Fünf KI-Forschungspapers der Woche: Der Rückkanal entscheidet

Jede Woche erscheinen auf arXiv.org hunderte neue Manuskripte aus dem Maschinellen Lernen – eine Menge, die niemand mehr vollständig lesen kann. Diese Zusammenfassung greift aus den Veröffentlichungen der vergangenen Tage fünf Arbeiten heraus, die uns besonders bemerkenswert erscheinen, und ordnet sie kurz ein. Sie stammen aus dem jüngsten Schwung der „Hugging Face Daily Papers" vom 15. September 2026, einem Kuratierungskanal für neue arXiv-Preprints; ein Blick auf die Vorwochen zeigt, dass keines der fünf in den vergangenen Tagen hier bereits besprochen wurde.^[Hugging Face — Daily Papers, Ausgabe 2026-09-15 – url: https://huggingface.co/papers]

Ein Motiv verbindet diese Woche: Nicht die erste Vermutung entscheidet, sondern das, was zurückkommt. Omni-Streaming Thinking hält eine Behauptung offen, bis der Ton sie bestätigt oder widerlegt. Die Elo-pro-Token-Analyse misst nicht, wie gut ein Agent aussieht, sondern wie viel er pro zusätzlichem Token noch dazugewinnt. Dream-RSI pumpt nicht weiter Rechenzeit in die Welt, sondern lernt aus dem, was die eigene Vergangenheit längst zurückgemeldet hat. SAILS verlässt sich nicht auf eine billige Einzelbewertung, sondern auditiert seine Kandidaten am echten Modell. Und Agent as Policy lässt einen Allzweck-Agenten den Roboterarm bewegen und nach jedem Griff dessen physische Antwort auswerten. Fünfmal dieselbe Verschiebung: weg vom plausiblen ersten Schluss, hin zum Rückkanal.

1. Omni-Streaming Thinking: Eine Vermutung auf Bewährung

arXiv 2609.15128 – „Omni-Streaming Thinking" (Enjun Du, Siyi Liu, Ziyu Zheng, Jingyu Li, Yiwen Guo, Yongqi Zhang, Difan Zou – University of Hong Kong, HKUST (Guangzhou), LIGHTSPEED, University of Sussex)

Wer ein Video mit Ton in Echtzeit versteht, muss laufend entscheiden, was er wann als Fakt behandelt. Die Autoren benennen eine Schwäche, die sie premature cross-modal commitment nennen: Eine Deutung wird zur Arbeitsgrundlage, bevor die Evidenz da ist, die sie prüfen könnte. Ihr Eingangsbeispiel: Ein Bildschirm zeigt „Gate 6", während im Ton gerade eine Durchsage beginnt, das Gate habe sich auf 12 verlegt. Ein naives Streaming-Modell schreibt „Gate 6" in sein Gedächtnis – und wiederholt die frühe Vermutung auch dann noch, wenn die Durchsage längst „Gate 12" gesagt hat. Ursache ist eine modalitätsasymmetrische Evidenzreifung: Ein paar Bilder genügen für die Anzeige, eine Aussage oder ein Geräusch braucht länger.^[Omni-Streaming Thinking – url: https://huggingface.co/papers/2609.15128]

Behauptungen mit Ablaufdatum

Statt die Deutung sofort festzuschreiben, formuliert OST sie als Anspruch (claim) – mit dem, was erwartet wird, welcher Modal ihn überprüfen kann, wann die Evidenz fällig ist und was von ihm abhängt. Formal ist ein Claim ein Tupel aus Prognosetext, prüfendem Modal, künftigem Evidenzfenster und Tragweite:^[Omni-Streaming Thinking – url: https://huggingface.co/papers/2609.15128]

$$c_i=(x_i,;m_i,;I_i,;\sigma_i),\qquad I_i=(t_s,;t_s+\delta_i]$$

Getrennte Budgets für Bild- und Ton-Spuren stellen sicher, dass die prüfende Evidenz nicht von dichten visuellen Tokens verdrängt wird; offene Evidenzfenster werden angeheftet, bis der zugehörige Claim entschieden ist. Ein vierstufiges Gedächtnis verdichtet 4-Sekunden-Zustände zu 16- und 64-Sekunden-Zusammenfassungen und schließlich zu einer Langzeitwurzel.

Prüfen, zurücknehmen, nachführen

Wird ein Claim widerlegt, senkt OST nicht nur dessen eigene Zuverlässigkeit, sondern pflanzt die Absenkung über einen azyklischen Herkunfts-Graphen auf alle abhängigen Zustände fort:

$$\rho_i\leftarrow\min{\rho_i,;\alpha(\gamma_i)},\qquad \bar\rho_j=\rho_j\min_{k\in\mathrm{Anc}(j)}\rho_k$$

Weil die Zuverlässigkeit bei eins startet und nur sinken kann, bleibt jede abhängige Zusammenfassung nach oben durch ihre Vorfahren beschränkt – die Korrektur „klebt" auch dann noch, wenn das Gedächtnis verdichtet wird. Anschließend wird der Zustand mit der neuen Evidenz neu geschrieben (verdict-conditioned continuation):

$$\tilde\ell_s=\ell^+_s+\lambda_s\left(\ell^+_s-\ell^-s\right),\qquad \lambda_s=\lambda_0\frac{1}{|X_s|}\sum{i\in X_s}\gamma_i$$

Erst antworten, wenn nichts Wichtiges offen ist

Das answer gate antwortet erst, wenn die Evidenz genügt und kein antwortkritischer Claim noch auf Prüfung wartet:

$$T^\star=\inf{t_s:\mathrm{Suff}s=1\ \wedge\ A_s(q)=\varnothing},\qquad T=\min(T^\star,T{\text{end}})$$

Mit eingefrorenem Qwen3-Omni-30B-A3B-Instruct-Rückgrat und leichtem LoRA-Tuning übertrifft OST die stärksten offenen Baselines auf fünf Streaming- und Audio-Video-Benchmarks um über 10 % relativ im Mittel. Auf dem eigens eingeführten Diagnostik-Benchmark OST-DiagBench, der das Video festhält und nur den Ton verändert (Zustimmung, Abwesenheit, Widerspruch, Koexistenz, Untertitel-Sprach-Konflikt), erreicht OST ein d′ = 2,95 gegenüber höchstens 1,38 bei offenen Baselines – und reduziert visuell ausgelöste Ton-Halluzinationen.^[Omni-Streaming Thinking – url: https://huggingface.co/papers/2609.15128]

2. When Agents Slow Down: Der Agent lernt nicht wie ein Mensch

arXiv 2609.15309 – „When Agents Slow Down: Understanding LLM Agents' Test-Time Strategies via Elo-per-token Analysis" (Kaiyuan Liu, Qiuyang Mang, Bo Peng, Wenhao Chai, Hanchen Li, Shreyas Pimpalgaonkar, Luke Zettlemoyer, Alex Dimakis, Alvin Cheung – UC Berkeley, University of Washington, Princeton University, Bespoke Labs)

Wie skaliert die Leistung eines Agenten mit dem Testzeit-Rechnen? Die Frage klingt einfach, ist aber kaum sauber messbar: Offene Aufgaben liefern laufend Zwischenergebnisse mit task-spezifischen Punktzahlen, und Rohpunkte sind weder über Aufgaben noch innerhalb einer Aufgabe vergleichbar – der Schritt von 80 % auf 81 % kann weit schwerer sein als der von 50 % auf 60 %.^[When Agents Slow Down – url: https://huggingface.co/papers/2609.15309]

Elo pro Token statt Rohpunkte

Die Autoren bewerten daher nicht Punkte, sondern Reihenfolgen: Für jede Aufgabe wird das bis zu einem Token-Budget beste gefundene Ergebnis paarweise gegen Ergebnisse anderer Budgets und Systeme verglichen, und ein Bradley–Terry-Modell aggregiert die Ausgänge zu einem Elo-Wert.

$$E[y_{pq}]=\frac{1}{1+10^{-(r_p-r_q)/400}}$$

Der Clou ist eine theoretsich saubere Referenzlinie: Unabhängiges wiederholtes Sampling gewinnt exakt 400 Elo pro Zehnerpotenz Compute, unabhängig von der Verteilung der Punkte.

Zwei Befunde

Erstens reduzieren sich Agenten auf unabhängiges Sampling: Nach den ersten Kontextfenster-Kompaktierungen skalieren sie nicht schneller als diese 400-Elo-Gerade – oft langsamer. Kontextverwaltung bleibt damit das eigentliche Problem. Zweitens skalieren Menschen superlinear: Auf geteilten AtCoder-Heuristik-Aufgaben flachen Agenten binnen eines Tages ab, während die stärksten Menschen über Tage weiter steigen und sie überholen. Das ist ein Hinweis darauf, dass Menschen innerhalb einer Aufgabe kontinuierlich hinzulernen – ein Merkmal, das den getesteten Agenten fehlt.^[When Agents Slow Down – url: https://huggingface.co/papers/2609.15309]

Der Knick und die Aufteilung des Budgets

Der scaling inflection point ist das Pro-Session-Budget, bei dem der marginale Elo-Zuwachs die Sampling-Referenz gerade erreicht. Nutzt man ihn als Session-Budget und teilt 100 Mio. Token entsprechend auf, gewinnt man auf FrontierCS Polyomino Packing +264 Elo gegenüber einer einzigen langen Session und +355 Elo gegenüber zehn kurzen. Untersucht wurden vier Agenten (Kimi K2.7, GPT-5.5, Opus 4.8, Gemini 3.5 Flash) auf vier offenen Benchmarks (FrontierCS, ALE-Bench, MLS-Bench, FlashInfer-Bench), mit fünf Sessions je Aufgabe und einem Budget von bis zu 100 Mio. Token.^[When Agents Slow Down – url: https://huggingface.co/papers/2609.15309]

3. Dream-RSI: In der eigenen Vergangenheit träumen

arXiv 2609.14858 – „Dream-RSI: Recursive Self-Improvement through Evolving Worlds" (Tong Zheng, Xidong Wu, Zheng Zhang, Zhankui He, Chaoyi Zhang, Benjamin Coleman, Rui Liu, Heng Huang, Yunsong Guo u. a. – Google, University of Maryland, Google DeepMind, University of Virginia)

Rekursive Selbstverbesserung hängt an wirksamer Erkundung, und die ist teuer: Man kann eine Erkundungsstrategie erst beurteilen, wenn man beobachtet hat, wie sie den gesamten Entdeckungsprozess über viele Vorschlags- und Bewertungszyklen prägt – verzögertes, kostspieliges Feedback über lange Rollouts. Feste Strategien wiederum passen sich nicht an, wenn der Suchraum wächst.^[Dream-RSI: Recursive Self-Improvement through Evolving Worlds – url: https://huggingface.co/papers/2609.14858]

Die Kernidee: Geschichte als Simulator

Die Überlegung ist bestechend schlicht: Eine abgeschlossene Entdeckungsgeschichte ist selbst ein Replay-Simulator. Sie enthält einen strukturierten Baum vergangener Entscheidungen mitsamt den realisierten Ausführungsergebnissen. Eine alternative Strategie kann diesen bereits aufgezeichneten Baum anders durchqueren – andere Äste, andere Reihenfolge, andere Parallelisierung, anderes Stoppen –, ohne den zugrunde liegenden Agenten oder Evaluator erneut auszuführen. Ein einziger teurer Online-Lauf finanziert damit Tausende billiger „träumender" Bewertungen.

Der Zyklus

Dream-RSI wechselt zwischen drei Stufen: (1) Online-Erkundung, in der die aktuelle Policy einen Coding-Agenten steuert und einen Entdeckungsbaum protokolliert; (2) Aufbau des Replay-Simulators, der die Bäume zu einem wiederverwendbaren Pool macht; und (3) träumende Policy-Verbesserung, in der Kandidatenstrategien im Simulator bewertet und die beste erneut online eingesetzt wird. Bewertet wird dabei ein Kompromiss aus Entdeckungsqualität, Ausführungskosten und Parallelität:

$$V_i^m=\max_{v\in\mathcal{T}_i^{m,\star}} s_v-\beta_1 N_i^m+\beta_2\frac{N_i^m}{\max(1,,k_i^{m,\star})}$$

Der erste Term misst die beste erreichte Lösung, der zweite bestraft die Zahl der Versuche, der dritte belohnt Strategien, die nützliche Fortsetzungen parallel statt sequenziell abarbeiten.

Zahlen

In Algorithmen-Engineering (Lasso-Pfad-Löser) schlägt Dream-RSI Standardbibliotheken wie sklearn und starke Baselines und senkt die Agentenaufrufe um bis zu 162× gegenüber SimpleTES und 1,7× gegenüber fixer Erkundung. In der mathematischen Optimierung (Sum-Differenz, Autokorrelation, Kreis-Packen) erreicht es vergleichbare oder bessere Ergebnisse schon in rund 1.000 Generationen – über 50× Budgetersparnis. Im GPU-Kernel-Engineering (KernelBench) erreicht es Zielgeschwindigkeiten mit 1,79–2,43× weniger Generationen oder verbessert die Kernel-Leistung bei gleichem Budget um bis zu 2,09×.^[Dream-RSI: Recursive Self-Improvement through Evolving Worlds – url: https://huggingface.co/papers/2609.14858]

4. Pick Your Poison: Derselbe Auslöser, dreifacher bis achtzigfacher Erfolg

arXiv 2609.15029 – „Pick Your Poison: Learning to Select Poison Sets for Stronger LLM Backdoor Attacks" (Aashiq Muhamed, Mona T. Diab, Virginia Smith, Andrew Ilyas – Carnegie Mellon University; Matthew Jagielski – Anthropic)

Backdoor-Angriffe schieben wenige vergiftete Beispiele in sonst saubere Fine-Tuning-Daten; jedes koppelt einen Auslöser mit einem Zielverhalten, das das Modell bei Erscheinen des Auslösers produzieren soll. Übliche Evaluationen halten Modell, saubere Daten und Giftanzahl fest und ziehen das Gift-Set zufällig – und unterschätzen damit das Risiko. Über drei LLaMA-3-8B-Szenarien hinweg reicht die Angriffserfolgsrate von 3 % bis 80 %, allein abhängig davon, welches Gift-Set gewählt wird. Wer nur zufällige Sets prüft, unterschätzt den schlimmsten Fall; wer dasselbe Kontingent gezielt wählt, erreicht weit mehr.^[Pick Your Poison – url: https://huggingface.co/papers/2609.15029]

Das Gift-Set ist die Variable

Die Stärke eines Sets misst sich an der Angriffserfolgsrate (ASR) – dem Anteil getriggerter Eingaben, auf denen das vergiftete Modell das Zielverhalten zeigt:

$$\mathrm{ASR}(S)=\frac{1}{|T|}\sum_{x\in T}\mathbb{1}!\left[f_S(\tau(x))\ \text{zeigt}\ y_{\text{tgt}}\right]$$

Eine direkte Bewertung erfordert einen vollständigen finetune-and-evaluate-Lauf – eine Orakel-Abfrage. Das Suchproblem ist kombinatorisch: 900 Kandidaten bei Giftbudget 9 ergeben $\binom{900}{9}\approx 10^{21}$ mögliche Sets, während ein praktisches Budget nur wenige Hundert Abfragen erlaubt.

Warum Einzelbewertungen scheitern

Naheliegend wäre, jeden Kandidaten einzeln mit einem Influence-Proxy zu bewerten und die höchsten zu wählen. Das setzt aber voraus, dass sich der Set-Nutzen in unabhängige Einzelbeiträge zerlegt. Tatsächlich gilt:

$$R(S)=c+\sum_i a_i z_i+\sum_{i<j} b_{ij} z_i z_j+\cdots,\qquad z_i=\mathbb{1}[i\in S]$$

Punktbewertungen behalten nur den linearen Term und verlieren die Wechselwirkungen: Redundanz ($b_{ij}<0$) und Komplementarität ($b_{ij}>0$) bleiben unsichtbar. Bessere Influence-Schätzer senken den Präzisionsverlust, den Additivitätsverlust können sie prinzipiell nicht beheben.

SAILS: vorschlagen, bewerten, auditieren, nachkalibrieren

SAILS trainiert einen Set-Scorer (standardmäßig DistilBERT), der ganze Gift-Sets bewertet statt Einzelbeispiele. Jede Runde schlägt N Kandidatensets vor, bewertet sie billig, auditiert nur eine kurze Top-m-Liste am echten Modell und trainiert den Scorer auf den auditierten Ergebnissen nach. Eine Regret-Schranke zeigt: Solange der Scorer mindestens ein starkes Set hoch genug rankt, um auditiert zu werden, liegt das Ergebnis nahe am Optimum – der Oracle, nicht der Scorer, trifft die letzte Wahl.

Zahlen

Über die drei LLaMA-3-8B-Szenarien verbessert SAILS die gehaltene Angriffserfolgsrate um 30 Prozentpunkte im Mittel über die stärksten Influence-Baselines. Ein auf kleinen finetune-and-evaluate-Läufen trainierter Scorer überträgt sich auf volles Finetuning, und dieselbe Pipeline erstreckt sich auf Code-Generierungs-Backdoors, agentische Backdoors (Qwen3-4B) sowie API-only-Finetuning von Kimi-K2.5.^[Pick Your Poison – url: https://huggingface.co/papers/2609.15029]

5. Agent as Policy: Der Agent ist die Policy

arXiv 2609.12541 – „Agent as Policy for Robotic Manipulation" (Mengzhao Jia, Yang Lin, Xixin Zhang, Zhihan Zhang, Xiaobai Liu, Meng Jiang – University of Notre Dame, UC San Diego, San Diego State University)

Bisherige agentische Robotersysteme gehen meist zwei Wege: Der Agent erzeugt vorab ein ausführbares Programm, oder er orchestriert vorhandene gelernte Policies. Beide begrenzen die Anpassungsfähigkeit – einmal auf das, was sich in explizite Regeln fassen lässt, einmal auf das, was die gewählte Policy kann. AGP macht dagegen den Allzweck-Agenten selbst zur Policy: ohne aufgaben- oder umgebungsspezifisches Training und mit während der Ausführung eingefrorenen Gewichten.^[Agent as Policy for Robotic Manipulation – url: https://huggingface.co/papers/2609.12541]

Zwei Agenten, ein Arm

Ein Vorbereitungsagent liest einmal pro Aufgabentyp die Anforderung und erzeugt eine wiederverwendbare Aufgabendefinition. Zur Laufzeit liest ein Ausführungsagent diese Definition und die dokumentierte Roboterschnittstelle, schreibt Python-Programme, um Beobachtungen zu deuten, Objektgeometrie zu berechnen und Greifposen abzuleiten, und schickt Bewegungsanforderungen über eine Brücke. Formal wählt er bei Schritt $k$ ein Werkzeug gemäß

$$u_k\sim\pi_\theta(\cdot\mid g,I,H_k,W_k),$$

wobei $g$ die Aufgabenbeschreibung, $I$ die Schnittstelle, $H_k$ die Interaktionshistorie und $W_k$ den Arbeitsbereich aus Skripten und Beobachtungen bezeichnet. Die Modelparameter bleiben fest.

Was zählt, ist die Rückmeldung

Nach jeder Aktion nutzt der Agent Bewegungs-Feedback und neue Beobachtungen, um Schätzungen und Folgeaktionen zu korrigieren: Eine gescheiterte Einfügung kann eine neue Ausrichtungsschätzung, einen näheren Blick oder eine andere Anfahrtsrichtung auslösen. Bewegung und Überwachung laufen unabhängig von der Agenten-Inferenz, sodass der Roboter eine übermittelte Bewegung ausführt, während der Agent zwischen Werkzeugaufrufen weiterdenkt.

Ergebnisse

Auf einem I2RT-YAM-Arm (Standardmodell GPT-6 Astra mit hohem Denkaufwand) gelingen: Vier-Paar-Montage 8/10, Blockbau 10/10, 10/10 und 9/10, Würfel-Umdrehen 10/10, gezieltes Werfen 2/2, Handtuchfalten 5/5 sequenziell und 3/5 simultan. In sieben von acht Konfigurationen liegt die Erfolgsrate bei mindestens 80 %, in fünf bei 100 % – ohne Vortraining. Wiederverwendete Prozeduren verkürzen die Ausführungszeit, und die Übertragung gespeicherter Erfahrung von einem stärkeren auf einen schwächeren Agenten hebt dessen Erfolgsrate. Die Autoren benennen die Bremsen selbst: Ausführungszeit und Inferenzkosten bleiben für den Praxiseinsatz erheblich.^[Agent as Policy for Robotic Manipulation – url: https://huggingface.co/papers/2609.12541]

Fazit: Der Rückkanal ist der Beitrag

Fünf Papers, fünf Domänen – multimodales Streaming, Agenten-Compute, Selbstverbesserung, Sicherheit, Robotik –, und doch dieselbe Bewegung: Der Wert steckt nicht in der Behauptung, sondern in dem, was zurückkommt. OST hält eine Vermutung so lange auf Bewährung, bis der Ton sie entscheidet, und pflanzt die Korrektur bis in die verdichteten Zusammenfassungen fort. Die Elo-pro-Token-Analyse ersetzt den Eindruck „starker Agent" durch die nüchterne Frage, wie viel ein weiteres Token noch einbringt – und misst so die Lücke zum Menschen, der innerhalb einer Aufgabe kontinuierlich dazulernt. Dream-RSI und SAILS sparen beide, indem sie zuerst billig vorfiltern und nur die kurze Auswahl teuer prüfen: die eine im Simulator aus aufgezeichneter Vergangenheit, die andere am echten Modell. Und AGP zeigt, dass ein Allzweck-Agent dann einen Roboter steuert, wenn er nach jedem Griff dessen physische Antwort ernst nimmt.

Die vielleicht wichtigste Botschaft dieses Jahrgangs ist eine Frage der Messung. Wer Agenten nur an ihrem Endergebnis bewertet, sieht nicht, dass sie – gemessen am besten gefundenen Zwischenstand – nach den ersten Kontextkompaktierungen nicht mehr schneller werden als reines Zufalls-Sampling. Wer Backdoor-Risiken nur an zufälligen Gift-Sets bewertet, übersieht den Fall, in dem dieselbe Giftmenge achtzig statt drei Prozent erreicht. Beide Papers sagen dasselbe in unterschiedlichen Gewändern: Es lohnt, den Rückkanal selbst zu vermessen, nicht nur das, was am Ende herauskommt.