神经细胞自动机的对抗性重新编程

本文强烈使用数字和演示中的颜色。单击此处调用颜色调色板。

在复杂的系统中，无论是生物，技术还是社会，我们如何发现将以所需方式改变系统级行为的信令事件？即使是已知有关这些复杂系统的各个组成部分的规则，也是从期望的行为到系统设计的逆问题 - 是生物医学，机器人，机器人和社会重要领域的许多障碍的核心。

具体地，生物学正在从焦点上转换到机制（系统所需的内容），以焦点对信息（哪种算法足以实现自适应行为）。机器学习的进展代表了一种令人兴奋的，主要是未开发的灵感和工具来源，以协助生物科学。生长神经蜂窝自动机和自我分类的MNIST数字引入了神经蜂窝自动机（神经CA）模型，并证明了需要自组织的任务，例如模式生长和数字的自我分类，可以在端到端培训，可怜的方式。由此产生的模型对各种扰动具有鲁棒性：在损坏时，CA越来越多的CA表达了再生能力; Mnist CA响应于底层数字的变化，无论只要需要重新分类。这些计算框架代表了了解重要生物现象的定量模型，例如单个细胞行为规则的缩放到可靠的器官级解剖。后者是一种解剖稳态，通过反馈回路实现，必须识别与正确的目标形态的偏差，逐渐减少解剖误差。

在这项工作中，我们训练他们的目标是将CA重新编制CA重新编制的东西，而不是他们训练的事情。为了了解哪些较低级别的较低级别的信号，改变了我们CA的系统级别行为，了解如何构建这些CA以及本地与全局信息所在的位置。

个别细胞状态。商店信息用于细胞行为之间的多样化和与相邻小区进行通信。

模型参数。这些描述了单元格的输入/输出行为，并由同一系列的每个单元格共享。模型参数可以看作系统工作的方式。

感知领域。这就是细胞感知环境的影响。在神经CA中，我们总是将感知场限制为八个最近的邻居和细胞本身。通过彼此感知电池的方式是不同的CA和MNIST CA之间的不同。不断增长的Ca感知场是在训练和推理期间固定的一组重量，而MNIST CA感知字段被学习为模型参数的一部分。

我们将探讨两种对抗性攻击：1）将少数对抗性细胞注入运行预制模型的现有网格中; 2）扰乱了网格上所有细胞的全局状态。

对于第一种类型的对抗攻击我们训练一个新的CA模型，当放置在运行前一篇文章中描述的原始模型之一的环境中时，能够劫持对抗和非对抗性CA的集体混合的行为。这是将具有不同模型参数的CA注入系统的示例。在生物学中，许多形式的劫持形式是已知的，包括服用遗传和生化信息流量的病毒，接管生理控制机制的细菌以及整个身体的再生形态，以及调节宿主行为的真菌和弓形虫。特别是迷人是许多非细胞自主信号传播生物学和癌症的情况，表明一些细胞行为可以显着改变本地和长距离的宿主性质。例如，生物电解细胞可以在否则正常的身体（没有遗传缺陷）中触发转移性转化，而在体内一个区域中的生物电态的管理可以抑制生物体的另一侧的肿瘤发生。类似地，一条腿上的截肢损伤引发对对侧腿中细胞的离子性质的变化，而显影大脑的大小部分是腹肠细胞的活性决定。所有这些现象都利好了解细胞组如何使集体决策如何做出集体决策，以及如何通过少量细胞的活动来颠覆。必须开发这种动态的定量模型，以便在再生药物上驱动有意义的进程，以防止控制体系水平结果，其中细胞或分子水平微型和分子是不可行的。

第二种类型的对抗攻击通过扰乱细胞内的状态与先前训练的CA模型相互作用。我们对所有活细胞施加全球扰动。这可以被视为抑制或增强状态值的组合，反过来劫持细胞之间的适当通信以及细胞的自己的状态。这样的模型不仅可以思考对抗性关系的方式（例如寄生和生理机制的进化臂竞争），也是用于开发再生医学策略的路线图。下一代Biomedicine将需要计算工具，用于推断可以应用于生物系统以预测改变​​其大规模解剖和行为特性的最小的，最小努力干预。

回想一下自我分类的MNIST数字任务是如何在形成MNIST数字形状的平面上放置CA电池。然后，细胞必须在自己之间进行沟通，以便完全共识，以便他们形成的数字。

下面我们展示了模型在自我分类的MNIST数字中培训的分类示例。

在这个实验中，目标是产生可能劫持细胞集体的分类共识的对抗性CA，以始终分类八个。我们使用CA模型从并冻结其参数。然后，我们培训模型架构与冻结模型相同但随机初始化的新CA。培训制度也密切近似于自我分类的MNIST数字CA.有三种重要差异：

无论实际数字如何，我们都认为正确的分类始终是八个。

对于每个批次和每个像素，将CA随机选择为预磨料模型或新的对抗性。对抗的CA是使用10％的时间，并且预先训练的，冻结，剩下的时间。

只培训对侵扰性CA参数，预制模型的参数保持冷冻。

这里定义的对抗攻击仅修改了整个系统的小百分比，但目标是传播影响所有活细胞的信号。因此，这些对手必须以某种方式学会传达欺骗信息，这些信息在其邻居中导致错误的分类以及通过“不知道”细胞传播欺骗信息的传播中的进一步级联。不知道细胞的参数无法改变，因此对手的唯一攻击方式是导致细胞状态的变化。细胞的国家负责沟通和多样化。

任务非常简单，优化，达到与2000年训练步骤的收敛相反（与构建原始MNIST CA所需的两个步骤相反）。通过可视化我们去除对手时会发生什么，我们观察到对手必须与他们的非对抗性邻国不断沟通，以防止他们信服恶意分类。虽然某些数字在删除对手后不恢复，但大多数人都自我纠正到正确的分类。下面我们展示了我们在200个步骤中介绍对手的示例，并在另外200步后删除它们。

虽然我们培训了伴对逆势与非对抗细胞的10％至90％的对手，但我们观察到欺骗中需要较少的对手越来越少。下面我们评价实验，只有百分之一的细胞是对手的。

我们创建了一个演示游乐场，读者可以用手术精度绘制数字并将对手绘制。我们鼓励读者与演示一起玩，以了解易受对抗细胞如何朝错误的分类摇曳的感觉。

自然的跟进问题是这些对抗攻击也适用于增长CA。不断增长的CA目标是能够从单个单元格展现复杂的图像，并使其结果随着时间的推移而持续存在，并且鲁棒到扰动。在本文中，我们专注于蜥蜴模式模型来自不断增长的CA.

目标是具有一些逆势细胞改变所有细胞的全局配置。我们选择两个新的目标我们希望对抗细胞尝试和变形蜥蜴进入：无蜥蜴和一个红色的蜥蜴。

红色蜥蜴：将蜥蜴从绿色转换为红色将显示细胞集体行为的全局变化。原始模型观察到的动态中不存在此行为。因此，对手的任务是欺骗其他细胞，以做他们以前从未做过的事情（以前创造蜥蜴形状，但现在在红色中色）。

尾部蜥蜴：尾巴被切断的尾巴是一个更局部的变化，只需要一些细胞以错误的方式愚弄表现：尾部基部的细胞需要确信它们构成蜥蜴的边缘或轮廓，而是构成蜥蜴的边缘或轮廓继续以以前举行尾巴。

就像在以前的实验中一样，我们的对手只能间接地影响原始细胞的状态。

我们首先将任何给予的细胞成为对手的10％的机会训练TaiLess目标的对手。如果在目标模式之外，我们禁止细胞成为对手;即，尾巴没有对手。

上面的视频显示了六种不同的同一模型实例，具有不同的对手的随机放置。结果差异很大：有时，对手成功地去除尾巴，有时尾巴仅缩小但没有完全移除，而其他时间的模式变得不稳定。培训这些对手需要更多的渐变步骤来实现收敛，并且融合的模式比对对抗MNIST CA实验所达到的方式更差。

红色蜥蜴图案差价差。只使用10％的对抗细胞导致完全失败：原始细胞不受对手的影响。有些读者可能怀疑原来的预磨损CA是否具有生产的必要技能或“子程序”，因为原始目标没有红色区域，并且可能怀疑这是一个不可能的任务。因此，我们增加了对抗性细胞的比例，直到我们设法找到成功的对抗性CA，如果有的话。

在上面的视频中，我们可以看到如何，至少在一个形态发生的第一个阶段，60％的对手能够着色蜥蜴红色。特别注意“步骤500”视频的静止图像是在步骤500上，视频停止超过步骤500的秒钟，在那里我们隐藏对抗细胞并仅显示原始单元。在那里，我们看一下少量原始细胞是红色的。这证明了对手成功地设法使邻近的单元格以所需的方式为颜色为红色。

然而，在训练期间的时间长时间迭代时，该模型非常不稳定。此外，学习的对抗性攻击取决于大多数细胞是对手的。例如，当使用大约20-30％的对手较少时，配置不稳定。

与先前实验的结果相比，不断增长的Ca模型显示出比MNIST CA的对抗扰动更大的抗性。两种模型之间的显着差异是MNIST CA电池必须始终准备好并能够基于通过几个邻居传播的信息来改变意见（分类）。这是该模型的必要要求，因为在任何时候底层数字可能会发生变化，但大多数单元格都不会观察其邻居展示位置的任何变化。例如，想象一个转向每个重叠的下划线的七个的情况。从数字较低行程的细胞的角度来看，没有变化，但是形成的数字现在是一个七个。因此，我们假设MNIST CA更依赖于连续的长距离连通的更依赖性，而不是生长的CA，其中细胞永远不必重新配置自己以产生与之前不同的东西。

我们怀疑在训练期间学到了多种目标模式的更通用的生长CA更有可能易于对抗性攻击。

我们观察到，通过将对抗细胞放置在细胞集体内的对抗细胞，难以愚弄越来越大的CA来改变它们的形态。这些对手必须设计复杂的当地行为，这些行为将导致非对抗细胞附近，最终整个形象，改变其整体形态。

在本节中，我们探索替代方法：扰乱所有单元格的全局状态而不改变任何单元的模型参数。

如前所述，我们将我们的实验基于培训的CA模型，以产生蜥蜴。生长CA的每个单元格都有一个带有16个元素的内部状态向量。其中一些是表型元素（RGBA状态），其余12个用于存储和传送信息的任意目的。我们可以在某些方面扰乱这些细胞的州以劫持整个系统（这种扰动策略的发现是生物医学和合成形态的关键目标）。我们可以执行各种方式进行状态扰动。我们将重点关注全球扰动，定义为每次步骤（类似于“系统性”生物医学干预措施的每个活细胞上应用的扰动，所述生物医学干预措施（例如，内部的化学物质）而不是高度本地化的交付系统）。新的目标是发现某种类型的全球国家扰动，导致稳定的新模式。

我们展示了6个目标模式：从前一个实验的无尾和红色蜥蜴，以及蓝色蜥蜴和蜥蜴，各种切断的四肢和切断头。

我们决定尝试一种简单的全球扰动类型：应用对称1 6×1 6 16 \ time16 1 6×1 6矩阵乘法AAA在每一步的实践中，我们也剪辑了细胞的状态它们界定在[ - 3，+ 3] [-3，+3] [ - 3，+ 3]中。这是一个次要的细节，它有助于稳定模型。要识别我们选择这一点，更简单的“状态加法”突变（仅为每个状态添加向量组成的突变）是不够的我们模型状态的价值是无限的，通常我们希望通过将其设置为零来抑制某些内容。后者通常不可能以恒定的状态添加，因为值的恒定添加或减法通常会导致无穷大，除了一些幸运的情况，其中细胞的自然残留更新将在精确的状态值零时持续添加到恒定的添加。然而，矩阵乘法具有放大/抑制状态中元素的组合的可能性：将状态值乘以常数值小于一个，可以容易地抑制零值为零。我们将矩阵限制为对称的原因是以下部分将变得清晰的原因。

我们用身份矩阵I初始化A A I I I I我并培训A A的正如我们将培训原始的CA，尽管如此：

我们考虑一组初始图像配置，既是种子状态和具有完全生长的蜥蜴的状态（与不断增长的CA制品相反，其中初始配置仅由种子状态组成）。

上面的视频显示了模型成功发现能够将目标模式改变为所需变化的全局状态扰动。我们展示当我们在步骤500通过步骤1000停止扰乱状态（训练情况外）时会发生什么，然后重新填充突变。这证明了我们在从种子开始时达到所需结果的能力，以及从完全生长的模式开始时。此外，它表明，一旦它消失，原来的CA很容易从这些状态扰动中恢复。考虑到增长CA模型一般有多稳健，这对最后结果可能并不令人惊讶。

并非所有扰动都同样有效。特别是，无头扰动是最不成功的，因为它导致整个蜥蜴模式的其他细节丢失，例如背部的白色着色。我们假设由于扰动的简单性，我们的培训制度的最佳扰动，抑制了含有头部和白色着色的形态的“结构”。这可能与生物器官的分化和区别的概念有关。在经验上审视之前，预测预测什么类型的扰动是更难或不可能完成的，仍然是生物学中的开放研究问题。另一方面，这种合成分析的变体可能有助于在生物和合成系统中定义更高阶结构。

我们选择使用对称矩阵来代表全球国家扰动是通过具有合成性的愿望是合理的。每个复杂的对称矩阵A A A可以是对角线的如下：

其中λ\ lambdaλ是对角线特征值矩阵，q q q是其特征向量的整体矩阵。看到这一点的另一种方法是应用基础转换的变化，将每个组件缩放与特征值成比例，然后将返回到原始基础。这还应该在易于抑制或放大各国的组合方面提供更清晰的直觉。而且，我们现在可以推断出所有特征值是一个人会发生什么。在这种情况下，我们自然有Q I Q = I Q I Q ^ \ Intercal = I Q I Q I Q =我导致NO-OP（没有变化）：蜥蜴会随着未执行扰动而增长。我们现在可以分解Qλq∞= q（d + i）q⊺q\ lambda q ^ \ intercal = q（d + i）q ^ \ intercal qλq⊺= q（d + i）q⊺其中d是“特征值空间”中的扰动方向（λ - i \ lambda - iλ - i）。假设我们使用系数k k k缩放d：a k = q（k d + i）q⊺a_k = q（kd + i）q ^ \ intercal a k = q（k d + i）q1。如果k = 1 k = 1 k = 1，我们留下了原始扰动AAA，当K = 0 k = 0 k = 0时，我们有NO-OP II I.自然，一个问题是我们是否可以探索KKK的其他值并发现有意义的扰动。自从

k = q（k d + i）q = k a +（1 - k）i a_k = q（kd + i）q ^ \ intercal = k a +（1-k）i

......