Verification of Machine Unlearning is Fragile

1. Problemstellung

Mit dem Aufkommen von Datenschutzgesetzen wie der DSGVO (GDPR) und dem CCPA haben Dateninhaber das Recht, ihre personenbezogenen Daten aus trainierten Machine-Learning-Modellen entfernen zu lassen. Dieser Prozess wird als Machine Unlearning (MUL) bezeichnet.

Da Dateninhaber den Unlearning-Prozess oft nicht selbst durchführen können (z. B. bei ML-as-a-Service-Anbietern wie Google oder Microsoft), sind sie auf die Integrität des Anbieters angewiesen. Um dies zu gewährleisten, wurden verschiedene Verifikationsstrategien entwickelt, um sicherzustellen, dass die Daten tatsächlich entfernt wurden. Die Autoren identifizieren zwei Hauptkategorien dieser Strategien:

1. Backdoor-Verifikation: Der Dateninhaber injiziert vor dem Training vergiftete Daten (Backdoor-Triggers). Nach dem Unlearning-Request sollte das Modell diese Daten nicht mehr „erkennen" (d.h. sie nicht mehr falsch klassifizieren).
2. Reproduzierungs-Verifikation (Reproducing Verification): Der Anbieter muss einen Nachweis des Neutrainings (Proof of Retraining, PoRT) vorlegen, der die einzelnen Schritte des Neutrainings ohne die zu löschenden Daten dokumentiert. Der Verifizierer kann diese Schritte nachvollziehen.

Das Kernproblem: Die Autoren untersuchen die Frage, ob ein betrügerischer Modellanbieter diese Verifikationsstrategien umgehen kann, während er gleichzeitig die Informationen der zu löschenden Daten im Modell behält. Das Ziel des Angreifers ist es, die Verifikation zu bestehen (um Strafen oder Vertrauensverlust zu vermeiden), aber die Daten weiterhin für die Modellleistung zu nutzen (um Rechenkosten zu sparen und die Modellgenauigkeit zu erhalten).

2. Methodik

Die Autoren schlagen zwei neue adversarielle Unlearning-Methoden vor, die beide Verifikationsarten umgehen, jedoch unterschiedliche Kompromisse zwischen Effizienz und Sicherheit eingehen.

A. Adversarielle Methode 1: Retraining-basiert (Hohe Sicherheit, hohe Kosten)

Diese Methode zielt darauf ab, die Reproduzierungs-Verifikation mit einem Fehler von Null ($\epsilon = 0$) und die Backdoor-Verifikation zu täuschen.

• Prinzip: Anstatt die Daten neu zu trainieren, wählt der Angreifer während des Neutrainings Mini-Batches aus dem verbleibenden Datensatz ($D \setminus D_u$), die einen Gradienten erzeugen, der dem der zu löschenden Daten ($D_u$) so ähnlich wie möglich ist.
• Strategie:
  • Wenn ein ursprünglicher Mini-Batch keine zu löschenden Daten enthält, wird er unverändert übernommen.
  • Enthält ein Batch zu löschende Daten, werden diese durch ihre klassenweise nächsten Nachbarn (Nearest Neighbors) im verbleibenden Datensatz ersetzt.
  • Alternativ kann eine zufällige Stichprobe aus dem verbleibenden Datensatz gewählt werden, die den kleinsten Gradientenabstand zum ursprünglichen Batch aufweist.
• Ergebnis: Das resultierende Modell wird durch einen gültigen PoRT verifiziert (da die Updates mathematisch konsistent sind), behält aber durch die Ähnlichkeit der Gradienten die Information der gelöschten Daten bei. Es wird theoretisch bewiesen, dass dieses Modell in der Nähe des Optimums des ursprünglichen Trainings bleibt.

B. Adversarielle Methode 2: Fälschungsbasiert (Hohe Effizienz, geringere Sicherheit)

Diese Methode ist rechnerisch effizienter, kann aber nur Verifikationen mit einem kleinen Toleranzfehler ($\epsilon > 0$) täuschen.

• Prinzip: Statt neu zu trainieren, wird der ursprüngliche Trainingsverlauf (Proof of Training, PoT) direkt manipuliert, um einen PoRT zu erzeugen.
• Strategie (Forging Map):
  • Für Batches ohne zu löschende Daten werden die Modellparameter leicht durch einen einzelnen SGD-Schritt auf einem zufälligen verbleibenden Datenpunkt verändert, um Unverändertheit zu vermeiden.
  • Für Batches mit zu löschenden Daten werden diese durch die nächsten Nachbarn ersetzt (ähnlich wie bei Methode 1), und die Modellparameter werden basierend auf diesen Ersatzdaten aktualisiert.
• Vorteil: Da die Schritte parallelisiert werden können, ist diese Methode deutlich schneller als ein vollständiges Neutrainieren.
• Nachteil: Das resultierende Modell ist dem ursprünglichen Modell sehr ähnlich und kann daher bei strengen Backdoor-Tests leichter erkannt werden als bei Methode 1.

3. Wichtige Beiträge

1. Identifikation der Verletzlichkeit: Die Arbeit zeigt erstmals systematisch auf, dass aktuelle MUL-Verifikationsstrategien (sowohl Backdoor als auch Reproduktion) anfällig für adversarielle Angriffe sind.
2. Entwicklung adversarieller Algorithmen: Präsentation von zwei Methoden (Retraining-basiert und Fälschungsbasiert), die die Integrität der Verifikation vortäuschen, während die Daten im Modell erhalten bleiben.
3. Theoretische Garantien:
   • Beweis, dass die Retraining-Methode eine gültige PoRT mit $\epsilon=0$ erzeugt.
   • Theoretische Schranken für den Gradientenabstand, die zeigen, dass das adversarielle Modell die Information der gelöschten Daten effektiv lernt.
   • Analyse der Zeitkomplexität, die die Überlegenheit der Fälschungsmethode in Bezug auf die Effizienz belegt.
4. Empirische Validierung: Umfassende Experimente auf realen Datensätzen (MNIST, CIFAR-10, SVHN) mit verschiedenen Architekturen (MLP, CNN, ResNet).

4. Ergebnisse

Die empirischen Experimente bestätigen die theoretischen Annahmen:

• Umgehung der Verifikation:
  • Die Retraining-Methode täuscht sowohl die Reproduzierungs-Verifikation (Fehler $\approx 0$) als auch die Backdoor-Verifikation erfolgreich. Die Wahrscheinlichkeit eines Typ-II-Fehlers (Verifizierer glaubt, Daten seien gelöscht, sind es aber nicht) liegt bei fast 100% (nahezu 1.0).
  • Die Fälschungsmethode täuscht die Reproduzierungs-Verifikation bei kleinen $\epsilon$-Schwellenwerten erfolgreich, wird aber bei der Backdoor-Verifikation oft erkannt (niedrige Typ-II-Fehler-Wahrscheinlichkeit), da das Modell zu stark dem ursprünglichen (vergifteten) Modell ähnelt.
• Modellnutzen (Utility):
  • Die adversariellen Methoden erhalten die Modellgenauigkeit (F1-Score) auf dem gelöschten Datensatz deutlich besser als ein echtes Neutrainieren (Retrain).
  • Besonders in Szenarien mit Klassenungleichgewicht (Class-Imbalanced) übertrifft die adversarielle Methode das naive Neutrainieren erheblich.
• Effizienz:
  • Die Fälschungsmethode ist in der Ausführung deutlich schneller als ein Neutrainieren (durch Parallelisierung).
  • Die Retraining-Methode ist etwas langsamer als ein Neutrainieren aufgrund der Berechnung der nächsten Nachbarn, aber immer noch effizienter als erwartet.

5. Bedeutung und Fazit

Die Studie hat weitreichende Implikationen für die Sicherheit und Regulierung von Machine Learning:

• Fragilität des Vertrauens: Aktuelle Verifikationsmechanismen bieten keine strikte Garantie dafür, dass Daten tatsächlich vergessen wurden. Ein böswilliger Anbieter kann die Verifikation bestehen und gleichzeitig die Daten behalten.
• Herausforderung für die Sicherheit: Es gibt derzeit keine „sichere" Verifikation für Machine Unlearning, die sowohl gegen Neutrainings- als auch gegen Fälschungsangriffe immun ist.
• Zukünftige Forschung: Die Arbeit unterstreicht die Notwendigkeit neuer, robusterer Verifikationsmethoden, die nicht nur auf der Nachvollziehbarkeit von Schritten oder Backdoors basieren, sondern möglicherweise tiefere Einblicke in die Modellparameter oder die Informationsentropie erfordern.

Zusammenfassend demonstriert das Paper, dass das Vertrauen in die Integrität von Machine Unlearning-Prozessen derzeit trügerisch ist und dass die Sicherheitslücken in den Verifikationsstrategien ausgenutzt werden können, um Datenschutzgesetze zu umgehen, ohne dass dies von den Dateninhabern erkannt wird.