💻 computer science

Inverting Neural Networks: New Methods to Generate Neural Network Inputs from Prescribed Outputs

Diese Arbeit stellt zwei neue Methoden zur inversen Berechnung von Eingabebildern für vorgegebene neuronale Netzwerkausgaben vor, die durch die Erzeugung zufallsähnlicher Bilder mit nahezu perfekten Klassifizierungsergebnissen Schwachstellen in Transformer- und linearen Architekturen aufdecken und eine umfassendere Abdeckung des Eingaberaums ermöglichen.

Ursprüngliche Autoren: Rebecca Pattichis, Sebastian Janampa, Constantinos S. Pattichis, Marios S. Pattichis

Veröffentlicht 2026-03-24

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Rebecca Pattichis, Sebastian Janampa, Constantinos S. Pattichis, Marios S. Pattichis

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, ein neuronales Netzwerk ist wie ein hochmoderner, aber etwas verschlossener Koch. Dieser Koch nimmt Zutaten (Bilder) entgegen, verarbeitet sie durch eine Reihe von geheimen Schritten (die Schichten des Netzwerks) und serviert am Ende ein Gericht mit einem Etikett, z. B. „Das ist eine 7" oder „Das ist ein Hund".

Das Problem ist: Wir verstehen nicht genau, welche Zutaten der Koch braucht, um ein bestimmtes Gericht zu bekommen. Normalerweise schauen wir uns an, was der Koch isst, um zu raten, was er kocht. Aber was, wenn wir den Prozess umdrehen wollen? Was, wenn wir dem Koch sagen: „Ich will unbedingt ein Gericht, das zu 100 % wie eine '7' aussieht" – und wir wollen wissen, welche Zutaten er dafür braucht?

Das ist genau das, was diese Forscher mit ihrer Arbeit „Invertierende Neuronale Netze" tun. Sie entwickeln Methoden, um vom fertigen Gericht (dem Ergebnis) zurück auf die Zutaten (das Eingabebild) zu schließen.

Hier ist die einfache Erklärung ihrer zwei neuen Methoden:

1. Die Methode des „Rätsel-Rätsels" (Forward Pass)

Stellen Sie sich vor, Sie haben einen blinden Koch. Sie sagen ihm: „Mach mir eine 7." Er wirft etwas in den Topf. Sie schmecken es und sagen: „Nicht ganz, aber näher dran." Er probiert es erneut, passt die Gewürze an und versucht es wieder.

Wie es funktioniert: Die Forscher starten mit einem völlig zufälligen, chaotischen Bild (wie ein Haufen bunter Pixel, der aussieht wie TV-Rauschen). Dann nutzen sie einen mathematischen Kompass (einen Algorithmus namens „Wurzel-Suche"), der ihnen sagt: „Beweg dich in diese Richtung, um näher an das Ziel zu kommen."
Der Clou: Sie tun dies so lange, bis das chaotische Bild plötzlich perfekt als „7" erkannt wird. Das Ergebnis ist oft ein Bild, das aussieht wie ein abstraktes Kunstwerk oder ein digitales Rauschen, aber für den Computer ist es die perfekte 7.

2. Die Methode der „Umgekehrten Treppe" (Backward Pass)

Stellen Sie sich das neuronale Netz als eine Treppe mit vielen Stufen vor. Normalerweise gehen Sie von unten nach oben (vom Bild zur Klassifizierung). Diese Forscher gehen die Treppe aber von oben nach unten hinunter.

Wie es funktioniert: Sie beginnen oben bei der Antwort („Das ist eine 7") und versuchen, Schritt für Schritt zurückzurechnen, was auf der Stufe darunter passiert sein muss.
Das Geheimnis (Der „Geister-Trick"): Bei jeder Stufe gibt es mathematische „Lücken" (der sogenannte Nullraum). Stellen Sie sich vor, Sie gehen eine Treppe hinunter, aber an jeder Stufe können Sie sich entscheiden, ein bisschen nach links oder rechts zu taumeln, ohne dass Sie vom Weg abkommen. Die Forscher nutzen diese Freiheit, um völlig zufällige „Geister"-Zusätze in die Berechnung zu mischen.
Das Ergebnis: Am Ende der Treppe landen sie bei einem Bild, das völlig zufällig aussieht, aber trotzdem perfekt funktioniert.

Was haben sie entdeckt? (Die große Überraschung)

Frühere Methoden erzeugten Bilder, die den echten Trainingsdaten (den echten Fotos von 7ern) sehr ähnlich sahen. Es war, als würde der Koch immer nur die gleichen Standard-Zutaten verwenden.

Die neuen Methoden der Forscher zeigen jedoch etwas Beunruhigendes und Faszinierendes:
Sie können völlig zufällige, verrückte Bilder erzeugen, die für das neuronale Netz so klar wie eine 7 sind, dass es zu 99,9 % sicher ist.

Die Analogie: Stellen Sie sich vor, Sie zeigen einem Sicherheitsbeamten ein Foto von einem völlig unsichtbaren, chaotischen Nebel. Der Beamte schaut es sich an und sagt: „Das ist eindeutig ein Tiger!" Und das ist es für das Netzwerk auch.
Die Gefahr: Das zeigt eine Schwachstelle. Die Netzwerke lernen nicht wirklich, was eine „7" ist (z. B. zwei geschwungene Linien), sondern sie reagieren auf Muster, die wir Menschen gar nicht sehen können. Wenn man diese zufälligen Bilder nutzt, kann man das Netzwerk täuschen oder testen, wie stabil es wirklich ist.

Fazit

Die Forscher haben zwei Werkzeuge entwickelt, um die „Black Box" des neuronalen Netzes zu öffnen. Sie zeigen uns, dass man nicht unbedingt ein echtes Foto braucht, um ein neuronales Netz zu täuschen oder zu verstehen. Man kann auch mit reinem mathematischen Rauschen arbeiten.

Das ist wie ein Spiegel, der nicht das Gesicht, sondern die Seele des Algorithmus zeigt: Es offenbart, dass diese KI-Systeme manchmal auf völlig seltsame und unvorhersehbare Weise funktionieren, weit entfernt von dem, was wir als „sinnvoll" empfinden.

1. Problemstellung

Neuronale Netze (NN) modellieren komplexe Abbildungen von Eingabedaten (z. B. Bildern) zu Ausgabewahrscheinlichkeiten (Klassen). Das Verständnis dieser Abbildungen ist schwierig. Das Paper adressiert das inverse Problem: Gegeben eine spezifische Ausgabe (z. B. eine Klassenwahrscheinlichkeitsverteilung), wie kann man die entsprechenden Eingabebilder rekonstruieren?

Ziel ist es, Eingabebilder zu generieren, die eine bestimmte Klasse mit hoher Wahrscheinlichkeit auslösen. Bisherige Methoden (wie das Trainieren von Eingabebildern zur Minimierung des Fehlers) erzeugen oft Bilder, die dem ursprünglichen Trainingsdatensatz sehr ähnlich sind. Das Paper zielt darauf ab, zufallsähnliche Eingabebilder zu erzeugen, die weit vom Trainingsdatensatz entfernt liegen, um die Stabilität und die tatsächlichen Merkmale zu verstehen, auf die das Netzwerk für eine Klassifizierung zurückgreift.

2. Methodik

Die Autoren stellen zwei allgemeine Methoden zur Lösung des inversen Problems vor, die keine zusätzliche Trainingsphase (z. B. Decoder) erfordern:

A. Forward-Pass-Algorithmus (Vorwärts-Iteration)

Prinzip: Dieser Ansatz behandelt das Problem als Nullstellenfindung (Root-Finding).
Prozess:
1. Start mit einem zufälligen Eingabevektor $x_0$ .
2. Anwendung eines Root-Finding-Algorithmus (hier: Levenberg-Marquardt), um $x$ so zu finden, dass $NN(x)$ die gewünschte Klassenverteilung ergibt.
3. Zur Beschleunigung der Konvergenz wird die Jacobian-Matrix der Verlustfunktion bezüglich der Eingabe $x$ verwendet.
Einschränkung/Vorteil: Der Algorithmus kann auf beliebige NN-Architekturblöcke angewendet werden, liefert aber durch die zufällige Initialisierung oft nur eine einzelne Lösung (lokal) und keine vollständige Abdeckung des Eingaberaums.

B. Backward-Pass-Algorithmus (Rückwärts-Iteration)

Prinzip: Dieser Ansatz invertiert das Netzwerk Schicht für Schicht von der Ausgabe zur Eingabe.
Voraussetzungen: Das Netzwerk muss aus invertierbaren Komponenten bestehen (Softmax, invertierbare Aktivierungsfunktionen wie SELU oder LeakyReLU, und lineare Schichten).
Prozess:
1. Inversion der Softmax-Schicht: Umrechnung der Wahrscheinlichkeiten zurück in Logits.
2. Inversion der Aktivierungsfunktionen: Anwendung der inversen Funktion $\phi^{-1}$ .
3. Inversion linearer Schichten ( $W_i x + b_i$ ): Hier wird die Singulärwertzerlegung (SVD) verwendet, um die Pseudoinverse der Gewichtsmatrix zu berechnen.
  - Stabilisierung: Um numerische Instabilitäten zu vermeiden, werden Singulärwerte, die zu einem hohen Konditionszahl führen (z. B. > 100), auf Null gesetzt.
4. Nullraum-Sampling (Kerninnovation): Um alle möglichen Eingaben zu finden, die zu einem bestimmten Schichtausgang führen, wird ein zufälliger Vektor aus dem Nullraum der Gewichtsmatrix ( $Null(W_i)$ ) generiert und zum berechneten Eingang addiert. Dies ermöglicht die Erzeugung einer Verteilung von Eingabebildern, nicht nur eines einzelnen Bildes.
Ergebnis: Der Algorithmus generiert eine Menge von Eingabebildern, die die gewünschte Ausgabe erzeugen.

C. Generalisierte Methode

Die Autoren kombinieren beide Ansätze: Der Forward-Pass kann für beliebige Blöcke genutzt werden, während der Backward-Pass für spezifische, invertierbare Blöcke eine vollständige Abdeckung des Eingaberaums ermöglicht.

3. Experimente und Ergebnisse

Die Methoden wurden auf verschiedenen Architekturen getestet:

Transformer-Architekturen (Vision Transformers - ViT):
- Modelle: tiny-ViT und DINOv3-Base, feinabgestimmt auf MNIST.
- Methode: Forward-Pass (Levenberg-Marquardt).
- Ergebnis: Erzeugung von Bildern, die für die Zielklasse eine Wahrscheinlichkeit $\ge 0,9$ und für andere Klassen $\le 0,1$ erreichen.
Fully Connected Neural Networks (FCNN):
- Modelle: Netze mit 1, 2 und 6 linearen Schichten (mit SELU-Aktivierung).
- Methode: Backward-Pass mit Nullraum-Rauschen (Standardabweichung 0,1).
- Ergebnis: Auch hier wurden perfekte Klassifizierungsscores erreicht.

Visuelle Analyse (Fig. 3):

Die mit früheren Methoden (aus Referenz [1]) generierten Bilder ähnelten stark dem originalen MNIST-Trainingsdatensatz.
Die neuen Methoden erzeugten zufallsähnliche Bilder (Noise-ähnlich), die kaum noch visuelle Ähnlichkeit mit den Originaldaten aufweisen.
Mit zunehmender Netzwerktiefe (Anzahl der Schichten) und Komplexität (z. B. bei DINOv3 im Vergleich zu ViT-tiny) wurde das generierte Bild immer zufälliger. Dies wird im Paper als Bestätigung des Bias-Variance-Tradeoffs interpretiert: Höhere Komplexität führt zu höherer Varianz in den generierten Eingaben.

4. Wichtige Beiträge

Neue Algorithmen: Einführung eines Forward-Pass-Verfahrens (basierend auf Jacobian und Root-Finding) und eines Backward-Pass-Verfahrens (basierend auf Schicht-inversion und Nullraum-Sampling).
Kein zusätzliches Training: Im Gegensatz zu Methoden, die Decoder trainieren müssen, arbeiten diese Verfahren direkt mit den existierenden Gewichten des vortrainierten Netzes.
Vollständige Abdeckung: Der Backward-Pass nutzt die Nullräume linearer Schichten, um nicht nur ein, sondern eine Verteilung möglicher Eingaben zu generieren.
Anwendung auf moderne Architekturen: Erfolgreiche Demonstration sowohl bei linearen Netzen als auch bei komplexen Transformer-Modellen.

5. Bedeutung und Schlussfolgerung

Die Arbeit zeigt, dass neuronale Netze anfällig für zufallsähnliche Eingaben sind, die dennoch eine perfekte Klassifizierung liefern. Dies deckt eine fundamentale Schwäche auf: Die Netze nutzen möglicherweise keine semantisch sinnvollen Merkmale, sondern hochkomplexe, nicht intuitive Muster, die auch in reinem Rauschen existieren.

Sicherheit: Die Methoden offenbaren Verwundbarkeiten, da Angreifer theoretisch beliebige Eingaben (auch Rauschen) finden könnten, die eine gewünschte Klasse auslösen.
Erklärbarkeit (XAI): Die generierten Bilder helfen zu verstehen, welche Merkmale das Netzwerk tatsächlich lernt. Da die Bilder oft wie Rauschen aussehen, deutet dies darauf hin, dass die Entscheidungsfindung des Netzes sehr komplex und schwer interpretierbar ist.
Zukunft: Die Autoren planen, die Backward-Pass-Methode auf Netze mit nicht-invertierbaren Aktivierungsfunktionen (wie ReLU) zu erweitern, möglicherweise durch den Einsatz von Linearer Programmierung.

Zusammenfassend bieten die vorgestellten Methoden einen umfassenderen Einblick in den Eingaberaum neuronaler Netze und unterstreichen die Notwendigkeit robusterer Modelle, die nicht auf zufallsähnlichen Mustern basieren.