, wenn man zum gröberen Trainer für die letzten Schritte wechselt.

Doch die wahre Magie geschah, als sie testeten, wie gut diese Roboter mit Schwierigkeiten umgehen können. Die Forscher starteten „Adversarial Attacks“ gegen sie. Dies sind wie digitale Hacker, die versuchen, den Roboter zu täuschen, indem sie winzige Mengen an Rauschen zu einem Bild hinzufügen. Sie verwendeten zwei Arten von Angriffen: FGSM und PGD. Dies sind „White-Box“-Angriffe, was bedeutet, dass die Hacker genau wussten, wie der Roboter dachte, und dieses Wissen nutzten, um den perfekten Trick zu entwickeln.

Als sie die Standard-Roboter (trainiert nur mit Backpropagation) angriffen, brachen die Roboter schnell zusammen. Wenn die Hacker das Rauschen (repräsentiert durch einen Wert namens $\epsilon$) erhöhten, stürzte die Genauigkeit der Standard-Roboter ab. Auf dem ImageNet-Datensatz, als das Rauschniveau 0,5 erreichte, sank die Genauigkeit des Standard-Roboters auf fast 0 %. Er wurde vollkommen getäuscht.

Die Roboter, die mit Sign-Symmetry feinabgestimmt worden waren, waren jedoch wie alte, zähe Stiefel. Sie brachen nicht zusammen. Selbst mit demsem starken Rauschen hielten sie ihre Genauigkeit viel besser. In den ResNet-18-Experimenten war der Unterschied zwischen dem Standard-Roboter und dem Sign-Symmetry-Roboter gewaltig – manchmal betrug die Differenz in der Genauigkeit unter Angriff ganze 71,88 %. Die Linie des Standard-Roboters auf dem Graphen fiel wie ein Stein ab, während die Linie des Sign-Symmetry-Roboters sanft nach unten glitt, wie eine Rutsche. Dies deutet darauf darauf hin, dass, weil die Sign-Symmetry-Regeln nicht auf perfekten, exakten Gradienten beruhen, die Hacker nicht einfach den perfekten Trick berechnen können, um sie zu täuschen. Es ist, als versuche man, ein Schloss zu knacken, wenn die Mechanik im Inneren etwas locker und unregelmäßig ist; der perfekte Schlüssel funktioniert nicht mehr.

Das Team prüfte auch, ob diese Roboter anfällig für „Black-Box“-Angriffe sind, bei denen der Hacker nicht weiß, wie der Roboter denkt, und einfach zufällige Tricks ausprobiert. In diesen Fällen schnitten die Sign-Symmetry-Roboter genauso gut ab wie die Standard-Roboter. Dies ist ein entscheidendes Detail: Es bedeutet, dass die Roboter nicht schwächer wurden; sie wurden lediglich speziell schwerer zu täuschen durch Hacker, die sich auf die interne Mathematik des Roboters verlassen.

Die Forscher untersuchten auch die „Hashing“-Aufgabe, die so ähnlich ist, wie eine Bibliothek zu organisieren, indem man Buchcover in kurze, einzigartige Codes umwandelt. Sie fanden hier ähnliche Ergebnisse. Wenn sie mit Methoden wie HAG und SDHA angegriffen wurden, stürzte die Leistung der Standard-Roboter (gemessen am Mean Average Precision, oder mAP) ab. Beispielsweise sank das mAP des Standard-Roboters auf ImageNet bei hohem Rauschniveau auf etwa 12 %, während die Sign-Symmetry-Roboter bei etwa 40 % blieben.

Einer der interessantesten Befunde war, dass die Methode namens frSF (Fixed Random-magnitude Sign-concordant Feedback) die stabilste und leistungsfähigste der Gruppe zu sein schien. Sie hielt über verschiedene Arten von Robotergehirnen und Datensätzen hinweg konsequent die Stellung.

Was bedeutet das also alles? Die Arbeit legt nahe, dass wir uns nicht zwischen „klug“ und „zäh“ entscheiden müssen. Wir können beides haben. Indem wir den strengen, perfekten Trainer nutzen, um das Fundament zu bauen, und dann zum gröberen, biologisch inspirierten Trainer für den letzten Schliff wechseln, erhalten wir einen Roboter, der ebenso klug, aber viel schwerer zu täuschen ist. Die Autoren schlagen vor, dass dieser „Sign-Symmetry“-Ansatz ein neuer Weg sein könnte, um KI sicherer und zuverlässiger zu machen, insbesondere in Situationen, in denen wir es uns nicht leisten können, getäuscht zu werden. Sie geben zu, dass noch mehr Arbeit nötig ist, um zu sehen, wie dies auf noch größere und komplexere Systeme wirkt, aber die ersten Ergebnisse sind ein starker Hinweis darauf, dass der „grobe und raue“ Lernstil der Natur das Geheimnis sein könnte, das uns bisher fehlte, um unsere digitalen Gehirne wirklich robust zu machen.