🤖 machine learning

Test-Time Collective Action: Proxy-Based Perturbations for Correcting Algorithmic Harms

Dieser Artikel schlägt Test-Time Collective Action (TTCA) vor, ein Framework, das einer koordinierten Gruppe von Nutzern ermöglicht, algorithmische Disparitäten in Black-Box-Systemen zu korrigieren, indem sie ihren Query-Zugang bündeln, um ein Proxy-Modell zu trainieren und universelle Perturbationen zur Inferenzzeit anzuwenden, wodurch die Genauigkeit für Teilgruppen und Fairness-Metriken verbessert werden, ohne ein erneutes Training auf Seiten der Plattform zu erfordern.

Ursprüngliche Autoren: Meghana Bhange, Ulrich Aïvodji, Elliot Creager

Veröffentlicht 2026-05-28

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Meghana Bhange, Ulrich Aïvodji, Elliot Creager

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Das Problem: Der defekte Automat

Stellen Sie sich einen riesigen, hochtechnologischen Snack-Automaten (die KI-Plattform) vor, der für alle Snacks verkauft. Für die meisten Menschen funktioniert er hervorragend. Für eine bestimmte Gruppe von Kunden – sagen wir, Menschen mit roten Mützen – liefert der Automat jedoch ständig das falsche Snack aus oder verweigert den Verkauf ganz.

Normalerweise ist der einzige Weg, einen defekten Automaten zu reparieren, die Firma anzurufen, die ihn besitzt (den Plattformanbieter), und sie zu bitten, ein Reparaturteam zu schicken. Doch was, wenn die Firma zu beschäftigt ist, es nicht kümmert oder sagt: „Wir können es gerade nicht reparieren"? Die Menschen mit den roten Mützen stecken fest. Sie haben keine Möglichkeit, den Automaten für sich funktionsfähig zu machen, ohne die Hilfe der Firma.

Der alte Weg: Der Ansatz der „Datenspende"

In der Vergangenheit schlugen Forscher vor, dass, wenn genügend Menschen mit roten Mützen der Firma ihre Fotos und Daten senden, die Firma den Automaten „neu trainieren" könnte, damit er besser funktioniert.

Der Haken: Dies funktioniert nur, wenn die Firma zustimmt, den Automaten zu stoppen, die neuen Daten zu übernehmen und ihn neu aufzubauen. In der realen Welt tun Unternehmen dies selten auf Anforderung. Die Nutzer haben keine Kontrolle über die inneren Zahnräder des Automaten.

Die neue Idee: „Test-Time Collective Action" (TTCA)

Dieses Papier schlägt einen cleveren Umweg vor. Anstatt zu versuchen, das Innere des Automaten zu reparieren, lernt die Gruppe der Menschen mit roten Mützen, die Außenseite des Automaten so lange zu manipulieren, bis sie den richtigen Snack erhält.

Stellen Sie sich eine Gruppe von Freunden vor, die herausfinden, wie der geheime Code für eine verschlossene Tür funktioniert. Sie haben keine Baupläne (den internen Code der KI), aber sie können an die Tür klopfen und auf das Geräusch hören, das sie erzeugt.

So funktioniert der Prozess, Schritt für Schritt:

1. Der „Mock-Automat" (Proxy-Extraktion)

Die Gruppe bündelt ihre Ressourcen. Anstatt dass jede Person einzeln an die Tür klopft, senden sie einen Batch von Fragen (Abfragen) an den echten Automaten.

Die Analogie: Stellen Sie sich vor, 100 Personen fragen den Snack-Automaten jeweils: „Was passiert, wenn ich eine Münze einwerfe?" Der Automat antwortet. Die Gruppe sammelt alle diese Antworten und baut in ihrer Garage eine falsche Maschine (einen „Proxy") nach. Diese falsche Maschine ist nicht perfekt, ahmt aber das Verhalten des echten Automaten so genau nach, dass man daraus lernen kann.

2. Finden des „magischen Schraubenschlüssels" (Optimierung von Perturbationen)

Nun experimentiert die Gruppe an ihrer falschen Maschine. Sie versucht, eine winzige, fast unsichtbare Anpassung (eine „Perturbation") zu finden, die, wenn sie zur Eingabe eines Nutzers hinzugefügt wird, den Automaten zwingt, die richtige Antwort zu geben.

Die Analogie: Sie entdecken, dass man, wenn man das Glas des Snack-Automaten genau richtig antippt, bevor man die Münze einwirft, den richtigen Snack erhält. Sie finden heraus, wie stark und wo genau man tippen muss.
Der „universelle" Trick: Sie brauchen keinen anderen Tipp für jede einzelne Person. Sie finden einen spezifischen Tipp, der für jeden in der Gruppe mit roten Mützen funktioniert, der einen bestimmten Snack möchte. Dies wird als „universelle Perturbation" bezeichnet.

3. Der „magische Tipp" in Aktion (Test-Time-Anwendung)

Nun muss jede Person in der Gruppe mit roten Mützen, die den echten Automaten nutzen möchte, nicht mehr um Hilfe bei der Firma bitten. Sie wenden einfach ihren „magischen Tipp" (die Perturbation) auf ihre Anfrage an, bevor sie sie an den echten Automaten sendet.

Das Ergebnis: Der echte Automat, der zuvor verwirrt war, erkennt die Anfrage nun klar und gibt den richtigen Snack aus. Die Gruppe hat das Problem gelöst, ohne jemals die inneren Zahnräder des Automaten zu berühren oder den Besitzer um Erlaubnis zu bitten.

Warum ist dies besser als alleiniges Handeln?

Das Papier vergleicht zwei Szenarien:

Alleiniges Handeln: Eine Person versucht, ihr eigenes Problem zu lösen, indem sie Tausende Male an die Tür klopft und verschiedene Winkel versucht, bis sie Glück hat. Dies ist teuer und langsam.
Gemeinsames Handeln (Kollektiv): Die Gruppe teilt sich die Kosten. Sie klopfen ein paar tausend Mal einmal, um ihre „falsche Maschine" zu bauen und den „magischen Tipp" zu finden. Dann funktioniert dieser einzelne „Tipp" für Tausende von Menschen für immer.

Die wichtigsten Erkenntnisse des Papiers:

Kleine Gruppen funktionieren: Sie brauchen keine riesige Armee. Selbst eine kleine Gruppe (so wenig wie 5–10 Personen), die ihre Ressourcen bündelt, kann eine Lösung schaffen, die besser funktioniert, als wenn sie versucht hätten, allein gegen die Maschine zu kämpfen.
Es ist günstiger: Es sind viel weniger „Klopfer" (API-Abfragen) nötig, damit die Gruppe Erfolg hat, als dass Einzelpersonen allein Erfolg haben.
Es funktioniert bei verschiedenen Maschinen: Selbst wenn die Gruppe ihre „falsche Maschine" mit einem einfachen Modell baut, funktioniert der „magische Tipp", den sie finden, immer noch auf der komplexen, hochtechnologischen echten Maschine.
Es verbessert die Fairness: Indem sie der unterversorgten Gruppe helfen, wird das System für alle fairer, nicht nur für die glückliche Mehrheit.

Das Fazit

Dieses Papier zeigt, dass, wenn ein Computersystem eine bestimmte Gruppe von Menschen unfair behandelt, diese Gruppe nicht warten muss, bis die Firma es repariert. Durch gemeinsames Handeln können sie ein „Schattenmodell" des Systems erstellen, eine winzige Anpassung finden, die die Fehler korrigiert, und diese Anpassung selbst anwenden. Es verwandelt eine Gruppe machtloser Nutzer in eine kollektive Kraft, die die Fehler der Maschine von außen korrigieren kann.

Technische Zusammenfassung: Test-Time Collective Action (TTCA)

Problemstellung

Maschinelle Lernsysteme weisen häufig Leistungsunterschiede zwischen Nutzer-Subgruppen auf, was zu „Quality-of-Service" (QoS)-Schäden führt, bei denen bestimmte Gruppen systematisch eine geringere Genauigkeit erfahren als andere. Zwar existieren providerzentrierte Fairness-Interventionen (Pre-, In- und Post-Processing), doch diese setzen den Willen und die Fähigkeit der Plattform voraus, Modelle neu zu trainieren. In Szenarien, in denen eine Korrektur nicht verfügbar, verzögert ist oder die Plattform sich weigert zu handeln, fehlt den betroffenen Nutzern jeglicher externer Hebel, um diese Ungleichheiten zu beheben.

Bestehende „Algorithmic Collective Action" (ACA)-Rahmenwerke ermöglichen es Nutzern, Algorithmen durch die Bereitstellung von Daten zu steuern, doch diese Mechanismen erfordern typischerweise, dass die Plattform auf den modifizierten Daten des Kollektivs neu trainiert – eine Bedingung, die Nutzer selten kontrollieren können. Darüber hinaus können datenvergiftungsartige Interventionen umgangen werden, wenn Anbieter auf robuste Modell-Updates warten oder auf Daten vor dem Angriff trainieren. Folglich besteht ein Bedarf nach einer nutzerseitigen Intervention, die zum Testzeitpunkt auf einem eingefrorenen Black-Box-Modell operiert, ohne dass eine Kooperation der Plattform oder Zugriff auf die Trainings-Schleife erforderlich ist.

Methodik: Test-Time Collective Action (TTCA)

Die Autoren schlagen TTCA vor, ein Rahmenwerk, das einer koordinierten Gruppe von Nutzern ermöglicht, algorithmische Schäden zu korrigieren, indem sie ihren Query-Zugriff auf eine Black-Box-API bündeln. Der Mechanismus läuft in zwei Phasen ab:

Phase 1: Kollektive Proxy-Extraktion und Perturbations-Optimierung

Query-Bündelung: Ein Kollektiv von $n$ Nutzern, jeder mit einem Query-Budget $B$ , bündelt seine Ressourcen, um das Plattform-Modell $f_{plat}$ auf einem öffentlichen, ungelabelten Bildpool $D_{pub}$ abzufragen. Dies erzeugt einen Datensatz $D_{proxy}$ aus Eingabe-Ausgabe-Paaren $(x, f_{plat}(x))$ .
Proxy-Training: Das Kollektiv trainiert ein Surrogat-Modell (Proxy) $f_{proxy}$ auf $D_{proxy}$ unter Verwendung der KnockoffNets-Methode. Um die Übertragbarkeit zu verbessern, wird ein Ensemble aus $K=5$ Proxys mit unabhängigen Zufallssamen trainiert.
Perturbations-Optimierung: Für jede Klasse $y$ in der unterversorgten Subgruppe $G$ optimiert das Kollektiv eine klassenspezifische universelle Perturbation $\delta_y$ . Das Ziel ist die Minimierung des Cross-Entropy-Verlusts des Proxy-Ensembles für Eingaben, die zur Klasse $y$ gehören, unterliegt einem $\ell_\infty$ -Budget ( $\|\delta_y\|_\infty \le \epsilon$ ). Die Optimierung zielt auf die Ground-Truth-Klasse ab und „schiebt" effektiv fehlklassifizierte Eingaben in Richtung der korrekten Entscheidungsgrenze. Ein Total-Variation-Regularisierer und ein Gaußscher Weichzeichner werden angewendet, um die Perturbation zu niedrigen Frequenzkomponenten zu neigen, was die Black-Box-Übertragbarkeit verbessert.

Phase 2: Anwendung zum Testzeitpunkt

Zum Inferenzzeitpunkt wenden Mitglieder der unterversorgten Subgruppe die vorab berechnete Perturbation $\delta_y$ auf ihre Eingaben $x$ an, bevor sie diese einreichen. Wenn die Eingabe eines Nutzers zur Klasse $y \in G$ gehört, reichen sie $x' = \text{clip}(x + \delta_y, 0, 1)$ ein; andernfalls reichen sie $x$ unverändert ein. Dieser Prozess erfordert keine weitere Interaktion mit der Plattform über das initiale Query-Budget hinaus, das zur Erstellung des Proxys verwendet wurde.

Hauptbeiträge

Korrekturmechanismus zum Testzeitpunkt: TTCA führt ein Rahmenwerk ein, in dem Nutzer Ungleichheiten auf einem eingefrorenen Black-Box-Modell korrigieren können, ohne dass die Plattform neu trainiert wird. Es nutzt die Logik von Evasion-Angriffen (universelle adversarische Perturbationen) für einen korrigierenden und nicht für einen bösartigen Zweck um.
Effizienz durch Proxy-basierte Ansätze: Durch die Extraktion eines kollektiven Proxys und die Optimierung einer wiederverwendbaren universellen Perturbation amortisiert die Methode die Kosten der Intervention über die gesamte Subgruppe hinweg.
Architekturübergreifende Übertragbarkeit: Der Mechanismus zeigt, dass ein kleineres Proxy-Modell (z. B. ResNet-18) effektiv Perturbationen generieren kann, die auf größere, unbekannte Plattform-Architekturen (z. B. ResNet-50, RegNet-Y) übertragen werden.
Analyse der Kosteneffizienz: Die Arbeit liefert eine rigorose Analyse, die zeigt, dass das Bündeln von Queries deutlich günstiger ist als individuelle Angriffe pro Bild, selbst bei kleinen Kollektivgrößen.

Experimentelle Ergebnisse

Die Autoren bewerten TTCA auf CIFAR-10, CIFAR-100 und FairFace (für demografische Fairness) unter sowohl balancierten als auch absichtlich unausgewogenen Plattform-Trainingsregimen.

Subgruppen-Genauigkeit: TTCA verbessert die Genauigkeit der unterversorgten Subgruppe (definiert als die unteren 10 % der Gruppen) bei sehr niedrigen Query-Budgets signifikant. Beispielsweise kann auf CIFAR-100 ein Kollektiv von nur 5–6 Nutzern, die Queries bündeln, eine Subgruppen-Genauigkeit erreichen, die der individueller Angreifer entspricht oder diese übertrifft, dabei aber um Größenordnungen weniger Gesamt-Queries verwendet.
Effizienz des Query-Budgets:
- Individuelle Baseline: Individuelle Nutzer, die allein mit SimBA (ein per-Bild Black-Box-Angriff) angreifen, benötigen bis zu 308× mehr Gesamt-Plattform-Queries, um eine vergleichbare Subgruppen-Genauigkeit zu erreichen.
- Break-even-Punkt: Ein Kollektiv von nur 5 bis 10 Mitgliedern reicht aus, um das Bündeln kosteneffektiver als individuelle Intervention zu machen.
- Obergrenzen-Trade-off: Während individuelle Angriffe durch Optimierung pro Bild eine höhere maximale Genauigkeit erreichen können (z. B. 97,9 % auf CIFAR-100), geschieht dies zu massiven aggregierten Kosten (~~2,3 Millionen Queries für 1.000 Nutzer). Der kollektive Ansatz sättigt bei einer niedrigeren Genauigkeits-Obergrenze (~~83 %), erreicht diese jedoch mit fixen, wiederverwendbaren Kosten (~23.000 Queries), was ihn für große Gruppen weitaus effizienter macht.
Fairness-Metriken: Die Intervention verbessert gängige Gruppen-Fairness-Metriken, einschließlich Worst-Group Accuracy (WGA), Equal-Opportunity Gap (EOD) und Disparate Impact (DI), ohne die Leistung für andere Gruppen zu verschlechtern.
Proxy-Fidelity: Hochfidele Proxys sind nicht zwingend erforderlich; sobald ein Proxy „hinreichend treu" ist (z. B. 60–90 % Fidelity), bringen zusätzliche Queries abnehmende Grenzerträge für die Subgruppen-Genauigkeit.

Bedeutung und Behauptungen

Die Arbeit positioniert TTCA als korrektive Intervention für Nutzer, die QoS-Schäden erfahren, wenn eine providerseitige Korrektur nicht verfügbar ist. Ihre Bedeutung liegt in:

Handlungsmacht: Sie bietet Nutzern einen externen Hebel, um die Kontrolle über algorithmische Systeme zurückzugewinnen, ohne Zugriff auf Modell-Interna oder Trainingsdaten zu benötigen.
Skalierbarkeit: Sie zeigt, dass koordinierte, kleinskalige Nutzeraktionen systemische Ungleichheiten durch Ressourcenbündelung effektiv mildern können.
Komplementarität: Sie fungiert als ergänzender Ansatz zu bestehenden ACA-Rahmenwerken und adressiert spezifisch die „Test-Time"-Lücke, in der Modelle bereits bereitgestellt und unveränderlich sind.

Die Autoren stellen fest, dass dieser Ansatz am effektivsten ist, wenn die zugrundeliegende Aufgabe allgemein nützlich, aber ungleichmäßig ausgeführt wird. Sie erkennen Einschränkungen an: Wenn die Aufgabe selbst schädlich ist (z. B. automatisierte Geschlechtererkennung, die repräsentative Schäden verursacht), mag das korrektive Framing von TTCA unzureichend sein, und Nutzer müssen möglicherweise auf Verweigerung oder Bestreitung statt auf Optimierung zurückgreifen. Darüber hinaus geht die Methode von einem statischen Black-Box-Modell aus; providerseitige Verteidigungen (z. B. randomisiertes Glätten) könnten die Wirksamkeit dieser Perturbationen potenziell mindern, obwohl solche Verteidigungen auch die Gesamtgenauigkeit der Plattform verschlechtern könnten.