Neuronale Netze schreiben seit 1991 neuronale Netze. Jetzt nimmt ein Sprachmodell die Spezifikation auf Englisch entgegen

Ein Qwen-Reasoning-Modell mit 0,8 Milliarden Parametern hat eine Angewohnheit. Geben Sie ihm eine schwere Mathematikaufgabe, und es denkt nach, wiederholt sich und wiederholt sich weiter, bis es an das Limit von 32.768 Token stößt, das in der Evaluation galt. Bei MATH-500 enden 93 % seiner Antworten so. Seine eigene Model Card warnt vor diesen Schleifen.

Forschende am MIT CSAIL gaben die Gewichte dieses Modells an das Frontier-Reasoning-Modell von OpenAI weiter, dazu einen Python-Kernel und ein kleines Budget an Testläufen, und forderten es auf, das kleine Modell in Mathematik besser zu machen, ohne Gradienten zu berechnen oder eine Trainingsschleife laufen zu lassen. Das Frontier-Modell führte die Schleifen auf eine einzige Richtung zurück, die von den MLPs zweier Schichten geschrieben wurde, und subtrahierte sie aus jeweils 64 Output-Spalten. Das betraf 131.072 Gewichte, 0,016 % des Modells. MATH-500 stieg von 7,9 % auf 48,1 %. Auch das Befolgen von Anweisungen, das es gar nicht reparieren sollte, verdreifachte sich ungefähr.

Die Autoren nennen das Weight-Space Programming. Ein allgemeines Sprachmodell, so wie es ausgeliefert wird, liest die Gewichte eines Netzes und schreibt neue, ausgehend von einem Ziel in natürlicher Sprache. Ihre acht Experimente lesen, reparieren und schreiben Gewichte.

Mit 17.253 rohen Zahlen als Text und ohne Liste möglicher Kandidaten benannte das Modell das Spiel, auf das jedes von vier kleinen Policy-Netzen trainiert worden war. Eine Auto-Policy, die PPO über eine Milliarde Schritte in ein lokales Minimum trainiert hatte, blieb in jeder Episode an einer Rampe stehen. Nach einer einzigen Änderung an 3,5 % ihrer Gewichte, die das Modell ohne Hilfe vornahm, kam sie in allen 1.024 Testepisoden ans Ziel. Von Nullen ausgehend, nur mit den Spielregeln, dem Quellcode und dem Aufbau der Ein- und Ausgaben des Netzes, erzeugte es Netze für drei MinAtar-Spiele, die PPO nach 100 Millionen Trainingsschritten übertrafen. In Breakout erzielte es 517 Punkte gegen 25 für PPO, das fünfmal so lange trainiert hatte.

Das Programm ist alt

Jürgen Schmidhubers Antwort fiel knapp aus: alter Hut, genau das hätten die neuronalen Fast Weight Programmers schon in den 1990ern getan. Im März 1991 beschrieb er ein langsames Netz, das per Gradientenabstieg lernt, Gewichtsänderungen für ein schnelles Netz auszugeben, und das Speicher und Steuerung so trennt, wie es ein herkömmlicher Computer tut. Seine Outer-Product-Variante ist, von der Normalisierung abgesehen, der lineare Transformer; ein ICML-Paper von 2021 von Schlag, Irie und Schmidhuber machte die Äquivalenz formal. 1993 hatte er bereits ein rekurrentes Netz, das seine eigene Gewichtsmatrix las und umschrieb, eine Idee, die seine Gruppe 2022 wiederbelebte.

Seit 1990 vertritt er die Ansicht, dass die Gewichte eines Netzes sein Programm sind, und seine Übersicht ergänzt einen Punkt, den die MIT-Ergebnisse stützen: Ein großes, erfolgreiches Netz kann wenig algorithmischen Gehalt haben. Das Breakout-Netz ist ein Beispiel dafür. Das Frontier-Modell schrieb ein Programm in zwei Schritten (berechnen, wo der Ball landen wird, und den Schläger dorthin bewegen) und kompilierte es in zwei Schichten.

Die Methode sieht gewöhnlich aus

Sean Goedecke argumentiert, die Arbeit sei nicht alt, sondern gewöhnlich. Das Spiel-Experiment läuft auf eine Heatmap der Gewichtsnormen in der ersten Schicht hinaus, drei Zeilen NumPy. Die Qwen-Reparatur ist das Abliteration-Rezept: Aktivierungen mit und ohne Schleifen gegenüberstellen, die Richtung finden, sie herausrechnen. Arditi und Kollegen zeigten 2024, dass Verweigerung in 13 offenen Modellen auf genau so einer Richtung liegt. In seinem Bild sind Gewichte kompilierte Binaries. Ein Modell, das Maschinencode liest, ist nützlich, aber Software entsteht weiterhin aus Quellcode, und Modelle entstehen seiner Ansicht nach weiterhin durch Training.

Der Programmierer ist neu

Beide Lesarten übersehen denselben Unterschied. Jede frühere Art, Gewichte zu schreiben, gehört zu einer von zwei Familien. Die erste ist die trainierte: Fast Weight Programmers, Hypernetworks, Sakanas Text-to-LoRA, das eine Aufgabenbeschreibung in einem einzigen Forward Pass in einen Adapter verwandelt. Diese Verfahren sind schnell und undurchschaubar, und jedes wird für seine Domäne trainiert. Die zweite ist die analytische: ROME und MEMIT, die Fakten in MLPs mittlerer Schichten umschreiben, Abliteration, DeepMinds Tracr, das von Menschen geschriebene Programme in Transformer-Gewichte kompiliert. Diese Verfahren sind nachvollziehbar, aber die Methode wählt jedes Mal ein Mensch.

Weight-Space Programming ist der erste Schreiber, der in keine der beiden Familien passt. Es ist ein allgemeines Modell und keines, das für diese Aufgabe gebaut wurde, und es hinterlässt eine Reasoning-Spur, die jede Änderung erklärt. Strukturell ist das wieder die Trennung von 1991: Ein langsames Netz schreibt die Gewichte eines schnellen. Der Unterschied liegt darin, wer den Platz des langsamen Netzes besetzt. 1991 war es ein Netz, das durch Gradientenabstieg für eine einzige Aufgabe geformt wurde. 2026 ist es ein Sprachmodell, das die Spezifikation auf Englisch entgegennimmt.

Damit ist auch die Binary-Analogie mit ihren eigenen Mitteln beantwortet. Ein Disassembler, der das Binary patchen kann, ersetzt den Compiler nicht, aber er verändert, wie Binaries gewartet werden. Die Auto-Reparatur ist ein Beispiel. Das Frontier-Modell trainierte die Policy nicht neu. Es fügte über wenige Units pro Schicht einen kleinen Pfad hinzu, der Position und Geschwindigkeit des Autos liest, es rückwärts fahren lässt und sich abschaltet, sobald das Auto den roten Streifen hinter sich hat. Danach fährt das trainierte Netz wie zuvor. Das ist ein Patch im Sinne der Softwareentwicklung. Werden solche Eingriffe zur Routine, sind Netze Artefakte, die man warten kann und nicht nur neu bauen muss.

Die Beleglage ist schmal

Die Quelle ist kein begutachtetes Paper, und sie testet ein einziges geschlossenes Modell an acht handgebauten Aufgaben. Die Autoren haben vollständige Logs veröffentlicht und sagen, dass Ahsen Khaliq von Hugging Face das editierte Qwen-Modell daraus nachgebaut und die Evaluation erneut durchgeführt hat. „Natively“ ist großzügig: Vier Experimente gaben dem Modell Python, und der Qwen-Lauf brauchte 50 Forward Passes mit jeweils bis zu 512 Aufgaben, bei durchschnittlicher Batchgröße etwa 3.200 Sequenzen. Bei 10 und 25 Durchläufen erreichte MATH-500 nur 12,3 % und 14,1 %, und die meisten Antworten stießen weiter ans Token-Limit.

Der einzige Test, verborgenes Verhalten zu lesen, schlug fehl. Allein aus den Gewichten konnte das Modell in vier Versuchen ein sykophantisches Fine-Tune nicht von einem wahrheitsgetreuen unterscheiden. Das gelang ihm erst, als es Attention-Muster aus Live-Läufen beobachten konnte.

Reparatur ist kein Erwerb

Die Autoren haben auch ein negatives Ergebnis veröffentlicht, und es begrenzt jede Behauptung, die folgt. Sie wiederholten das Mathematik-Experiment an einem Gemma-Modell mit 270 Millionen Parametern, das selten in Schleifen gerät: 8,5 % seiner Antworten stießen ans Token-Limit, gegenüber 93 % bei Qwen. Das Frontier-Modell las seine Fehler, fand gewöhnliche Rechen- und Algebrafehler ohne eine einzelne Komponente, die man abschalten könnte, und nahm kleine, gezielte Änderungen vor. Keine davon bewegte MATH-500 um mehr als etwa einen Punkt.

Das teilt die Behauptung in drei Operationen. Konstruktion, also einen bekannten Algorithmus in Gewichte kompilieren, belegen die Spiel- und Go-Netze. Reparatur, also einen lokalisierten Fehler beseitigen, belegen das Auto und Qwen. Erwerb, also einem Netz eine Fähigkeit hinzufügen, die ihm fehlte, wurde einmal getestet, an Gemma, und scheiterte. Der Sprung bei Qwen bestand darin, dass ein Modell Antworten zu Ende führte, die es bereits ausrechnen konnte.

An dieser Grenze gemessen sehen die fünf naheliegenden Extrapolationen so aus:

• Training durch gezielte Änderung ist für Konstruktion und Reparatur belegt. Bei Sprachmodellen haben Closed-Form-Editoren seit 2022 Tausende Fakten hineingeschrieben, aber noch niemand hat eine Fähigkeit hineingeschrieben.
• Kontinuierliches Lernen durch Selbstmodifikation hat einen Vorfahren in Schmidhubers selbstreferenzieller Matrix, und ein MIT-Paper auf der NeurIPS 2025, SEAL, lässt ein Modell bereits seine eigenen Fine-Tuning-Daten schreiben. Das Hindernis ist Drift: Eine Studie aus den ACL Findings 2024 stellte fest, dass aufeinanderfolgende Änderungen zu allmählichem und dann katastrophalem Vergessen führen, weil sich die editierten Schichten vom Rest des Modells entfernen. Die Autoren vermuten, dass spärliche Änderungen das Vergessen vermeiden, haben das aber nicht getestet. Ein sich selbst editierendes Modell bräuchte eine zurückgehaltene Prüfung, die es nicht verändern kann, und im Qwen-Lauf zeigte sich der große MATH-500-Gewinn erst beim größten Testbudget.
• Kleine Modelle, die gemeinsam lernen, passen am besten, denn jedes starke Ergebnis hatte ein kleines Ziel. Ein großes Modell, das eine Population kleiner Spezialisten schreibt und umschreibt, ist der Fast Weight Programmer im Systemmaßstab. Ein Modell auf dem Handy könnte seine Gewichte und eine Aufgabe an ein großes Modell schicken und einen Patch zurückbekommen. Ob sich das lohnt, hängt von der Amortisation ab: Ein teures Wartungsmodell rechnet sich nur, wenn jeder gepatchte Spezialist danach lange genug im Einsatz bleibt.
• Experten in Mixture-of-Experts-Modellen zu editieren ist plausibel, denn Experten sind MLPs, und die Qwen-Korrektur lag in MLP-Output-Spalten. SteerMoE (ICLR 2026) identifizierte durch den Vergleich gepaarter Eingaben Experten, die mit bestimmten Verhaltensweisen verbunden sind, und veränderte Sicherheits- und Faithfulness-Scores, indem es den Router steuerte. Das sind aber Belege zum Routing, nicht dazu, umzuschreiben, was ein Experte berechnet, und beides braucht eigene Tests.
• Große Einsparungen bei Rechenleistung und Daten gelten für Daten und sind für Rechenleistung nicht beziffert. Die ohne Daten geschriebenen Netze bekamen trotzdem Regeln, Quellcode und Eingabe-Layouts, ein Teil der Einsparung ist also Wissen, das in den Prompt gewandert ist. Auch die Kosten sind gewandert, in das Pretraining des Editors und in Inferenzrechnungen, die der Beitrag nicht ausweist.

Das Schreiben ist dem Lesen voraus

Die Autoren zählen Audits ohne Evaluation zu den Erträgen: eine Backdoor oder eine verborgene Fähigkeit direkt aus den Gewichten lesen, bevor irgendetwas läuft. Ihr eigenes Sykophantie-Ergebnis zeigt, dass das Auslesen verborgenen Verhaltens aus Gewichten noch nicht funktioniert. Verhalten in Gewichte hineinzuschreiben funktioniert schon seit einiger Zeit. BadEdit (ICLR 2024) pflanzte Backdoors in Milliarden-Parameter-Modelle, mit 15 Beispielen in etwa zwei Minuten, und sie überstanden späteres Fine-Tuning. Verweigerung lässt sich mit einer Änderung vom Rang eins entfernen.

Weight-Space Programming ändert, wer die Methode wählt. Bisher musste ein Angreifer wissen, welches Rezept er ausführen soll. Ein allgemeiner Reasoner wählt das Rezept, wendet es an und prüft das Ergebnis, und die Qwen-Korrektur zeigt, wie klein der Fußabdruck sein kann: 0,016 % der Gewichte, ohne Trainingslauf geändert und schwer zu erkennen, solange niemand die Gewichte mit dem Original vergleicht. Eine so kleine Änderung ist der sauberste Supply-Chain-Angriff, den bisher jemand beschrieben hat.

Schmidhuber hatte 1990 recht: Gewichte sind ein Programm. Sechsunddreißig Jahre lang konnten nur Optimierer, eigens trainierte Netze und Spezialisten es schreiben. Das langsame Netz kann jetzt lesen, und es schreibt für jeden, der ihm den Prompt gibt.

Aus dem Englischen übersetzt: zum Originalbeitrag