🤖 AI

Controlling the Risk of Corrupted Contexts for Language Models via Early-Exiting

Dieser Artikel schlägt einen neuartigen Ansatz vor, der distributionfreie Risikokontrolle mit dynamischem frühzeitigen Verlassen kombiniert, um zu verhindern, dass schädliche Kontexte die Leistung großer Sprachmodelle unter eine Null-Shot-Baseline verschlechtern, während gleichzeitig die Effizienz und Genauigkeit bei hilfreichen Eingaben verbessert werden.

Ursprüngliche Autoren: Andrea Wynn, Metod Jazbec, Charith Peris, Rinat Khaziev, Anqi Liu, Daniel Khashabi, Eric Nalisnick

Veröffentlicht 2026-05-29

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Andrea Wynn, Metod Jazbec, Charith Peris, Rinat Khaziev, Anqi Liu, Daniel Khashabi, Eric Nalisnick

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie haben eine brillante, übererfüllende Assistentin (ein Large Language Model, oder LLM), die unglaublich klug ist, aber auch ein bisschen ein Gefälligkeits-Typ. Sie geben ihr eine Aufgabe, wie „Fassen Sie diese Patientennotizen zusammen", und stellen einige Hintergrundinformationen (Kontext) bereit, um ihr zu helfen.

Normalerweise ist dieser Kontext hilfreich. Aber manchmal ist der Kontext Müll. Vielleicht wurden die Notizen von einer müden Krankenschwester getippt, die einen Fehler machte, oder vielleicht versucht jemand, die KI mit falschen Informationen zu täuschen. Wenn die KI diesem schlechten Kontext blind vertraut, könnte sie eine gefährliche oder falsche Antwort geben. Dies ist das Problem „Garbage In, Garbage Out" (Müll rein, Müll raus).

Dieser Artikel schlägt ein Sicherheitssystem vor, um zu verhindern, dass die KI Fehler macht, wenn die Hintergrundinformationen schlecht sind, während sie gleichzeitig beschleunigt wird, wenn die Informationen gut sind. So funktioniert es, unter Verwendung einiger alltäglicher Analogien:

1. Die „Zero-Shot"-Basislinie: Der Bauchinstinkt der KI

Zunächst legen die Forscher eine „sichere Basislinie" fest. Sie fragen: Wie würde diese KI antworten, wenn wir ihr keinen Kontext geben würden?

Die Analogie: Stellen Sie sich vor, Sie schreiben einen Test. Wenn Sie den verwirrenden Lernleitfaden nicht lesen, verlassen Sie sich auf Ihr eigenes Wissen (Ihre „Zero-Shot"-Fähigkeit). Die Forscher sagen: „Okay, sagen wir, Ihre Antwort aus dem Bauch heraus ist der Sicherheitsboden. Wir wollen nicht, dass die KI jemals schlechter abschneidet als ihr eigener Bauchinstinkt."

2. Das Problem: „Überdenken"

Der Artikel entdeckte, dass LLMs bei schlechtem Kontext dazu neigen, zu „überdenken".

Die Analogie: Stellen Sie sich das Gehirn der KI als ein mehrstöckiges Gebäude vor. Die unteren Etagen sind dort, wo die KI mit der Verarbeitung beginnt. Die oberen Etagen sind dort, wo sie das endgültige, tiefe Denken durchführt.
- Wenn der Kontext gut ist, klettert die KI bis zur obersten Etage, und die Antwort wird noch besser.
- Wenn der Kontext schlecht (schädlich) ist, beginnt die KI mit einer guten Idee in den unteren Etagen. Aber während sie höher klettert, wird sie durch die schlechten Informationen verwirrt, ändert ihre Meinung und landet mit einer schrecklichen Antwort in der obersten Etage. Sie „überdenkt" sich in eine Sackgasse.

3. Die Lösung: „Early Exiting" (Der Aufzug)

Um dies zu beheben, gaben die Forscher der KI einen „Aufzug", der an jeder Etage halten kann.

Wie es funktioniert: Während die KI die Frage verarbeitet, überprüft sie ihr Vertrauen in jeder Etage (Schicht).
- Wenn der Kontext hilfreich ist: Die KI wird schnell selbstbewusst. Sie hält an einer frühen Etage an (sagen wir, der 10. Etage) und gibt die Antwort. Dies spart Zeit und Energie, da sie nicht bis ganz nach oben musste.
- Wenn der Kontext schädlich ist: Die KI wird verwirrt. Sie könnte frühzeitig bei einer falschen Antwort selbstbewusst werden, aber das System ist so konzipiert, dass dies erkannt wird. Wenn die KI versucht, zu tief in den „schlechten" Kontext einzutauchen, sagt das System: „Stopp! Du denkst zu viel nach."

4. Das Sicherheitsnetz: Die „Risikokontroll"-Regel

Wie weiß die KI, wann sie aufhören soll? Sie verwenden eine statistische Regel namens Distribution-Free Risk Control (DFRC) (Risikokontrolle ohne Verteilungsannahmen).

Die Analogie: Stellen Sie sich einen strengen Manager (den Risikokontroller) vor, der eine Regel aufstellt: „Sie dürfen den Lernleitfaden verwenden, aber Ihre Endnote darf nicht mehr als 5 % unter dem liegen, was Sie ohne den Leitfaden erreicht hätten."
Die KI testet verschiedene „Stopp-Punkte" (Aufzugsetagen), um den perfekten Ort zu finden.
- Wenn der Kontext schlecht ist, hält die KI früh an oder, wenn sie keinen sicheren Ort findet, ignoriert sie den Kontext vollständig und gibt einfach ihre Antwort aus dem „Bauchinstinkt" (Zero-Shot) ab.
- Wenn der Kontext gut ist, hält die KI früh an, um Zeit zu sparen, gibt aber dennoch eine großartige Antwort.

5. Der „Magische Trick": Umgang mit negativen Werten

Es gab eine technische Hürde. Normalerweise befassen sich Sicherheitsregeln nur mit „schlechten Werten" (wie Fehlern). Aber hier kann die KI einen „guten Wert" (einen negativen Verlust) erhalten, wenn der Kontext hilfreich ist.

Die Analogie: Stellen Sie sich eine Anzeigetafel vor, bei der Fehler positive Zahlen (+10) und gute Antworten negative Zahlen (-10) sind. Standard-Sicherheitsregeln wissen nur, wie man positive Zahlen begrenzt. Sie würden versehentlich die „guten Antworten" (-10) in Nullen verwandeln, wodurch die KI denkt, sie habe keinen Vorteil aus dem hilfreichen Kontext gezogen.
Die Lösung des Artikels: Die Autoren erfanden einen neuen mathematischen Trick (Risikotransformation), um die Anzeigetafel neu zu skalieren. Dies ermöglicht es ihnen, die „guten Antworten" als negative Zahlen zu behalten, während sie gleichzeitig die Sicherheitsregeln anwenden. Dies stellt sicher, dass die KI nicht zu konservativ wird und die Vorteile eines guten Kontexts verpasst.

Das Ergebnis

Durch die Kombination dieser Ideen zeigt der Artikel, dass:

Sicherheit: Die KI niemals schlechter abschneidet als ihr eigener Bauchinstinkt, selbst wenn Sie ihr schreckliche, irreführende Informationen geben.
Geschwindigkeit: Wenn die Informationen gut sind, hält die KI früh an und spart eine enorme Menge an Rechenleistung (in einigen Fällen bis zu 80 % weniger verarbeitete Schichten).

Kurz gesagt, sie bauten einen „intelligenten Aufzug" für KI, der weiß, wann er aufhören soll zu klettern, um nicht in eine Falle zu fallen, aber auch weiß, wann er eine Abkürzung nehmen soll, wenn der Weg frei ist.

Technische Zusammenfassung: Kontrolle des Risikos korrupter Kontexte für Sprachmodelle durch frühes Beenden

Problemstellung

Large Language Models (LLMs) werden zunehmend durch kontextbasiertes Lernen (ICL) und Prompt-Tuning an spezifische Aufgaben angepasst, was es Modellen ermöglicht, aus benutzerbereitgestellten Demonstrationen zu lernen, ohne teures Fine-Tuning. Diese Flexibilität führt jedoch zu einer kritischen Sicherheitsanfälligkeit: „Müll rein, Müll raus." Benutzerbereitgestellter Kontext kann falsch, irreführend oder böswillig gestaltet sein, was dazu führt, dass die Leistung des Modells nachlässt oder unsichere Ausgaben erzeugt werden.

Neue Forschungsergebnisse deuten darauf hin, dass LLMs bei schädlichen Eingaben „überdenken" können, wobei die Leistung in mittleren Schichten ihren Höhepunkt erreicht, aber in tieferen Schichten abnimmt, da sich das Modell an den korrupten Kontext anpasst. Bestehende Sicherheitsmechanismen verfügen oft nicht über prinzipielle Methoden, um zu erkennen, wann Kontext schädlich ist, und zu einer sichereren Basislinie zurückzukehren, ohne die Effizienzgewinne durch frühes Beenden bei hilfreichen Eingaben zu opfern.

Methodik

Die Autoren schlagen einen Rahmen vor, der dynamisches frühes Beenden mit risikofreier Verteilungskontrolle (DFRC) kombiniert, um die Risiken korrupter Kontexte zu mindern und gleichzeitig die Effizienz bei hilfreichen Kontexten zu erhalten.

1. Sicherer kontextbewusster Prädiktor

Der Kernmechanismus definiert eine „sichere" Basislinie unter Verwendung der Zero-Shot-Leistung des Modells (Leistung ohne Kontext). Der vorgeschlagene Prädiktor $\bar{p}_\lambda$ funktioniert wie folgt:

Frühes Beenden: Das Modell verarbeitet Eingaben sequenziell durch die Schichten. In jeder Schicht $l$ wird ein Konfidenzwert $C_l$ berechnet. Wenn $C_l$ einen Schwellenwert $\lambda$ überschreitet, beendet das Modell die Verarbeitung vorzeitig und gibt die Vorhersage dieser Schicht zurück.
Fallback auf Zero-Shot: Wenn das Modell alle Schichten verarbeitet, ohne dass ein Konfidenzwert $\lambda$ überschreitet, ignoriert es den benutzerbereitgestellten Kontext vollständig und kehrt zur Zero-Shot-Vorhersage zurück (die Vorhersage ohne Kontext).
Ziel: Dieses Design ermöglicht es dem Modell, hilfreichen Kontext für Effizienz und Genauigkeit zu nutzen, zwingt es jedoch zu einem Fallback auf das bekannte sichere Zero-Shot-Verhalten, wenn der Kontext dazu führt, dass das Modell unsicher wird oder „überdenkt".

2. Kontextbewusster Vorhersagerisikowert

Um den optimalen Schwellenwert $\lambda$ zu wählen, definieren die Autoren eine neuartige kontextbewusste Verlustfunktion ( $\ell_c$ ):
$\ell_c(\lambda; x, y, c) = \ell(\bar{y}_\lambda(x, c), y) - \ell(\hat{y}(x), y)$
Wobei:

$\bar{y}_\lambda(x, c)$ die Vorhersage des sicheren kontextbewussten Modells ist.
$\hat{y}(x)$ die Vorhersage des vollständigen Zero-Shot-Modells ist.
$\ell$ eine Standardverlustfunktion ist (z. B. 0-1-Verlust für Klassifizierung).

Diese Formulierung misst Überdenken:

Positiver Verlust: Zeigt an, dass das kontextbewusste Modell schlechter abgeschnitten hat als die Zero-Shot-Basislinie (schädlicher Kontext).
Negativer Verlust: Zeigt an, dass das kontextbewusste Modell besser abgeschnitten hat als die Zero-Shot-Basislinie (hilfreicher Kontext).

3. Risikokontrolle durch Learn-Then-Test (LTT)

Die Autoren nutzen das Learn-Then-Test (LTT)-Rahmenwerk, um einen Schwellenwert $\hat{\lambda}$ zu finden, der garantiert, dass das erwartete Risiko $R(\hat{\lambda})$ unter einem vom Benutzer spezifizierten Toleranzwert $\epsilon$ bleibt.

Herausforderung: Standard-LTT erfordert, dass Verlustfunktionen im Intervall $[0, 1]$ beschränkt sind. Der kontextbewusste Verlust $\ell_c$ kann jedoch negativ sein (Bereich von $[-1, 1]$ ), und das Abschneiden negativer Werte auf Null (eine gängige Lösung) verwirft wertvolle Informationen über hilfreichen Kontext, was zu einem übermäßig konservativen Verhalten führt.
Lösung: Die Autoren schlagen eine bereichserhaltende Risikotransformation vor. Sie skalieren den Verlust und das Risikoniveau $\epsilon$ linear, um das Intervall $[a, b]$ vor der Anwendung von LTT auf $[0, 1]$ abzubilden, und kehren dann die Transformation um. Dies bewahrt den Unterschied zwischen hilfreichen (negativer Verlust) und schädlichen (positiver Verlust) Kontexten und ermöglicht es dem System, Sicherheit und Effizienz auszubalancieren.

Hauptbeiträge

Neuartige Formulierung für sicheres frühes Beenden: Ein Prädiktor, der bei Konfidenz dynamisch beendet, aber im Falle fehlender Konfidenz auf eine Zero-Shot-Basislinie zurückgreift, wodurch verhindert wird, dass das Modell sich auf korrupten Kontext verlässt.
Kontextbewusster Verlust für Überdenken: Eine Verlustfunktion, die explizit zur Messung von Leistungsverschlechterungen im Verhältnis zur Zero-Shot-Basislinie entwickelt wurde und die Erkennung schädlichen Kontexts ermöglicht.
Angepasstes Risikokontroll-Rahmenwerk: Eine Modifikation des LTT-Rahmenwerks unter Verwendung von Risikotransformation, um unbeschränkte (insbesondere negative) Verluste zu handhaben, was eine gleichzeitige Risikokontrolle bei schädlichen Eingaben und Effizienzgewinne bei hilfreichen Eingaben ermöglicht.

Experimentelle Ergebnisse

Der Rahmen wurde über 9 Aufgaben (von Sentiment-Analyse, Hassrede-Erkennung, semantischer Klassifizierung bis hin zu offenen Fragen) und 5 verschiedene Modelle (einschließlich LLaMA-2, LLaMA-3 und T5) hinweg evaluiert.

Risikokontrolle: Der Ansatz kontrollierte erfolgreich das Risiko des Überdenkens über alle Modelle und Datensätze hinweg. Das empirische Risiko blieb auch bei gemischten Verteilungen von hilfreichen und schädlichen Kontexten unter dem vom Benutzer spezifizierten $\epsilon$ -Schwellenwert.
Abwägung zwischen Sicherheit und Effizienz: Die Methode identifizierte Schwellenwerte, bei denen das Modell schädlichen Kontext vermied (bei schädlichen Eingaben besser abschnitt als das vollständige Modell), während gleichzeitig Leistungsgewinne durch hilfreichen Kontext erhalten blieben.
Effizienzgewinne: Im Vergleich zu früheren Ansätzen mit Verlustabschneiden erreichte der vorgeschlagene Ansatz der Risikotransformation eine signifikant höhere Recheneffizienz.
- Bei Aufgaben des kontextbasierten Lernens wurden im Durchschnitt bei $\epsilon=0.05$ 53 % weniger Schichten ausgewertet.
- Bei offenen Fragen (SQuAD v2.0) wurden bis zu 81,8 % weniger Schichten ausgewertet.
Zero-Shot-Fallback: Bei offenen Fragen griff das System bei unbeantwortbaren (irreführenden) Fragen 3,3-mal häufiger auf Zero-Shot-Vorhersagen zurück als bei beantwortbaren, was seine Fähigkeit zur Unterscheidung der Kontextqualität demonstriert.

Bedeutung und Behauptungen

Die Autoren behaupten, dies sei die erste Arbeit, die ein prinzipielles Rahmenwerk etabliert, das das Risiko potenziell schädlichen benutzerbereitgestellten Kontexts in LLMs kontrolliert.

Sicherheit: Der Ansatz bietet robuste Sicherheitsgarantien, indem er die Risikokontrolle an die Zero-Shot-Basislinie anbindet, die umfangreichen Sicherheitstests vor der Bereitstellung unterzogen wurde. Er verhindert effektiv das „Überdenken" bei schädlichen Eingaben.
Effizienz: Im Gegensatz zu statischem Beschneiden oder konservativen Abschneidemethoden nutzt dieser dynamische Ansatz frühes Beenden, um erhebliche Recheneinsparungen zu erzielen, wenn der Kontext hilfreich ist.
Prinzipielles Design: Durch die Verwendung verteilungsfreier Risikokontrolle bietet die Methode statistische Garantien für das Risiko, ohne Annahmen zur Monotonie oder spezifisches verteilungstheoretisches Wissen über die benutzerseitigen Eingaben zu erfordern.

Die Arbeit schließt damit, dass zwar spezifische Designentscheidungen (z. B. das Beenden nur in der zweiten Hälfte der Schichten) für verschiedene Aufgaben angepasst werden müssen, der Kernmechanismus der Erkennung und Intervention bei schädlichen Ausgaben durch Zwischenrepräsentationen jedoch ein praktikabler und notwendiger Ansatz für den sicheren Einsatz von LLMs bleibt.