🤖 machine learning

Rethinking Backdoor Adversarial Unlearning through the Lens of Catastrophic Forgetting in Continual Learning

Dieses Paper schlägt Blind Inversion-Backdoor Adversarial Unlearning (BI-BAU) vor, eine neuartige Methode, die das Backdoor-Unlearning als ein Problem des kontinuierlichen Lernens umformuliert, um durch die Nutzung von Mechanismen des katastrophalen Vergessens mittels eines Bi-Level-Optimierungsrahmens, der in einen Expectation-Maximization-Algorithmus integriert ist, eine vollständige Eliminierung der Backdoor zu erreichen.

Ursprüngliche Autoren: Zhenqian Zhu, Yamin Hu, Yujiang Liu, Luping Wei, Wenbo Hou, Bin Li, Haodong Li, Wenjian Luo

Veröffentlicht 2026-06-15

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Zhenqian Zhu, Yamin Hu, Yujiang Liu, Luping Wei, Wenbo Hou, Bin Li, Haodong Li, Wenjian Luo

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Das Problem: Der „versteckte Schalter“ in einer intelligenten Maschine

Stellen Sie sich vor, Sie kaufen einen sehr intelligenten Roboter-Assistenten, der von einem Drittanbieter gebaut wurde. Sie möchten, dass er Ihnen hilft, Ihre Fotos zu sortieren (die „saubere Aufgabe“). Ein Hacker hat jedoch heimlich einen versteckten Schalter (eine „Backdoor“ bzw. Hintertür) während des Trainings in das Gehirn des Roboters eingebaut.

Normales Verhalten: Wenn Sie dem Roboter ein Bild einer Katze zeigen, sagt er korrekt: „Katze“.
Backdoor-Verhalten: Wenn Sie dem Roboter ein Bild einer Katze zeigen, auf dem ein winziger, unsichtbarer Aufkleber klebt (der „Trigger“), ignoriert der Roboter plötzlich die Katze und schreit: „Es ist ein Toaster!“

Das Beängstigende daran ist, dass der Roboter für alles andere perfekt funktioniert – außer für diesen einen Trick.

Die aktuelle Lösung: Die „oberflächliche Politur“

Wissenschaftler haben versucht, diese gehackten Roboter mittels „Safety Tuning“ zu reparieren. Stellen Sie sich das wie einen Mechaniker vor, der versucht, das Gehirn des Roboters zu reinigen. Er schrubbt den offensichtlichen Schmutz weg und poliert die Oberfläche.

Die Entdeckung des Papers: Die Autoren fanden heraus, dass diese aktuellen Reinigungsmethoden wie das Wischen eines Fensters mit einem schmutzigen Lappen sind. Sie lassen den Roboter zwar sicher aussehen, aber sie entfernen den versteckten Schalter nicht wirklich. Der Schalter ist immer noch da, nur tief vergraben. Wenn der Hacker zurückkehrt und den Roboter nur einen winzigen Anstoß gibt (ein „Retuning Attack“), schaltet sich der versteckte Schalter wieder ein und der Roboter schreit wieder: „Toaster!“

Die neue Idee: „Katastrophales Vergessen“ als Superkraft

Die Autoren beschlossen, dieses Problem durch die Linse des Continual Learning (kontinuierliches Lernen) zu betrachten. In diesem Bereich untersuchen Forscher, wie KI neue Dinge lernt und dabei manchmal alte Dinge vergisst. Dies wird als „Catastrophic Forgetting“ (katastrophales Vergessen) bezeichnet (was normalerweise als etwas Negativeses gesehen wird, wie etwa ein Schüler, der Mathe vergisst, nachdem er Geschichte gelernt hat).

Die Autoren hatten eine brillante Idee: Was wäre, wenn wir das „Vergessen“ absichtlich einsetzen?

Sie betrachten das Gedächtnis des Roboters als ein System mit drei Stadien:

Das saubere Gedächtnis: Zu wissen, wie man Katzen und Hunde sortiert.
Das vergiftete Gedächtnis: Das Erlernen des geheimen Tricks, um Katzen in Toaster zu verwandeln.
Die Unlearning-Aufgabe: Eine neue Lektion, die speziell darauf ausgelegt ist, den Roboter dazu zu bringen, den Trick zu vergessen, ohne dass er vergisst, wie man Katzen sortiert.

Die Lösung: BI-BAU (Der „Blind Inversion“-Trick)

Die Autoren entwickelten eine neue Methode namens BI-BAU (Blind Inversion-Backdoor Adversarial Unlearning). So funktioniert sie, unter Verwendung einer Analogie:

Stellen Sie sich das Gehirn des Roboters als ein komplexes Labyrinth vor. Die „Backdoor“ ist ein Geheimgang, der zu einem falschen Ausgang führt. Das Problem ist: Der Verteidiger (die Person, die den Roboter repariert) hat keine Karte des Geheimgangs; er hat nur den Roboter und ein paar saubere Beispiele.

BI-BAU arbeitet wie ein „Reverse-Engineering-Detektiv“:

Die „blinde“ Vermutung: Da der Verteidiger nicht genau weiß, wie der Geheimgang aussieht, erstellt er eine „blinde“ Vermutung. Er fragt den Roboter: „Wenn ich dieses Bild nur ein winziges Stück verändere, kannst du es dann immer noch als Katze erkennen, aber kannst du gleichzeitig die gehackte Version von dir so verändern, dass sie denkt, es sei ein Toaster?“
Die „Inversion“: Die Methode versucht, genau jene winzige Veränderung (die „Perturbation“) zu finden, die den Roboter zwingt, den Geheimgang preiszugeben. Es ist, als würde man versuchen, den exakten Schlüssel zu finden, der ein Schloss öffnet, das man noch nie gesehen hat, indem man die Stifte im Inneren ertastet.
Die „Vergessen“-Lektion: Sobben sie diese spezifische Veränderung gefunden haben, nutzen sie diese, um dem Roboter eine neue Lektion zu erteilen. Diese Lektion ist darauf ausgelegt, entgegengesetzt zur Backdoor zu sein (den Roboter vom „Toaster“-Ausgang wegzudrücken), aber orthogonal (im rechten Winkel) zur sauberen Aufgabe (damit das Sortieren der „Katzen“ nicht gestört wird).

Stellen Sie es sich so vor: Wenn der Pfad der Backdoor nach Norden führt und der Pfad der sauberen Aufgabe nach Osten, dann drückt die neue Lektion den Roboter nach Süden. Dies hebt den Nord-Pfad vollständig auf, aber da Süd senkrecht zu Ost steht, verliert der Roboter nicht die Fähigkeit, nach Osten zu gehen.

Warum dies besser ist

Das Paper testete diese Methode gegen viele verschiedene Arten von „Hacks“, einschließlich solcher, die sehr hinterhältig und schwer zu entdecken sind (Low Orthogonality Attacks).

Alte Methoden: Wie der Versuch, ein leckendes Boot zu reparieren, indem man Wasser herausschöpft. Es funktioniert eine Zeit lang, aber das Loch ist immer noch da.
BI-BAU: Wie das Finden des Lochs und das Verschließen des Lochs von innen heraus.

Die Ergebnisse zeigen, dass BI-BAU den Roboter nicht nur sicher aussehen lässt; es entfernt den versteckten Schalter tatsächlich. Selbst wenn ein Hacker versucht, die Backdoor später wieder zu aktivieren, bleibt der Roboter sicher. Er schafft es erfolgreich, das schlechte Verhalten zu „vergessen“, während er die gute Aufgabe weiterhin beherrscht.

Zusammenfassung

Die Autoren erkannten, dass aktuelle Sicherheitsmaßnahmen lediglich eine „Kosmetikkur“ sind. Sie schlugen einen neuen Weg vor, gehackte KI zu reparieren, indem man die Backdoor als ein spezifisches Gedächtnis behandelt, das selektiv gelöscht werden muss. Durch den Einsatz eines mathematischen Tricks namens „Blind Inversion“ können sie die KI dazu bringen, das bösartige Verhalten vollständig zu vergessen, selbst ohne vorher zu wissen, wie genau dieses bösartige Verhalten aussieht.

Technisches Resümee: Überdenken des adversariellen Unlearning von Backdoors durch die Linse des katastrophalen Vergessens im Continual Learning

Problemstellung
Aktuelle Strategien zur Backdoor-Abwehr, insbesondere Safety-Tuning-Methoden, bieten oft nur oberflächlichen Schutz. Während sie die Attack Success Rate (ASR) initial zwar senken können, gelingt es ihnen häufig nicht, eingebettete Backdoor-Merkmale vollständig zu eliminieren. Jüngste Erkenntnisse deuten darauf hin, dass „gereinigte“ Modelle residuelle Backdoor-Kenntnisse behalten, die durch Angreifer durch Fine-Tuning (Retuning Attack) oder abfragebasierte Perturbationen (Query-based Reactivation Attack) schnell reaktiviert werden können. Bestehende Abwehrmethoden haben Schwierigkeiten, ein Gleichgewicht zwischen der Entfernung von Backdoor-Merkmalen und dem Erhalt der Leistung bei sauberen Aufgaben (Clean Task Performance) zu finden, insbesondere gegenüber Angriffen, die durch geringe Orthogonalität oder geringe Linearität charakterisiert sind, bei denen saubere und Backdoor-Merkmale miteinander verflochten sind.

Methodik
Die Autoren schlagen ein neuartiges Framework vor, das Backdoor-Learning und Backdoor-Unlearning als einen sequenziellen, dreistufigen Continual-Learning-Prozess (CL) interpretiert: eine saubere Aufgabe ( $\tau_c$ ), eine Backdoor-Aufgabe ( $\tau_b$ ) und eine Backdoor-Unlearning-Aufgabe ( $\tau_u$ ).

Theoretische Grundlage via Katastrophales Vergessen:
- Das Paper definiert vollständiges Backdoor-Unlearning als einen Zustand, in dem die Unlearning-Aufgabe $\tau_u$ den Backdoor-Effekt vollständig eliminiert (sodass die Ausgabe des gereinigten Modells auf vergifteten Daten mit der des sauberen Modells übereinstimmt), während die Leistung auf der sauberen Aufgabe erhalten bleibt.
- Unter Verwendung des Neural Tangent Kernel (NTK)-Frameworks leiten die Autoren eine notwendige Bedingung für das Erreichen dieses Zustands ab: Die Unlearning-Aufgabe muss antagonistisch und parallel zur Backdoor-Aufgabe sein (um das Vergessen von Backdoor-Merkmalen zu maximieren), während sie gleichzeitig orthogonal zur sauberen Aufgabe bleiben muss (um das katastrophale Vergessen von sauberem Wissen zu verhindern).
- Dies führt zu einem Gestaltungsprinzip für adversarielle Beispiele: Sie müssen mit den Backdoor-Merkmalen übereinstimmen, um das Backdoor-Modell zu triggern, aber den semantischen Inhalt des Original-Samples bewahren, um die Anforderungen des sauberen Modells zu erfüllen.
Blind Inversion-Backdoor Adversarial Unlearning (BI-BAU):
- Da der Verteidiger keinen Zugriff auf den ursprünglichen vergifteten Datensatz oder den exakten Backdoor-Trigger hat, wird das Problem als Blind Inversion-Problem formuliert. Das Ziel ist es, adversarielle Beispiele (die „Quelle“) zu rekonstruieren, die spezifische Bedingungen erfüllen, gegeben nur die Ausgaben des Modells (die „Messungen“).
- Die Autoren lösen dies mithilfe eines Expectation-Maximization (EM) Algorithmus-Frameworks, um ein Maximum A Posteriori (MAP) Ziel zu optimieren:
  - E-Step (Innere Maximierung): Generiert adversarielle Beispiele ( $\tilde{x}$ ), die zwei Bedingungen erfüllen: (1) sie triggern das Backdoor-Modell, um das Ziel-Label vorherzusagen, und (2) sie bewahren die saubere Semantik des Original-Samples. Dies wird durch einen zusammengesetzten Loss erreicht, der Cross-Entropy, Knowledge Distillation (zur Aufrechterhaltung der semantischen Konsistenz) und einen Prior-Loss umfasst, der die Feature-Perturbation an die Backdoor-Gradientenrichtung ausrichtet und gleichzeitig orthogonal zur sauberen Feature-Richtung bleibt.
  - M-Step (Äußere Minimierung): Aktualisiert die Modellparameter unter Verwendung der generierten adversariellen Beispiele. Dieser Schritt beinhaltet einen inversen Elastic Weight Consolidation (EWC) Term, um Parameter-Updates entlang des Backdoor-Gradienten zu fördern (was das Vergessen fördert), sowie einen Standard-EWC-Term, um die Leistung der sauberen Aufgabe zu bewahren.
Erweiterungen:
- Die Methode wird auf untargeted Szenarien erweitert, in denen die Zielklasse unbekannt ist.
- Sie wird zudem auf multimodales kontrastives Lernen (z. B. CLIP-Modelle) adaptiert, was ihre Anwendbarkeit auf vortrainierte Foundation-Modelle erweitert.

Wesentliche Beiträge

Theoretisches Framework: Das Paper untersucht als erstes systematisch Backdoor-Unlearning durch die Linse des Continual Learning und des katastrophalen Vergessens. Es liefert eine formale Definition von vollständigem Backdoor-Unlearning und leitet die notwendigen Bedingungen (Task Alignment und Orthogonalität) für dessen Erreichung ab.
BI-BAU Algorithmus: Die Autoren schlagen BI-BAU vor, eine robuste Unlearning-Methode, die das Problem als Blind-Inversion-Aufgabe formuliert, welche mittels einer Bi-Level-Optimierung innerhalb eines EM-Frameworks gelöst wird. Es handhabt effektiv Szenarien mit unbekannten Zielklassen und multimodalen Settings.
Umfassende Evaluierung: Umfangreiche Experimente zeigen, dass BI-BAU eine nahezu vollständige Entfernung der Backdoor-Effekte über ein breites Spektrum von Angriffen hinweg erreicht, einschließlich herausfordernder Low-Orthogonality- und Low-Linearity-Angriffe (z. B. Refool, SIG, Narcissus), bei denen State-of-the-Art-Baselines versagen.

Experimentelle Ergebnisse

Robustheit gegen diverse Angriffe: Auf CIFAR-10 und anderen Benchmarks erzielt BI-BAU konsistent eine niedrige ASR (oft < 5 %) bei gleichzeitig hoher Clean Accuracy (CA) und übertrifft damit Trigger-Synthese (z. B. BTI-DBF), Modell-Rekonstruktion (z. B. ANP, CLP) und andere adversarielle Unlearning-Methoden (z. B. SAU, I-BAU).
Resilienz nach der Reinigung (Post-Purification Resilience): Entscheidend ist, dass BI-BAU eine starke Resistenz gegen Reaktivierungsangriffe zeigt. Wenn es Re-tuning Attacks (RA) und Query-based Reactivation Attacks (QRA) ausgesetzt wird, bleibt die ASR der durch BI-BAU gereinigten Modelle niedrig (durchschnittlich R-ASR ~12,48 %, Q-ASR ~5,75 %), was eng an die Leistung eines idealisierten Szenarios herankommt, in dem der Verteidiger Zugriff auf die echten vergifteten Daten hätte. Im Gegensatz dazu zeigen andere Methoden signifikante ASR-Sprünge (oft > 60-80 %) unter Reaktivierung.
Low-Orthogonality Performance: Die Methode verteidigt effektiv gegen Angriffe, bei denen saubere und Backdoor-Merkmale stark verflochten sind – eine bekannte Schwäche bestehender Abwehrmethoden.
Verifizierung auf neuronaler Ebene: Unter Verwendung des Backdoor Existence Coefficient (BEC) verifizieren die Autoren, dass BI-BAU die internen neuronalen Signaturen von Backdoors reduziert, was bestätigt, dass das Unlearning nicht lediglich oberflächlich ist.

Bedeutung und Ansprüche
Das Paper behauptet, dass durch die Verschiebung der Perspektive von direkter Parameter-Manipulation hin zur Dynamik des katastrophalen Vergessens im Continual Learning prinzipielle Bedingungen für die echte Eliminierung von Backdoors etabliert werden können. Die Autoren führen an, dass BI-BAU die kritische Lücke in aktuellen Safety-Tuning-Strategien schließt, die oft residuelle Schwachstellen hinterlassen. Durch die Formalisierung des Unlearning-Prozesses als Blind-Inversion-Problem und dessen Lösung mittels EM-basierter Bi-Level-Optimierung bietet die Methode eine robuste, generalisierbare Lösung, die den Nutzen des Modells erhält und gleichzeitig bösartige Verhaltensweisen gründlich entfernt, selbst in komplexen, realen Einsatzszenarien mit vortrainierten Modellen und unbekannten Angriffskonfigurationen.