💻 computer science

Privacy Auditing with Zero (0) Training Run

Dieser Beitrag stellt Zero-Run vor, ein nachgelagertes Datenschutz-Auditing-Framework, das eine empirische Evaluierung der Differential Privacy in großskaligen Modellen ohne Nachtraining ermöglicht, indem es kausale Inferenz nutzt, um Verteilungsverschiebungen zwischen bekannten Mitglieder- und Nicht-Mitglieder-Datensätzen zu korrigieren.

Ursprüngliche Autoren: Tudor Cebere, Mathieu Even, Linus Bleistein, Aurélien Bellet

Veröffentlicht 2026-05-15

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Tudor Cebere, Mathieu Even, Linus Bleistein, Aurélien Bellet

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Das große Problem: Das „Black-Box"-Mysterium

Stellen Sie sich ein riesiges, superschlaueres KI-Modell (wie ein riesiges Gehirn) vor, das auf Millionen privater Dokumente, Fotos oder medizinischer Akten trainiert wurde. Wir wollen wissen: Hat diese KI versehentlich spezifische private Geheimnisse auswendig gelernt?

In der Vergangenheit mussten Sicherheitsexperten, um dies zu überprüfen, ein Spiel des „Wiederholens des Experiments" spielen. Sie sagten: „Lassen Sie uns die KI erneut trainieren, aber diesmal ohne dieses eine geheime Dokument. Dann lassen Sie sie mit dem Dokument trainieren. Wenn sich die KI anders verhält, wissen wir, dass sie das Geheimnis auswendig gelernt hat."

Das Problem: Dies ist für moderne KI unmöglich. Das Training dieser Modelle erfordert Tausende von Supercomputern, die wochenlang laufen. Man kann das Training nicht einfach jedes Mal neu durchführen, wenn man auf Datenschutzlecks prüfen möchte. Es ist, als würde man einen Koch bitten, jedes Mal, wenn man den Salzgeschmack testen möchte, ein 10-Gänge-Menü von Grund auf neu zu kochen.

Die neue Lösung: „Zero-Run"-Auditing

Dieses Papier stellt eine neue Methode zur Überprüfung von Datenschutzlecks vor, die Zero-Run Auditing genannt wird.

Anstatt das Essen neu zu kochen, probiert der Auditor einfach das fertige Gericht (das veröffentlichte KI-Modell) und vergleicht es mit einer Liste von Zutaten, von denen er weiß, dass sie verwendet wurden (die Trainingsdaten), und einer Liste von Zutaten, von denen er weiß, dass sie nicht verwendet wurden (Daten, die nie gesehen wurden).

Der Haken: Bei der alten Methode waren die „Zutaten" (Daten) randomisiert, wie das Mischen eines Kartendecks. Bei dieser neuen Methode können die „bekannt verwendeten" Zutaten und die „bekannt nicht verwendeten" Zutaten sich sehr stark voneinander unterscheiden.

Beispiel: Stellen Sie sich vor, die KI wurde auf Fotos von Pudeln (Mitglieder) trainiert. Der Auditor bringt Fotos von Golden Retrievern (Nicht-Mitglieder) mit, um sie zu testen.
Wenn die KI bei Pudeln „Pudel!" und bei Retrievern „Hund!" rät, liegt das daran, dass die KI die Pudeln auswendig gelernt hat? Oder liegt es einfach daran, dass Pudeln und Retriever unterschiedlich aussehen?
Das Papier nennt dies Distribution Shift (Verteilungsverschiebung). Es ist ein „verwirrender Faktor" – eine Ablenkung, die die KI so aussehen lässt, als würde sie Geheimnisse verraten, während sie möglicherweise nur auf die offensichtlichen Unterschiede in den Daten reagiert.

Die Analogie: Der Detektiv und die Verdächtigen

Stellen Sie sich die KI als Detektiv und die Datenpunkte als Verdächtige vor.

Der alte Weg (Interventionell): Der Detektiv erhält eine Aufstellung, in der die Verdächtigen zufällig als „Schuldig" oder „Unschuldig" eingeteilt sind. Wenn der Detektiv die „Schuldigen" korrekt identifiziert, wissen wir, dass er Insiderinformationen hat (Leckage).
Der neue Weg (Observational/Zero-Run): Der Detektiv erhält eine Aufstellung, in der die „schuldigen" Verdächtigen alle groß sind und die „unschuldigen" Verdächtigen alle klein sind.
- Wenn der Detektiv die großen Leute als „Schuldig" auswählt, hat er dann Insiderinformationen verwendet? Oder hat er einfach nur aufgrund der Größe geraten?
- Das Papier sagt: Wir müssen für die Größe korrigieren.

Wie das Papier es löst: Der „Propensity Score"

Die Autoren verwenden ein Konzept aus der Statistik, das Propensity Score genannt wird. In unserer Detektiv-Analogie ist dies ein „Größenrechner".

Bevor der Detektiv seine Vermutung äußert, berechnet der Auditor: „Basierend ausschließlich darauf, wie groß diese Person ist, wie hoch ist die Wahrscheinlichkeit, dass sie tatsächlich schuldig ist?"

Wenn ein Verdächtiger sehr groß ist, sagt der Rechner: „Es besteht eine 90%ige Wahrscheinlichkeit, dass er nur wegen seiner Größe schuldig ist."
Wenn der Detektiv diese Person trotzdem als „Schuldig" einstuft, sagt der Auditor: „Okay, das haben Sie richtig erkannt, aber 90% dieses Erfolgs gehen auf die Größe zurück, nicht auf Ihre Detektivfähigkeiten."
Der Auditor diskontiert dann diese Vermutung. Er zählt nur den Teil der Vermutung, der nicht allein durch die Größe erklärt werden kann.

Das Papier schlägt zwei mathematische Methoden dafür vor:

Die globale Korrektur: Ein konservativer Ansatz, der das Worst-Case-Szenario für den „Größen"-Unterschied annimmt. Er ist sicher, könnte aber einige Lecks übersehen.
Die punktuelle Korrektur: Ein schärferer Ansatz, der jeden Verdächtigen einzeln betrachtet. Er berechnet genau, wie stark „Größe" (Verteilungsverschiebung) diese spezifische Vermutung beeinflusst hat, und entfernt diesen Einfluss. Dies liefert ein viel genaueres Bild des tatsächlichen Datenschutzlecks.

Die Ergebnisse: Was sie fanden

Die Autoren testeten dies an:

Künstlichen Daten: Sie schufen ein Szenario, bei dem sie genau wussten, wie stark die KI Daten preisgab. Sie zeigten, dass ohne ihre Korrektur das Audit die KI fälschlicherweise beschuldigen würde, viel mehr Daten preiszugeben, als sie tatsächlich tat. Mit ihrer Korrektur war das Audit genau.
Echten Daten (WildCam): Sie testeten es an einem realen Datensatz mit Wildtierbildern. In der Wildnis sehen „Mitglieder" (Tiere, die während des Trainings gesehen wurden) und „Nicht-Mitglieder" (Tiere, die später gesehen wurden) aufgrund von Jahreszeiten oder Standorten natürlich unterschiedlich aus.
- Ohne Korrektur scheiterte das Audit oder lieferte nutzlose Ergebnisse, weil der „jahreszeitliche Shift" wie ein Datenschutzleck aussah.
- Mit ihrer Zero-Run-Korrektur maßen sie erfolgreich die tatsächliche Datenschutzlecks und bewiesen, dass man selbst mit unordentlichen, realen Daten eine KI auditieren kann, ohne sie neu zu trainieren.

Das Fazit

Dieses Papier bietet ein Werkzeugset für Auditor:innen, um zu prüfen, ob ein massives KI-Modell private Geheimnisse preisgegeben hat, ohne das Modell neu trainieren zu müssen.

Es löst das Problem der „ungerechten Vergleiche", indem es mathematisch die offensichtlichen Unterschiede zwischen den Daten, die die KI gesehen hat, und den Daten, die sie nicht gesehen hat, herausrechnet. Dies ermöglicht es Regulierungsbehörden und Forschern, KI-Unternehmen für den Datenschutz zur Rechenschaft zu ziehen, selbst wenn diese Unternehmen Auditoren den Zugriff auf ihre Trainingspipelines verweigern.

Kurz gesagt: Man muss das Haus nicht neu bauen, um zu prüfen, ob die Fenster abgeschlossen sind; man braucht nur eine bessere Möglichkeit, das Licht zu betrachten, das durch sie scheint, unter Berücksichtigung der Tageszeit und des Wetters.

Technische Zusammenfassung: Privacy Auditing mit Null (0) Trainingsläufen

1. Problemstellung

Privacy Auditing ist unerlässlich, um empirisch untere Schranken für die Differential Privacy (DP)-Parameter von Lernalgorithmen zu etablieren und theoretische Garantien zu ergänzen. Bestehende Auditierungsmethoden (z. B. Multi-Run und One-Run) verlassen sich jedoch auf interventionellen Zugriff auf die Trainingspipeline. Sie erfordern entweder das mehrfache Nachtrainieren von Modellen mit randomisierten Dateneinfügungen oder die einmalige Ausführung des Algorithmus mit randomisierten Mitgliedschaftsindikatoren.

Diese Interventionsanforderung macht Auditing für groß angelegte, eingesetzte Foundation Models (z. B. Large Language Models) aufgrund folgender Faktoren undurchführbar:

Rechenverbote: Das Nachtrainieren oder erneute Ausführen von Trainingspipelines verbraucht Tausende von GPU-Tagen.
Logistische Barrieren: Der Zugriff auf interne Datenpipelines und die Fähigkeit, die Dateneinbeziehung zu randomisieren, sind bei Black-Box-Bereitstellungen oft nicht verfügbar.
Die Verantwortlichkeitslücke: Die Systeme, die das größte Privatsphärenrisiko darstellen, sind am stärksten vor unabhängiger Bewertung abgeschirmt, was eine Abhängigkeit von Vertrauen statt von Verifizierung erzwingt.

Darüber hinaus scheitert ein naiver Versuch, Auditing ohne Intervention durchzuführen (unter Verwendung statischer Datensätze mit bekannten Mitgliedern und Nicht-Mitgliedern), weil er konfundierende Verteilungsverschiebungen einführt. Wenn die Datensätze von Mitgliedern und Nicht-Mitgliedern unterschiedlichen zugrunde liegenden Verteilungen folgen ( $P_1 \neq P_0$ ), kann ein Membership Inference Attack (MIA) erfolgreich sein, indem er diese verteilungsbedingten Unterschiede ausnutzt, anstatt algorithmische Leckagen zu entdecken. Dies führt zu falsch positiven Ergebnissen und ungültigen Privacy-Schranken.

2. Methodik: Zero-Run Auditing

Die Autoren schlagen Zero-Run Auditing vor, ein nachgelagertes Framework, das Privacy Auditing als observatorisches Inferenzproblem behandelt, analog zur kausalen Inferenz. Das Framework arbeitet ohne Modifikation des Algorithmus oder der Datenpipeline und stützt sich ausschließlich auf die Modellausgabe und zwei feste Datensätze:

$D_1$ (Mitglieder): Eine Teilmenge der Trainingsdaten (oder bekannte Vor-Trainingsdaten).
$D_0$ (Nicht-Mitglieder): Ein Datensatz, von dem bekannt ist, dass er vom Training ausgeschlossen wurde (z. B. Nach-Trainingsdaten oder synthetische Stichproben).

Das Framework durchläuft vier Schritte:

Beobachtung: Der Auditor beobachtet die Modellausgabe $\theta = A(D_{train})$ und die Beobachtungsdaten $\{X_i\} = D_1 \cup D_0$ .
Mitgliedschaftsinferenz: Ein Standard-MIA generiert Rohschätzungen $T_i \in \{-1, 0, 1\}$ für jedes $X_i$ .
Propensity-Schätzung: Der Auditor schätzt einen Propensity-Score $\hat{\pi}(X_i) \approx P(S_i=1 | X_i)$ , der die Wahrscheinlichkeit darstellt, dass ein Datenpunkt ein Mitglied ist, basierend ausschließlich auf seinen Merkmalen. Dies isoliert die strukturelle Selektionswahrscheinlichkeit vom algorithmischen Signal.
Korrektur: Das Framework wendet Korrekturen an, um Verteilungsverschiebung von algorithmischer Leckage zu entwirren, und zwar unter Verwendung zweier komplementärer Ansätze.

Korrekturansätze

Die Arbeit formalisiert zwei Methoden zur Korrektur des konfundierenden Effekts der Verteilungsverschiebung:

Globale Korrektur (Adaptive Komposition):
- Modelliert die beobachtete Leckage als adaptive Komposition zweier Mechanismen: eines Verteilungsverschiebungs-Mechanismus ( $M_{DS}$ ) und des auditierten Algorithmus ( $A$ ).
- Behandelt die gesamte Leckage als $f_{Tot} = f \otimes f_{DS}$ , wobei $\otimes$ das Tensorprodukt von Trade-off-Funktionen ist.
- Ergebnis: Liefert konservative globale Schranken. Es geht von einer Worst-Case-Verteilungsverschiebungsleckage über alle Datenpunkte aus, was zu einem Verlust der statistischen Power führen kann, wenn die Verschiebung heterogen ist.
Bedingte Korrektur (Punktweises Auditing):
- Bedingt auf die beobachteten Beispiele $X_i$ . Es erkennt, dass der Beitrag der Verteilungsverschiebung zur Inferenz lokal ist und durch die Log-Odds $\epsilon_{DS}(x_i) = |\log \pi(x_i) - \log(1-\pi(x_i))|$ definiert wird.
- Manipulationsmechanismus: Um übermäßiges Vertrauen aufgrund von Verteilungsverschiebung zu verhindern, „manipuliert" das Framework die MIA-Schätzungen. Für ein Beispiel mit einem stark unausgewogenen Propensity-Score (z. B. $\pi(x) \approx 1$ ) ist eine korrekte Schätzung weniger aussagekräftig für algorithmische Leckage. Das Framework behält solche Schätzungen mit einer geringeren Wahrscheinlichkeit $b_i$ bei, was effektiv eine randomisierte Enthaltung darstellt.
- Ergebnis: Liefert schärfere, instanzabhängige Schranken, die gegenüber Verteilungsverschiebungen robust sind, ohne die schweren Strafen des globalen Worst-Case-Ansatzes.

Unsicherheitsquantifizierung

Da Propensity-Scores aus Daten geschätzt werden müssen, integriert das Framework Bootstrapping, um Unsicherheit zu quantifizieren. Durch das Resampling des Datensatzes zur Propensity-Schätzung erzeugt die Methode empirische untere Schranken, die Schätzfehler berücksichtigen und sicherstellen, dass das endgültige Audit mit hoher Wahrscheinlichkeit gültig bleibt.

3. Hauptbeiträge

Formalisierung von Zero-Run Auditing: Die Arbeit definiert ein nachgelagertes Auditierungsregime, in dem die Mitgliedschaft nicht randomisiert wird. Sie zeigt, dass naive Audits auf solchen Daten die Leckage überschätzen, und verbindet dieses Setting explizit mit der observatorischen kausalen Inferenz, was eine „Overlap"-Annahme (Positivität) zwischen den Verteilungen von Mitgliedern und Nicht-Mitgliedern erfordert.
Leckage-Korrektur-Frameworks:
- Eine Kompositions-Perspektive, die Verteilungsverschiebung durch adaptive Komposition von algorithmischer Leckage dekonvolviert.
- Eine Bedingte Perspektive, die punktweise Mitgliedschaftsschätzungen basierend auf Propensity-Scores anpasst und robuste, verschiebungsabhängige Korrekturen liefert.
Unsicherheitsquantifizierung: Integration von Bootstrapping, um statistisch valide untere Schranken zu liefern, die Fehler bei der Propensity-Score-Schätzung berücksichtigen.
Skalierbarkeit: Demonstration, dass Privacy Audits an großen, eingesetzten Modellen durchgeführt werden können, bei denen Nachtraining rechnerisch oder logistisch unmöglich ist.

4. Experimentelle Ergebnisse

Die Autoren evaluieren Zero-Run Auditing an synthetischen Daten und realen Benchmarks (iWildCam):

Synthetische Daten: Unter zunehmender Magnitude der Verteilungsverschiebung produzieren Standard-One-Run-Audits (die die Verschiebung ignorieren) ungültige Schranken. Globale Korrekturen verlieren aufgrund von Worst-Case-Strafen rasch statistische Power. Im Gegensatz dazu behält die propensity-bewusste bedingte Korrektur informative, relativ flache empirische Schranken über alle Verschiebungsniveaus hinweg bei.
Realwelt-Daten (iWildCam): In Anwesenheit schwerwiegender natürlicher Verteilungsverschiebungen (geografisch/umweltbedingt) liefern globale und propensity-unbewusste Methoden nicht-positive (unbrauchbare) Schranken. Die propensity-bewusste bedingte Korrektur extrahiert erfolgreich eine gültige untere Privacy-Schranke ( $\hat{\mu} = 0.645$ ) für Out-of-Distribution (OOD)-Daten, die eng mit der Schranke übereinstimmt, die durch eine ideale IID-Aufteilung erreicht wird ( $\hat{\mu} = 0.652$ ).
Kosten: Der Zero-Run-Ansatz bringt eine Strafe von ungefähr $\approx 1$ Einheit im $\mu$ -GDP-Maßstab im Vergleich zum idealen One-Run-Auditing mit sich, was auf die Kosten der Propensity-Score-Schätzung und der Unsicherheitsquantifizierung zurückzuführen ist.

5. Bedeutung und Behauptungen

Die Arbeit behauptet, dass nachgelagertes Privacy Auditing möglich ist, aber als observatorisches Inferenzproblem behandelt werden muss. Die Hauptbedeutung liegt in:

Schließen der Verantwortlichkeitslücke: Bereitstellung von Werkzeugen für Regulierungsbehörden und Forscher, um Privacy-Garantien für Foundation Models zu verifizieren, ohne Zugriff auf die Trainingsinfrastruktur zu benötigen.
Kausale Analogie: Erfolgreiche Anwendung von Prinzipien der kausalen Inferenz (Propensity-Scores, Konfundierungsanpassung) auf das Gebiet des Privacy Auditing.
Praktikabilität: Ermöglichung von Privacy-Evaluierungen in Szenarien, in denen theoretische Garantien undurchsichtig sind und eine experimentelle Neuausführung undurchführbar ist.

Die Autoren bleiben bescheiden und räumen Einschränkungen ein:

Propensity-Schätzung: Das Framework verlässt sich auf eine genaue Propensity-Score-Schätzung, was in hochdimensionalen Settings mit endlichen Stichproben schwierig ist.
Vererbte Einschränkungen: Zero-Run Auditing erbt die Ineffizienzen endlicher Stichproben von One-Run-Methoden und ist von der Basisstärke des zugrunde liegenden MIA abhängig.
Falsifizierbarkeit: Während das Audit gültig ist, können die Propensity-Score-Schranken selbst nicht formal zertifiziert werden; sie sind durch adversariales Testen rechnerisch falsifizierbar, beruhen jedoch auf empirischer Validierung.

Zusammenfassend stellt die Arbeit fest, dass Verteilungsverschiebung eine distincte Quelle von Mitgliedschaftsinformation ist, die quantifiziert und korrigiert werden muss. Durch die Verwendung von Propensity-Scores wandelt Zero-Run Auditing diese konfundierenden Faktoren in gültige empirische untere Schranken für algorithmische Privacy-Leckagen um.