🤖 machine learning

VNN-LIB 2.0: Rigorous Foundations for Neural Network Verification

Dieser Beitrag stellt VNN-LIB 2.0 vor, einen streng formalisierten Standard zur Verifikation neuronaler Netze, der eine Abstraktion der „Netzwerktheorie" einführt, um die Spezifikation von sich entwickelnden ONNX-Modellen zu entkoppeln, und der gleichzeitig eine präzise Syntax, ein Typsystem und eine Semantik bereitstellt, die in Agda mechanisiert sind, um interne Konsistenz und Interoperabilität zu gewährleisten.

Ursprüngliche Autoren: Ann Roy, Allen Antony, Andrea Gimelli, Matthew L. Daggitt

Veröffentlicht 2026-05-11

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Ann Roy, Allen Antony, Andrea Gimelli, Matthew L. Daggitt

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie versuchen, ein Team verschiedener Roboter zu bewegen, gemeinsam ein Puzzle zu lösen. In der Welt der Künstlichen Intelligenz sind diese „Roboter" neuronale Netze (die Gehirne hinter KI), und das „Puzzle" ist die Verifikation (die Überprüfung, ob die KI eine sichere oder korrekte Entscheidung treffen wird).

Lange Zeit sprachen die Menschen, die diese Roboter bauten, und die Menschen, die sie prüften, nicht dieselbe Sprache. Sie verwendeten einen Standard namens VNN-LIB 1.0, doch dieser war wie ein Wörterbuch mit fehlenden Wörtern, ohne Grammatikregeln und mit Definitionen, die sich jedes Mal änderten, wenn jemand hineinschaute.

Dieser Artikel stellt VNN-LIB 2.0 vor, eine brandneue, strenge „Sprache", die diese Probleme behebt. So erklären die Autoren es anhand einfacher Konzepte:

1. Das Problem: Ein defekter Übersetzer

Stellen Sie sich VNN-LIB 1.0 als einen Übersetzer vor, der versuchte, zwei Sprachen gleichzeitig zu sprechen, aber ständig verwirrt wurde.

Keine Grammatik: Es gab keine strengen Regeln dafür, wie eine Frage zu formulieren ist. Daher konnte ein Roboter einen Satz auf eine Weise verstehen, während ein anderer Roboter ihn anders verstand.
Begrenzter Wortschatz: Es konnte nur einfache Puzzles bewältigen (ein Eingang, ein Ausgang). KI in der realen Welt hat oft komplexe Eingänge (wie ein Bild und etwas Text) und mehrere Ausgänge.
Verwirrung bei Gleitkommazahlen: Computer verwenden „annähernde" Zahlen (wie 3,14159...), aber der alte Standard legte nicht fest, ob man sie als exakte Mathematik oder als grobe Annäherungen behandeln sollte. Dies führte zu gefährlichen Fehlern, bei denen ein Roboter dachte, er sei sicher, obwohl er es nicht war.
Das „Black-Box"-Problem: Der alte Standard verließ sich auf ein Dateiformat namens ONNX (der Bauplan für die KI). Doch ONNX hatte keine strenge, offizielle Definition dessen, was seine Symbole bedeuteten. Es war, als würde man einem Roboter einen Bauplan geben, der mit Buntstiften gezeichnet ist und ständig seine Meinung darüber ändert, was eine „Wand" ist.

2. Die Lösung: Die „Netzwerktheorie" (Der universelle Adapter)

Die größte Innovation in diesem Artikel ist ein Konzept namens Netzwerktheorie.

Stellen Sie sich vor, Sie bauen einen universellen Stromadapter. Sie möchten nicht für jede einzelne Steckdose eines Landes (jede Version von ONNX) einen neuen Adapter bauen. Stattdessen erstellen Sie eine universelle Schnittstelle, die sagt: „Solange die Steckdose Strom, Spannung und einen Erdanschluss liefert, kann ich einstecken."

Die Netzwerktheorie ( $\Psi$ ): Dies ist diese universelle Schnittstelle. Es ist ihr nicht wichtig, genau wie der ONNX-Bauplan gezeichnet ist. Sie fragt nur: „Haben Sie eine Möglichkeit, eine Zahl zu definieren? Eine Form? Eine Verbindung?"
Das Ergebnis: VNN-LIB 2.0 kann nun mit jeder Version von ONNX sprechen, sogar mit zukünftigen, ohne dass es neu geschrieben werden muss. Es trennt die Frage (die Abfrage) vom Bauplan (dem Modell) und ermöglicht es ihnen, sich unabhängig weiterzuentwickeln.

3. Die neue Sprache: VNN-LIB 2.0

Mit diesem neuen Fundament entwickelten die Autoren eine viel intelligentere Sprache mit drei Hauptverbesserungen:

Reichhaltigere Sätze (Syntax): Sie können nun komplexe Szenarien abfragen. Anstatt nur einen Roboter zu prüfen, können Sie fragen: „Wenn Roboter A und Roboter B zusammenarbeiten, bleiben sie dann sicher?" Sie können auch in das „Gehirn" des Roboters hineinblicken, um seine verborgenen Gedanken (versteckte Schichten) zu prüfen, nicht nur die endgültige Antwort.
Strenge Grammatik (Typsystem): Die Sprache zwingt Sie nun zur Präzision. Wenn Sie versuchen, eine „Temperatur" zu einer „Farbe" hinzuzufügen, wird die Sprache sagen: „Nein, das ergibt keinen Sinn." Dies verhindert, dass der Computer mathematische Fehler macht, indem er verschiedene Arten von Zahlen vermischt.
Klare Bedeutung (Semantik): Jedes Wort in der neuen Sprache hat eine mathematisch bewiesene Definition. Es gibt kein Raten. Wenn Sie eine Abfrage schreiben, weiß der Computer genau, welches mathematische Problem er für Sie lösen soll.

4. Die Option „Reale Welt" vs. „Perfekte Mathematik"

Der Artikel räumt mit einer kniffligen Situation auf: Manche Roboter werden mit „perfekter Mathematik" (reelle Zahlen) geprüft, während der eigentliche Roboter mit „annähernder Mathematik" (Gleitkommazahlen) läuft.

Der alte Weg: Dies war eine versteckte Gefahr. Der Prüfer würde „Sicher" sagen, aber der echte Roboter könnte abstürzen.
Der neue Weg: VNN-LIB 2.0 erlaubt es Ihnen explizit zu sagen: „Ich weiß, dass hier annähernde Mathematik verwendet wird, aber ich möchte sie trotzdem mit perfekter Mathematik prüfen." Es setzt ein Warnschild auf die Abfrage: „Vorsicht, dies könnte leicht ungenau sein." Dies ermöglicht es Forschern, leistungsstarke Werkzeuge zu nutzen, ohne so zu tun, als wäre die Mathematik perfekt, wenn sie es nicht ist.

5. Der „Goldstandard"-Beweis

Um sicherzustellen, dass sie bei der Erstellung dieser neuen Sprache keine Fehler machten, schrieben die Autoren sie nicht nur auf; sie programmierten sie in einen Mathematik-Beweis-Roboter namens Agda.

Stellen Sie sich Agda als einen super-strengen Redakteur vor, der jede einzelne Regel der neuen Sprache überprüft, um sicherzustellen, dass es keine logischen Lücken gibt.
Da die Sprache in Agda „mechanisiert" ist, kann nun jeder diesen Beweis nutzen, um zu verifizieren, dass seine eigenen Werkzeuge (Löser) korrekt funktionieren. Es verwandelt den Standard von einer „Empfehlung" in einen „mathematisch garantierten Vertrag".

Zusammenfassung

Kurz gesagt ist VNN-LIB 2.0 eine neue, strenge und flexible Sprache für das Stellen von KI-Sicherheitsfragen. Sie behebt die kaputte Grammatik der Vergangenheit, ermöglicht komplexe Fragen zu mehreren KI-Modellen und bietet eine mathematisch bewiesene Grundlage, sodass wir, wenn ein Werkzeug sagt „Diese KI ist sicher", tatsächlich darauf vertrauen können, dass es genau das meint, was es sagt.

Technische Zusammenfassung: VNN-LIB 2.0: Strenge Grundlagen für die Verifikation neuronaler Netze

Problemstellung

Die Gemeinschaft der Verifikation neuronaler Netze stützt sich zunehmend auf den VNN-LIB-Standard (Version 1.0), um die Interoperabilität zwischen Lösern und übergeordneten Werkzeugen zu ermöglichen. Version 1.0 leidet jedoch unter vier kritischen Mängeln, die es daran hindern, als strenge formale Grundlage zu dienen:

Fehlende formale Syntax: Version 1.0 definiert die Syntax der Abfragesprache nicht formal, was zu gegenseitig inkompatiblen Implementierungen durch verschiedene Löser führt.
Begrenzte Ausdruckskraft: Der Standard geht von einem einzigen Netzwerk mit einem einzigen Ein- und Ausgang aus. Er kann nativ keine mehreren Netzwerke, mehrere Ein-/Ausgänge oder den Zugriff auf versteckte Schichten unterstützen, was Benutzer zwingt, Modelle künstlich zu verschmelzen. Dies verschleiert die Beziehung zwischen verifizierten Artefakten und bereitgestellten Modellen.
Fehlen eines Typsystems: Es gibt keinen Mechanismus zur Spezifikation numerischer Typen (z. B. Gleitkommazahlen vs. reellwertige Zahlen), was zu Mehrdeutigkeiten und potenzieller Unzulässigkeit führt, wenn Löser Arithmetik mit endlicher Genauigkeit als reellwertig behandeln.
Fehlende Semantik: Der Standard verfügt über keine formale Semantik, was es unmöglich macht, die Korrektheit von Lösern, Abfragegeneratoren oder Transformationen formal zu beweisen, und behindert die Entwicklung von Beweiszertifikaten.

Eine einzigartige Herausforderung für VNN-LIB, die es von Standards wie SMT-LIB unterscheidet, besteht darin, dass Abfragen nicht selbstständig sind; sie spezifizieren Eigenschaften externer neuronaler Netzwerkmodelle (typischerweise im ONNX-Format). Da ONNX selbst keine formale Semantik besitzt und sich weiterentwickelt, erfordert die Definition eines strengen VNN-LIB-Standards die Entkopplung der Abfragesprache von spezifischen ONNX-Versionen bei gleichzeitiger Wahrung der Kompatibilität.

Methodik

Die Autoren begegnen diesen Herausforderungen durch die Entwicklung der theoretischen Grundlagen für VNN-LIB 2.0. Die zentrale methodische Innovation ist die Einführung der Netzwerktheorie ( $\Psi$ ).

1. Abstraktion der Netzwerktheorie

Die Autoren definieren eine „Netzwerktheorie" als eine abstrakte Spezifikation, die die minimale Syntax, Typurteile und Semantik erfasst, die von einem Format neuronaler Netzwerkmodelle erforderlich sind, um VNN-LIB zu definieren.

Entkopplung: $\Psi$ fungiert als Schnittstelle. Eine konkrete Implementierung von $\Psi$ (z. B. für ONNX v1.20.0) liefert spezifische Definitionen für Elementtypen, Tensorrepräsentationen, Modellstrukturen und Referenzen auf Knotenausgänge.
Modularität: VNN-LIB 2.0 wird relativ zu einer abstrakten $\Psi$ definiert. Dies ermöglicht es dem Standard, stabil zu bleiben, selbst wenn sich ONNX weiterentwickelt; nur die Instanziierung von $\Psi$ muss für neue ONNX-Versionen aktualisiert werden, nicht der VNN-LIB-Standard selbst.
Formalisierung: Der gesamte Standard, einschließlich Syntax, Typisierung und Semantik, wurde im interaktiven Theorembeweiser Agda mechanisiert, um die interne Konsistenz zu gewährleisten und Mehrdeutigkeiten auszuschließen.

2. Formale Syntax und Ausdruckskraft

Aufbauend auf der Netzwerktheorie definieren die Autoren eine formale Grammatik für VNN-LIB 2.0, die die Ausdruckskraft erheblich erweitert:

Mehrere Netzwerke: Abfragen können mehrere Netzwerke deklarieren und unterstützen Szenarien wie die Lehrer-Schüler-Verifikation oder Encoder-Decoder-Architekturen.
Netzwerkäquivalenz: Der Standard führt Deklarationen equal-to (Verweis auf exakt dieselbe Modelldatei) und isomorphic-to (Verweis auf Modelle mit derselben Graphstruktur, aber möglicherweise unterschiedlichen Gewichten) ein. Dies ermöglicht es Lösern, Schlussfolgerungen (z. B. Variablenbereiche) über Netzwerkkopien hinweg zu teilen.
Versteckte Knoten: Die Konstruktion declare-hidden ermöglicht Einschränkungen für Ausgaben Zwischenschichten, was für die Analyse von Kodierungen oder Aufmerksamkeitsmechanismen unerlässlich ist.
Mehrdimensionale Ein-/Ausgänge: Unterstützung für beliebige Anzahlen von Ein- und Ausgängen, die multimodale Netzwerke berücksichtigen.

3. Typsystem und Semantik

Typisierung: Ein formales Typsystem erzwingt numerische Zulässigkeit. Es stellt sicher, dass arithmetische Operationen und Vergleiche auf kompatiblen Typen ausgeführt werden (z. B. Verhinderung der Mischung von float32 und int32 ohne explizite Umwandlungsregeln). Das Typsystem stützt sich auf die Urteile der zugrunde liegenden Netzwerktheorie $\Psi$ .
Semantik: Die Semantik einer Abfrage wird als mathematisches Erfüllbarkeitsproblem definiert. Gegeben eine Menge von Modellen $M$ (instanziiert aus $\Psi$ ) und eine Eingabebelegung $X$ , bestimmt die Semantik, ob eine Belegung existiert, bei der alle Behauptungen als wahr ausgewertet werden.
Reellwertige Abfragen: Um bestehende Löser zu berücksichtigen, die Modelle als Funktionen über reellen Zahlen ( $\mathbb{R}$ ) behandeln, führt der Standard einen Mechanismus für „reellwertige Abfragen" ein. Durch die Verwendung eines ausgezeichneten real-Typs autorisiert der Autor der Abfrage den Löser explizit, Modelle über $\mathbb{R}$ zu interpretieren und erkennt dabei potenzielle Unzulässigkeit aufgrund von Gleitkommaungenauigkeiten an. Dies wird erreicht, indem eine spezifische Netzwerktheorie $\Psi_{\mathbb{R}}$ abgeleitet von der Basistheorie konstruiert wird.

Hauptbeiträge

Netzwerktheorie ( $\Psi$ ): Die Einführung einer neuen Abstraktion, die die minimale semantische Schnittstelle definiert, die von einem Modellformat erforderlich ist, und es VNN-LIB ermöglicht, unabhängig von spezifischen ONNX-Versionen definiert zu werden.
Formale Syntax und Grammatik: Eine präzise, kontextfreie Grammatik für VNN-LIB 2.0, die mehrere Netzwerke, versteckte Schichten und komplexe Ein-/Ausgangsstrukturen unterstützt.
Formales Typsystem: Ein Typisierungssystem, das numerische Typzulässigkeit relativ zur Netzwerktheorie erzwingt und Mehrdeutigkeiten in numerischen Repräsentationen adressiert.
Formale Semantik: Eine strenge mathematische Definition der Abfragesemantik, parametrisiert durch die Netzwerktheorie, die formale Korrektheitsbeweise für Werkzeuge ermöglicht, die VNN-LIB konsumieren oder generieren.
Mechanisierung: Der gesamte Standard ist in Agda formalisiert und bietet eine kanonische Referenzimplementierung sowie eine Grundlage für maschinell überprüfte Beweise.
Erweiterung auf reellwertige Analysen: Ein modularer Ansatz zur Unterstützung reellwertiger Analysen über eine abgeleitete Netzwerktheorie, der das Bedürfnis nach Zulässigkeit mit der Realität aktueller Löserfähigkeiten in Einklang bringt.

Ergebnisse und Validierung

Interne Konsistenz: Die Agda-Formalisierung validiert die interne Konsistenz von Syntax, Typisierung und Semantik und stellt sicher, dass der Standard frei von den Mehrdeutigkeiten ist, die in Version 1.0 vorhanden waren.
Demonstration der Ausdruckskraft: Der Artikel zeigt, wie eine einfache Transformation der Netzwerktheorie $\Psi$ eine vollständige Instanz für reellwertige Abfragen liefert und demonstriert damit die Flexibilität der Abstraktion.
Akzeptanz in der Gemeinschaft: Der Standard hat positives Feedback von der Verifikationsgemeinschaft erhalten. Führende Solver-Teams haben sich verpflichtet, VNN-LIB 2.0 zu unterstützen, und der neue Standard ist für den Einsatz im Wettbewerb VNN-COMP 2026 vorgesehen.
Werkzeugunterstützung: Die Autoren haben eine leistungsstarke C++-Bibliothek (mit Python- und Julia-Bindings) veröffentlicht, die einen Parser und einen Typprüfer implementiert, die mit dem neuen Standard konform sind, zusätzlich zur Agda-Formalisierung.

Bedeutung

Der Artikel behauptet, dass VNN-LIB 2.0 robuste und strenge Grundlagen für vertrauenswürdige Verifikation neuronaler Netze bietet. Seine Bedeutung liegt in zwei komplementären Bereichen:

Praktische Interoperabilität: Durch die Erweiterung der Ausdruckskraft (mehrere Netzwerke, versteckte Knoten) und die Standardisierung der Syntax ermöglicht es der Gemeinschaft, reichhaltigere Eigenschaften einheitlich zu spezifizieren und zu verifizieren, was eine bessere Benchmarking und Werkzeugvergleich erleichtert.
Theoretische Strenge: Durch die Bereitstellung formaler Semantik und eines Typsystems etabliert es einen „strengen Vertrag" zwischen Werkzeugen und Lösern. Dies ermöglicht die formale Verifikation der Werkzeuge selbst (Löser, Optimierer, Beweisprüfer) und löst subtile Probleme bezüglich numerischer Zulässigkeit (z. B. Unterscheidung zwischen reellwertiger und Gleitkomma-Semantik).

Die Autoren betonen, dass die Arbeit zwar theoretisch ist, aber konkrete Konsequenzen hat: Sie stellt eine eindeutige Interpretation von Abfragen sicher, bietet die Sprache zur Lösung technischer Probleme und legt den Grundstein für zukünftig formal verifizierte Beweiszertifikate.