🤖 machine learning

Capability and Robustness Cannot Both Be Free: An Information-Theoretic Bound for Vision-Language-Action Models

यह शोध पत्र एक सैद्धांतिक सूचना-सैद्धांतिक सीमा स्थापित करता है जो यह सिद्ध करता है कि विजन-लैंग्वेज-एक्शन मॉडल एक अंतर्निहित व्यापार-संबंध (trade-off) का सामना करते हैं जहाँ क्षमता और सुदृढ़ता (robustness) का योग कार्य एन्ट्रॉपी (task entropy) और प्रतिकूल चैनल क्षमता (adversarial channel capacity) द्वारा निर्धारित एक निश्चित बजट से अधिक नहीं हो सकता है, जिससे यह प्रदर्शित होता है कि एक आयाम में महत्वपूर्ण सुधार अनिवार्य रूप से दूसरे की कीमत पर आते हैं।

मूल लेखक: Jianwei Tai

प्रकाशित 2026-05-26

📖 6 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Jianwei Tai

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

कल्पना कीजिए कि आप एक रोबोट को एक जटिल कार्य करना सिखा रहे हैं, जैसे कि सैंडविच बनाना या किसी खिलौने को जोड़ना। आप चाहते हैं कि रोबोट सक्षम (capable) हो (जब कमरा साफ और शांत हो तो वह काम को पूरी तरह से करता है) और मजबूत (robust) हो (यदि कोई चुपके से आकर रोशनी को थोड़ा बदल दे या मेज पर एक छोटा सा, अदृश्य स्टिकर लगा दे, तब भी वह काम को पूरी तरह से करता रहे)।

लंबे समय तक, शोधकर्ताओं को उम्मीद थी कि वे ऐसे रोबोट बना पाएंगे जो सक्षम और मजबूत दोनों हों, शायद केवल उन्हें अधिक "स्मार्ट" तरीके से प्रशिक्षित करके।

यह पेपर कहता है: नहीं, आप दोनों चीजें मुफ्त में नहीं पा सकते। एक रोबोट के लिए एक ही समय में इन दोनों में से बहुत अच्छा होने की एक कठिन, गणितीय सीमा है।

यहाँ सरल उपमाओं का उपयोग करके विवरण दिया गया है:

1. "बजट" की उपमा

रोबोट की दुनिया को संभालने की क्षमता को "सूचना के पैसे" के एक निश्चित बजट के रूप में सोचें।

क्षमता (Capability) यह है कि रोबोट वास्तविक निर्देशों (the "Oracle") को कितनी अच्छी तरह समझता है।
मजबूती (Robustness) यह है कि रोबोट नकली या अस्त-व्यस्त निर्देशों (the "Attack") को कितनी अच्छी तरह अनदेखा करता है।

पेपर यह सिद्ध करता है कि आपकी क्षमता और आपकी मजबूती का योग एक विशिष्ट कुल बजट (Total Budget) से अधिक नहीं हो सकता। यह बजट दो चीजों से निर्धारित होता है:

कार्य कितना जटिल है (The "Task Entropy"): यदि कार्य "एक लाल ब्लॉक उठाना" है, तो बजट छोटा है। यदि कार्य "ताश का घर बनाना" है, तो बजट बहुत बड़ा है।
हमलावर कितना शोर (noise) जोड़ सकता है (The "Channel Capacity"): यदि हमलावर केवल धूल का एक छोटा सा कण जोड़ सकता है, तो बजट छोटा है। यदि वे पूरी छवि को फैला देते हैं, तो बजट बहुत बड़ा है।

पेंच (The Catch): आप बिना बजट समाप्त किए क्षमता और मजबूती दोनों पर एक साथ इस बजट को खर्च नहीं कर सकते। यदि आप हमलों के विरुद्ध मजबूत होने पर अधिक पैसा खर्च करते हैं, तो आपको सामान्य स्थितियों में सक्षम होने पर कम खर्च करना होगा, और इसके विपरीत।

2. "नो फ्री लंच" (No Free Lunch) की खोज

लेखकों ने एक लोकप्रिय रोबोट मस्तिष्क, OpenVLA को देखा।

समस्या: जब रोबोट एक साफ छवि देखता है, तो वह 95% बार सफल होता है। लेकिन यदि कोई हैकर एक छोटा सा, अदृश्य पैटर्न (एक "adversarial perturbation") जोड़ देता है, तो रोबोट की सफलता दर गिरकर 5% से भी कम हो जाती है।
पुरानी उम्मीद: शायद यदि हम इसे अलग तरह से प्रशिक्षित करें, तो यह साफ छवियों पर 95% अच्छा और हमला किए गए छवियों पर भी 95% अच्छा हो सकता है।
वास्तविकता: गणित सिद्ध करता है कि यह असंभव है। एक "सैद्धांतिक निचली सीमा" (theoretical floor) है। आप केवल प्रशिक्षण के माध्यम से इस व्यापार-बंद (trade-off) से बाहर नहीं निकल सकते; सूचना सिद्धांत के नियम कहते हैं कि आपको चुनना ही होगा।

3. "बजट" इतना बड़ा क्यों था (और फिर छोटा क्यों हुआ)

शुरुआत में, लेखकों ने पूरी छवि (लाखों पिक्सेल) का उपयोग करके बजट की गणना की।

ढीली सीमा (The Loose Bound): उन्होंने लगभग 5,000 इकाइयों का बजट पाया। रोबोट अपने वास्तविक कार्य के लिए केवल लगभग 7.5 इकाइयों का उपयोग कर रहा था। इससे ऐसा लग रहा था कि क्षमता और मजबूती दोनों में सुधार करने के लिए काफी जगह है। यह ऐसा था जैसे कहना, "आपके पास $5,000 का भत्ता है, लेकिन आप दोपहर के भोजन पर केवल$ 7.50 खर्च करते हैं, इसलिए आपके पास मजबूती पर खर्च करने के लिए $4,992.50 शेष होने चाहिए!"

लेकिन यह भ्रामक था।
रोबोट हर एक पिक्सेल को नहीं देखता है। वह निर्णय लेने से पहले छवि के एक "सारांश" (जैसे कि एक संकुचित फोटो) को देखता है।

सटीक सीमा (The Tight Bound): जब लेखकों ने विशेष रूप से उस छवि के हिस्से के लिए बजट देखा जिसका रोबोट वास्तव में उपयोग करता है, तो बजट 5,000 से घटकर 31 यूनिट रह गया।
सदमा: अब, रोबोट अपनी क्षमता के लिए अपने संपूर्ण बजट का 24% पहले से ही खर्च कर रहा है। अब मजबूती को बेहतर बनाने के लिए बहुत कम जगह (केवल ~23 यूनिट) बची है बिना क्षमता को नुकसान पहुँचाए।

4. "लीकेज" (Leakage) की समस्या

पेपर मजबूती को मापने का एक चतुर तरीका भी पेश करता है जो धोखाधड़ी को रोकता है।
कल्पना कीजिए कि एक रोबोट, हमले को अनदेखा करने के बजाय, हमले की नकल करता है।

हमला: "बाएं मुड़ें।"
रोबोट की क्रिया: "बाएं मुड़ें।"
परिणाम: रोबोट "मजबूत" दिखता है क्योंकि उसने अपना विचार नहीं बदला, लेकिन वास्तव में वह केवल हैकर का अंधाधुंध अनुसरण कर रहा है।

पेपर का गणित इस "धोखाधड़ी" वाले व्यवहार को घटा देता है। यह सुनिश्चित करता है कि सच्ची मजबूती का अर्थ शोर को अनदेखा करना है, न कि केवल उसकी नकल करना।

5. भविष्य के लिए इसका क्या अर्थ है

लेखक यह नहीं कहते कि हमें हार मान लेनी चाहिए। इसके बजाय, वे वैज्ञानिकों के उपयोग के लिए एक नया पैमाना (ruler) प्रदान करते हैं।

केवल यह कहने के बजाय कि "हमारा नया बचाव रोबोट को 10% बेहतर बनाता है," वे सुझाव देते हैं कि वैज्ञानिकों को कहना चाहिए:

"हमारा नया बचाव इस विशिष्ट रोबोट आर्किटेक्चर के लिए उपलब्ध 'मजबूती बजट' (Robustness Budget) का 60% उपयोग करता है।"

यह सभी को विभिन्न रोबोटों की निष्पक्ष तुलना करने में मदद करता है। यह हमें बताता है कि वर्तमान रोबोटों के लिए, हम एक दीवार से टकरा रहे हैं। बेहतर होने के लिए, हम केवल प्रशिक्षण को ट्यून नहीं कर सकते; हमें या तो अपने रोबोट के "मस्तिष्क" (इसके आर्किटेक्चर) को बदलने की आवश्यकता हो सकती है या यह स्वीकार करने की आवश्यकता हो सकती है कि साफ दिनों पर यह थोड़ा कम पूर्ण होगा ताकि गंदे दिनों में सुरक्षित रहे।

संक्षेप में: आप एक ऐसा रोबोट नहीं रख सकते जो अपने काम में पूर्ण हो और चालों (tricks) से पूरी तरह सुरक्षित हो। एक कठिन गणितीय सीमा है, और आज के रोबोटों के लिए, हम काम करने के लिए ही अपने बजट का एक बड़ा हिस्सा खर्च कर रहे हैं।

तकनीकी सारांश: क्षमता और मजबूती दोनों मुफ्त नहीं हो सकतीं

समस्या विवरण

विज़न-लैंग्वेज-एक्शन (VLA) मॉडल, जो मल्टीमॉडल ऑब्जर्वेशन (इमेज और लैंग्वेज) को सीधे रोबोटिक एक्शन में मैप करते हैं, क्लीन इनपुट पर उच्च सफलता दर प्राप्त करते हैं लेकिन एडवरसेरियल परटर्बेशन (adversarial perturbations) के तहत अत्यधिक नाजुकता प्रदर्शित करते हैं। अनुभवजन्य अध्ययन दिखाते हैं कि अदृश्य परटर्बेशन (जैसे, एक $16/255$ PGD अटैक) टास्क सक्सेस रेट को $>95\%$ से घटाकर $<5\%$ तक ला सकते हैं। हालांकि अनुभवजन्य डिफेंस मौजूद हैं, वे आमतौर पर एक ट्रेड-ऑफ (trade-off) शामिल करते हैं: मजबूती (robustness) को पुनः प्राप्त करने से अक्सर क्लीन एक्यूरेसी (clean accuracy) में कमी आती है।

यह कार्य जिस केंद्रीय खुले प्रश्न को संबोधित करता है वह यह है कि क्या एक स्मार्ट ट्रेनिंग प्रक्रिया बिना किसी सीमा के उच्च क्षमता (clean accuracy) और उच्च मजबूती (robustness) को एक साथ प्राप्त कर सकती है, या क्या कोई मौलिक सूचना-सैद्धांतिक (information-theoretic) बाधा है जो दोनों को एक साथ अधिकतम करने से रोकती है।

कार्यप्रणाली (Methodology)

लेखक VLA पॉलिसियों के संयुक्त प्रदर्शन को बाउंड (bound) करने के लिए सूचना सिद्धांत (information theory) पर आधारित एक सैद्धांतिक ढांचे को तैयार करते हैं।

1. सैद्धांतिक ढांचा (Theoretical Framework)

पेपर एक VLA पॉलिसी $\pi$ को परिभाषित करता है जो एक ऑब्जर्वेशन $X$ को एक एक्शन $A_\pi$ में मैप करता है। मान लीजिए $A^\star$ ऑरेकल (एक्सपर्ट) एक्शन है और $\tilde{X} = X + \delta$ परटर्बड ऑब्जर्वेशन है। लेखक दो प्रमुख मेट्रिक्स को परिभाषित करते हैं:

**क्षमता (Capability - $Cap $):** पॉलिसी के एक्शन और ऑरेकल एक्शन के बीच म्यूचुअल इंफॉर्मेशन,$ I(A^\star; A_\pi)$।
**मजबूती (Robustness - $Rob $):** हमले के तहत संरक्षित म्यूचुअल इंफॉर्मेशन, जिसे "लीकेज" के लिए समायोजित किया गया है, जिसे$ I(A_\pi; \tilde{A}\pi) - I(A\pi; \delta) $के रूप में परिभाषित किया गया है।$ I(A_\pi; \delta) $का घटाव यह सुनिश्चित करता है कि कोई भी डिजेनरेट पॉलिसी केवल परटर्बेशन$ \delta$ को एक्शन में कॉपी करके उच्च स्कोर न प्राप्त कर सके।

मुख्य योगदान थ्योरम 1 (Theorem 1) है, जो कहता है कि किसी भी डिस्क्रीट (या डिस्क्रीटाइज्ड) एक्शन वाली VLA पॉलिसी के लिए:
$Cap(\pi) + Rob(\pi) \leq H(A^\star) + I(X; \tilde{X})$
जहाँ:

$H(A^\star)$ ऑरेकल एक्शन का एंट्रॉपी (entropy) है (टास्क कॉम्प्लेक्सिटी)।
$I(X; \tilde{X})$ क्लीन और परटर्बड ऑब्जर्वेशन के बीच म्यूचुअल इंफॉर्मेशन है (अटैक चैनल कैपेसिटी)।

इसका प्रमाण डेटा प्रोसेसिंग इनइक्वेलिटी (DPI) के दो अनुप्रयोगों और म्यूचुअल इंफॉर्मेशन की गैर-नकारात्मकता (non-negativity) पर आधारित है। यह बाउंड पॉलिसी-स्वतंत्र (policy-independent) है, जिसका अर्थ है कि क्षमता और मजबूती के लिए "बजट" केवल कार्य और हमले द्वारा निर्धारित होता है, न कि मॉडल आर्किटेक्चर द्वारा।

2. बाउंड को टाइटन (Tightening the Bound)

लेखक स्वीकार करते हैं कि वर्तमान मॉडलों के लिए पिक्सेल-लेवल बाउंड ढीला (loose) है क्योंकि इमेज डायमेंशन ( $D \approx 49,152$ ) एक्शन स्पेस डायमेंशन ($7$-D) से बहुत अधिक है। इसे संबोधित करने के लिए, वे कोरोलरी 4 (Encoder-Specific Bound) प्रस्तावित करते हैं:
$Cap(\pi) + Rob(\pi) \leq H(A^\star) + I(\phi(X); \phi(\tilde{X}))$
यहाँ, $\phi$ एक फ्रोजन एनकोडर (जैसे, OpenVLA में DINOv2+SigLIP) को दर्शाता है। यह चैनल कैपेसिटी को पॉलिसी-प्रासंगिक सबस्पेस (subspace) तक सीमित कर देता है, जिससे सैद्धांतिक बजट काफी कम (tighten) हो जाता है।

3. सत्यापन रणनीति (Validation Strategy)

पेपर दो अलग-अलग दृष्टिकोणों के माध्यम से बाउंड को सत्यापित करता है:

सिंथेटिक वैलिडेशन (Gaussian-VLA): एक क्लोज्ड-फॉर्म प्रॉक्सी जहाँ सभी मात्राओं ( $H, I$ ) को विश्लेषणात्मक रूप से कंप्यूट किया जा सकता है या उच्च सटीकता के साथ अनुमानित किया जा सकता है। इसमें विभिन्न डायमेंशन और नॉइज़ लेवल्स के साथ 252 प्रयोगात्मक सेल शामिल हैं।
रियल-मॉडल वैलिडेशन: चार LIBERO सूट्स (Spatial, Object, Goal, LIBERO-10) के तहत OpenVLA-7B पर प्रोजेक्टेड ग्रेडिएंट डिसेंट (PGD) हमलों के विरुद्ध मूल्यांकन। लेखक टर्म्स को मापने के लिए MINE (Mutual Information Neural Estimation) और डिस्क्रीटाइज्ड हिस्टोग्राम एस्टिमेटर्स का उपयोग करते हैं।

मुख्य परिणाम (Key Results)

1. सैद्धांतिक सत्यापन (Theoretical Verification)

शून्य उल्लंघन (Zero Violations): बाउंड 252/252 सिंथेटिक Gaussian-VLA सेल्स और 48/48 रियल OpenVLA-7B एक्सपेरिमेंटल सेल्स में बना रहता है।
स्लैक व्यवहार (Slack Behavior): "स्लैक" ( $S = \text{Budget} - (Cap + Rob)$ ) सभी मामलों में गैर-ऋणात्मक है। जैसे-जैसे अटैक बजट $\epsilon$ बढ़ता है, चैनल कैपेसिटी $I(X; \tilde{X})$ घटती है, जिससे कुल बजट सिकुड़ जाता है, जो सैद्धांतिक भविष्यवाणियों के अनुरूप है।

2. बाउंड का परिमाण (Magnitude of the Bound)

पिक्सेल-लेवल बाउंड: OpenVLA पर, पिक्सेल-लेवल बजट लगभग 5,000 नैट्स (nats) (इमेज चैनल कैपेसिटी द्वारा डोमिनेटेड) है, जबकि मापा गया $Cap + Rob $नगण्य ($ <1 $नैट) है। इसके परिणामस्वरूप$ \sim 10^3$ नैट्स का स्लैक मिलता है, जो दर्शाता है कि पिक्सेल-लेवल बाउंड एक लूज़ सीलिंग (loose ceiling) है।
एनकोडर-स्पेसिफिक बाउंड: चैनल को एनकोडर सबस्पेस तक सीमित करके, बजट घटकर $\sim 31$ नैट्स ( $H(A^\star) \approx 26$ नैट्स + $I(\phi(X); \phi(\tilde{X})) \approx 4.6$ नैट्स) हो जाता है।
प्रतिबंध की वास्तविकता (Constraint Reality): एनकोडर-स्पेसिफिक बाउंड के तहत, डिस्क्रीटाइज्ड क्षमता ( $Cap_{disc} \approx 7.5$ नैट्स) पहले से ही कुल बजट का $\sim 24\%$ उपभोग कर लेती है। यह सुझाव देता है कि वर्तमान आर्किटेक्चर के लिए, ट्रेड-ऑफ केवल सैद्धांतिक नहीं बल्कि व्यावहारिक रूप से भी बाध्यकारी है; क्षमता से समझौता किए बिना मजबूती में सुधार की बहुत सीमित गुंजाइश है।

3. एस्टिमेटर मजबूती (Estimator Robustness)

लेखक प्रदर्शित करते हैं कि बाउंड बायस्ड एस्टिमेटर्स (MINE, InfoNCE, KSG) का उपयोग करने पर भी बना रहता है। चूंकि MINE म्यूचुअल इंफॉर्मेशन को कम आंकने (underestimate) की प्रवृत्ति रखता है (एक लोअर बाउंड), यह इनइक्वेलिटी के लेफ्ट-हैंड साइड (LHS) को कम आंकता है, जिससे बाउंड को संतुष्ट करना आसान हो जाता है। इस प्रकार, शून्य-उल्लंघन का परिणाम एस्टिमेटर बायस के प्रति मजबूत है।

महत्व और दावे (Significance and Claims)

पेपर निम्नलिखित योगदानों और महत्व का दावा करता है:

एक्शन पॉलिसियों के लिए पहला असंभवता परिणाम (First Impossibility Result): पूर्ववर्ती कार्यों (जैसे, Tsipras et al., 2019) के विपरीत, जो बाइनरी क्लासिफायर पर केंद्रित थे, यह विशेष रूप से एक्शन-जनरेटिंग पॉलिसियों के लिए पहला सूचना-सैद्धांतिक बाउंड है। यह सिद्ध करता है कि क्षमता और मजबूती दोनों मुफ्त नहीं हो सकतीं; वे एक निश्चित बजट के लिए प्रतिस्पर्धा करती हैं जो टास्क एंट्रॉपी और अटैक चैनल कैपेसिटी द्वारा निर्धारित होता है।
डिफेंस इवैल्यूएशन के लिए एक नया मेट्रिक: लेखक डिफेंस पेपर्स की तुलना करने के लिए एक नॉर्मलाइज्ड मेट्रिक के रूप में एनकोडर-स्पेसिफिक स्लैक ( $S_{enc}$ ) का प्रस्ताव करते हैं। पूर्ण मजबूती के नंबर रिपोर्ट करने के बजाय, जो विभिन्न सेटिंग्स में ट्रांसफर नहीं होते, भविष्य के कार्य एनकोडर बजट के उपयोग किए गए अंश को रिपोर्ट कर सकते हैं। यह यह आकलन करने की अनुमति देता है कि एक पॉलिसी सैद्धांतिक सीमा के कितने करीब है।
आर्किटेक्चर के लिए डायग्नोस्टिक वैल्यू: बाउंड यह प्रकट करता है कि वर्तमान मॉडलों में "लूज़नेस" संरचनात्मक है। पिक्सेल-लेवल बजट और एनकोडर-लेवल बजट के बीच का अंतर यह उजागर करता है कि वर्तमान पॉलिसियाँ एनकोडर रिप्रेजेंटेशन में उपलब्ध सूचना का पूरी तरह से उपयोग नहीं करती हैं।
सुरक्षा निहितार्थ (Safety Implications): यह कार्य एडवरसेरियल फ्रैजिलिटी (adversarial fragility) को एक एक्यूरेसी समस्या के बजाय एक सुरक्षा समस्या के रूप में पुनर्गठित करता है। चूंकि प्रत्येक प्रेडिक्शन एक भौतिक एक्शन है, सैद्धांतिक फ्लोर यह संकेत देता कि एक VLA को उसकी कार्य करने की क्षमता से समझौता किए बिना कितना मजबूत बनाया जा सकता है, इसकी एक हार्ड लिमिट है, जो यह आवश्यक बनाती है कि सुरक्षा-महत्वपूर्ण सिस्टम को कैसे डिज़ाइन और मूल्यांकित किया जाए।

पेपर निष्कर्ष निकालता है कि हालांकि बाउंड नॉन-कंस्ट्रक्टिव (non-constructive) है (यह बाउंड को सैचुरेट करने वाली पॉलिसी बनाने की रेसिपी प्रदान नहीं करता है), यह एक मौलिक सीमा स्थापित करता है जिसे कोई भी आर्किटेक्चरल ट्यूनिंग बायपास नहीं कर सकती। "स्लैक" वर्तमान क्षमताओं और सैद्धांतिक अधिकतम के बीच के अंतर का प्रतिनिधित्व करता है, जिसे अब मापने योग्य बनाया गया है।