💻 computer science

Full spectrum Unlearnable Examples via Spectral Equalization

Dieses Paper stellt FUSE vor, eine neuartige Methode zur Generierung von voll-spektralen unlernbaren Beispielen, die durch den Einsatz von Random Spectral Masking und Cross-Band Guidance die Einschränkungen bestehender hochfrequenzabhängiger Perturbationen überwindet, um einen robusten Datenschutz über alle Frequenzbänder hinweg zu gewährleisten.

Ursprüngliche Autoren: Jiale Cai, Gezheng Xu, Zhihao Li, Ruiyi Fang, Ruizhi Pu, Di Wu, Qicheng Lao, Charles Ling, Boyu Wang

Veröffentlicht 2026-06-26

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Jiale Cai, Gezheng Xu, Zhihao Li, Ruiyi Fang, Ruizhi Pu, Di Wu, Qicheng Lao, Charles Ling, Boyu Wang

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Das Problem: Der „Hochfrequenz“-Makel

Stellen Sie sich vor, Sie haben ein kostbares Foto Ihrer Familie, das Sie im Internet teilen möchten, aber Sie haben Angst, dass ein großes Tech-Unternehmen es stehlen könnte, um damit eine KI zu trainieren. Um dies zu verhindern, fügen Sie dem Foto ein winziges, unsichtbares „Gift“ hinzu. Dieses Gift ist so konzipiert, dass eine KI verwirrt wird und vergisst, was das Foto eigentlich zeigt, falls sie versucht, aus Ihrem Foto zu lernen.

Lange Zeit glaubten Wissenschaftler, sie hätten ein perfektes Gift. Sie fügten den Fotos „Rauschen“ hinzu, das wie das statische Rauschen auf einem alten Fernseher aussah. Sie glaubten, dieses Rauschen sei so stark, dass die KI nichts daraus lernen könne.

Aber hier ist der Haken: Die Arbeit entdeckte, dass diese alten Gifte tatsächlich sehr zerbrechlich waren. Sie verließen sich fast ausschließlich auf „Hochfrequenz“-Details – denken Sie dabei an diese winzigen, scharfen Kanten, feinen Texturen und präzisen Linien in einem Foto.

Wenn man eines dieser „vergifteten“ Fotos durch einen Filter laufen lässt, der die Details glättet (wie das Weichzeichnen eines Fotos oder das Komprimieren für eine langsame Internetverbindung), verschwinden diese scharfen Hochfrequenz-Details. Plötzlich ist das Gift verschwunden! Die KI kann die verbleibenden „Niederfrequenz“-Teile (die großen Formen, die allgemeinen Farben, die grobe Außenkontur) betrachten und sagen: „Ah, ich sehe einen Hund!“ Der Schutz der Privatsphäre versagt vollständig.

Die Lösung: FUSE (Die „überallhin gehende“ Farbe)

Die Autoren dieser Arbeit, Jiale Cai und sein Team, erkannten, dass man ein Foto wirklich schützen muss, indem das „Gift“ überall vorhanden ist und nicht nur in den scharfen Kanten. Sie nennen ihre neue Methode FUSE (Full-spectrum Unlearnable Examples via Spectral Equalization).

Stellen Sie sich ein Foto nicht nur als Bild vor, sondern als einen musikalischen Akkord.

Niederfrequenzen sind die tiefen, dröhnenden Bassnoten (die großen Formen).
Hochfrequenzen sind die hohen, hell klingenden Glockenspiele (die feinen Details).

Alte Methoden legten das „Gift“ nur in die hohen Glockenspiele. Wenn man die Glockenspiele stummschaltet, bleibt die Musik immer noch klar. FUSE verteilt das Gift gleichmäßig über den gesamten Akkord, vom tiefsten Bass bis zum höchsten Glockenspiel. Egal, welchen Teil der Musik man stummschaltet, das Lied bleibt unerkennbar.

Wie FUSE funktioniert: Zwei magische Tricks

Um diese „allgegenwärtige“ Schutzwirkung zu erreichen, nutzt FUSE zwei clevere Strategien bei der Erstellung der vergifteten Bilder:

1. Die „Zufällige Augenbinde“ (Random Spectral Masking)
Stellen Sie sich vor, Sie bringen einem Schüler bei, ein Bild zu malen, das unmöglich zu erkennen ist.

Der Trick: Jedes Mal, wenn Sie dem Schüler einen Teil des Gemäldes zeigen, decken Sie zufällig einen anderen Abschnitt der Leinwand ab (manchmal oben, manchmal unten, manchmal in der Mitte).
Das Ergebnis: Der Schüler erkennt, dass er sich nicht auf nur einen Teil der Leinwand verlassen kann, um das Gemälde „unerkennbar“ zu machen. Er ist gezwungen, die gesamte Leinwand mit dem verwirrenden Muster zu bemalen. Wenn er nur den oberen Teil gemalt hätte und Sie den oberen Teil abdecken würden, wäre der Rest klar. Indem er gezwungen wird, überall zu malen, bleibt die Verwirrung bestehen, selbst wenn ein Filter einen Teil des Bildes entfernt.

2. Die „Teamarbeit“ (Cross-Band Guidance)
Stellen Sie sich vor, der „Bass“ (Niederfrequenzen) und die „Glockenspiele“ (Hochfrequenzen) sind zwei Teamkollegen.

Das Problem: Normalerweise sind die Glockenspiele sehr gut darin, die KI zu verwirren, aber der Bass ist zu klar.
Der Trick: FUSE zwingt den Bass, die Verwirrung der Glockenspiele zu kopieren. Es sagt dem Bass: „Du musst genauso verwirrend sein wie die Glockenspiele!“ Gleichzeitig sagt es den Glockenspielen: „Werdet nicht so verrückt, dass ihr das Bild ruiniert; orientiert euch am Bass, um bodenständig zu bleiben.“
Das Ergebnis: Sie arbeiten zusammen. Der Bass wird verwirrend genug, um die KI zu stoppen, und die Glockenspiele bleiben subtil genug, damit das menschliche Auge immer noch ein normales Foto sieht.

Warum das wichtig ist

Die Autoren haben FUSE gegen viele andere Methoden getestet. Hier ist, was sie herausgefunden haben:

Der alte Weg: Wenn man das Bild weichzeichnet (Hochfrequenzen entfernt), lernt die KI das Bild plötzlich perfekt. Der Schutz bricht zusammen.
Der FUSE-Weg: Selbst wenn man das Bild weichzeichnet, komprimiert oder das KI-Modell ändert, das versuchen soll zu lernen, scheitert die KI weiterhin. Sie wird verwirrt und rät zufällig, genau wie ein Mensch, der versucht, ein Wort in einer Sprache zu erraten, die er nicht spricht.

Die Autoren zeigten auch, dass FUSE effizient ist. Es erfordert keine massiven Rechenleistungen, um diese geschützten Bilder zu erstellen, was es für echte Menschen praktikabel macht, um ihre Fotos zu schützen.

Zusammenfassend

FUSE ist eine neue Art, Ihre Fotos vor dem Diebstahl durch KI zu schützen. Anstatt das „Gift“ nur in den scharfen Details zu verstecken (die leicht entfernt werden können), verteilt FUSE das Gift gleichmäßig über das gesamte Bild. Es nutzt die Technik der „zufälligen Augenbinde“, um sicherzustellen, dass das Gift überall ist, und eine „Teamwork“-Technik, um sicherzustellen, dass die großen Formen und kleinen Details die KI gemeinsam verwirren. Das Ergebnis ist ein Foto, das für Sie normal aussieht, aber für eine KI unmöglich zu lernen ist, egal wie sehr sie versucht, das Bild zu filtern oder zu glätten.

Technisches Resümee: FUSE – Full-spectrum Unlearnable Examples via Spectral Equalization

1. Problemstellung

Unlearnable Examples (UEs) sind eine Technik zur Wahrung der Privatsphäre, die darauf abzielt, Trainingsdaten durch das Hinzufügen imperzeptibler Perturbationen zu schützen. Diese Perturbationen bewirken, dass Machine-Learning-Modelle daran gehindert werden, extrahierbare semantische Repräsentationen zu extrahieren, wodurch ein unbefugtes Training auf sensiblen Daten verhindert wird.

Die Autoren identifizieren jedoch eine kritische Schwachstelle bestehender UE-Methoden: Ihre Effektivität hängt stark von Hochfrequenzkomponenten ab. Eine empirische Analyse zeigt, dass die Unlearnability aktueller Ansätze zusammenbricht, wenn ein Tiefpassfilter auf die geschützten Daten angewendet wird. Modelle, die auf gefilterten Daten trainiert werden, können erfolgreich semantische Informationen aus den verbleibenden niederfrequenten Inhalten extrahieren, was zu einem Leakage der Privatsphäre führt. Dies deutet darauf hin, dass bestehende Perturbationen nicht „spektrum-agnostisch“ sind und es versäumen, Daten über das gesamte Frequenzspektrum hinweg zu schützen.

2. Methodik

Das Paper schlägt FUSE (Full-spectrum Unlearnable examples via Spectral Equalization) vor, ein Framework, das darauf ausgelegt ist, Perturbationen zu generieren, die unabhängig von spektraler Filterung effektiv bleiben. FUSE erreicht dies durch zwei komplementäre Komponenten:

A. Random Spectral Masking (RSM)

RSM ist darauf ausgelegt, zu verhindern, dass Perturbationen in schmale Spektralbereiche kollabieren. Es verwendet zwei Mechanismen während des Generator-Trainings:

Stochastische Frequenz-Dropout: Ein zufälliger Maskierungsoperator $T_{spec}$ wird in jedem Trainingsschritt angewendet, welcher einen zusammenhängenden Teil des Frequenzbereichs im Fourier-Transform der Eingabe auf Null setzt. Dies zwingt den Generator dazu, sicherzustellen, dass die verbleibenden Frequenzbänder immer noch Unlearnability induzieren können, wodurch eine übermäßige Abhängigkeit von spezifischen Frequenzen verhindert wird.
Entropie-Regularisierung: Um eine Konzentration im Spektrum weiter zu verhindern, maximiert die Methode die Entropie des normalisierten Leistungsspektrums der Perturbation. Dies fördert eine gleichmäßigere Verteilung der Perturbationsenergie über das Spektrum, ohne eine White-Noise-Verteilung erzwingen zu wollen.

Das RSM-Ziel ( $L_{RSM}$ ) kombt einen Invarianz-Loss (Sicherstellung der Leistungsdegradation auch wenn Teile des Spektrums maskiert sind) und einen negativen Entropie-Term.

B. Cross-Band Guidance (CBG)

Während RSM die Perturbationen verteilt, verwaltet CBG explizit die Interaktion zwischen niederfrequenten (globale Semantik) und hochfrequenten (lokale Details) Komponenten, um gegenseitige Konsistenz zu gewährleisten.

Frequenz-Dekomposition: Bilder werden mittels einer kreisförmigen Maske im Fourier-Raum, definiert durch einen Radius $r_c$ , in Niederfrequenz- ( $x'_{low}$ ) und Hochfrequenz-Komponenten ( $x'_{high}$ ) aufgeteilt.
Semantische Führung: Der Hochfrequenz-Zweig, der naturgemäß eine stärkere Klassifikator-Verwirrung induziert, wird als „Soft Target“ genutzt, um den Niederfrequenz-Zweig zu führen. Die Niederfrequenz-Komponente wird darauf trainiert, mit den Vorhersagen der Hochfrequenz-Komponente zu korrelieren ( $L_{guide}$ ), um sicherzustellen, dass globale Strukturen nicht lernbar bleiben.
Strukturelle Konsistenz: Um zu verhindern, dass der Hochfrequenz-Zweig unabhängig verzerrt, wird ein Konsistenz-Loss ( $L_{struct}$ ) angewendet. Dieser Loss minimiert die Differenz der strukturellen Ähnlichkeit (Kombination aus Feature-Level Cosine Similarity und SSIM) zwischen dem Niederfrequenz-Paar und dem Hochfrequenz-Paar. Die Ähnlichkeit der Niederfrequenz-Komponente dient als fixer Zielwert (via Stop-Gradient), um die Hochfrequenz-Perturbationen zu regularisieren und so die semantische Treue bei gleichzeitiger Aufrechterhaltung der Unlearnability zu bewahren.

Das gesamte Optimierungsziel minimiert die Summe aus $L_{RSM}$ und $L_{CBG}$ unter Einhaltung eines Perturbations-Budgets ( $\|\delta\|_\infty \le \epsilon$ ).

3. Zentrale Beiträge

Identifizierung einer Schwachstelle: Die Autoren zeigen auf, dass bestehende UE-Verteidigungen unter Tiefpassfilterung versagen, da ihre Perturbationen primär auf Hochfrequenzkomponenten basieren.
Spektrum-agnostisches Framework: FUSE wird als neuartiges Framework vorgeschlagen, das die Effekte der Perturbation über den gesamten Frequenzbereich verteilt und so verhindert, dass in einem spezifischen Band Residualkenzeichen verbleiben.
Umfassende Evaluierung: Umfangreiche Experimente über mehrere Datensätze (CIFAR-10, CIFAR-100, SVHN), Architekturen (ResNet, VGG, DenseNet, ViT sowie nicht-standardisierte Modelle wie ConvNeXt und Swin-T) und Verteidigungsstrategien hinweg zeigen, dass FUSE bisherige Ansätze konsistent übertrifft.

4. Experimentelle Ergebnisse

Robustheit gegenüber Tiefpassfilterung: Unter Tiefpassfilterung zeigen bestehende Methoden (z. B. LSP, TUE, GUE) eine signifikante Wiederherstellung der Genauigkeit (z. B. erreicht LSP ~54 % auf CIFAR-10 mit ResNet-18). Im Gegensatz dazu hält FUSE die Testgenauigkeit nahe am Zufallsniveau (z. B. ~10 % auf CIFAR-10), was die Robustheit selbst bei Unterdrückung hoher Frequenzen demonstriert.
Ungefilterte Performance: FUSE erzielt in den meisten Datensatz-Architektur-Paaren die niedrigste Testgenauigkeit auch ohne Filterung, was die Effektivität in Standard-Szenarien bestätigt.
Cross-Architecture Transferability: FUSE bleibt effektiv, wenn das Surrogate-Modell (ResNet-18) verwendet wird, um Perturbationen für diverse Zielarchitekturen zu generieren, einschließlich Vision Transformern und nicht-standardisierten CNNs.
Widerstand gegen Verteidigung: FUSE behält eine starke Unlearnability gegenüber verschiedenen Verteidigungsstrategien bei, einschließlich Data Augmentation, Adversarial Training und UE-spezifischen Verteidigungen wie D-VAE, AN-SDA und ORTHO PROJ. Es demonstriert zudem Robustheit gegenüber JPEG-Kompression.
Vision-Language Models: In einer Proof-of-Concept-Studie auf CLIP verursachte FUSE einen signifikanten Genauigkeitsabfall (4,28 % ungefiltert, 6,06 % Tiefpass) im Vergleich zu den Baselines, was die Anwendbarkeit über die Standardklassifikation hinaus nahelegt.
Effizienz: Im Vergleich zum Generator-basierten Baseline-Modell GUE benötigt FUSE signifikant weniger Parameter, geringere GFLOPs und schnellere Inferenzzeiten.

5. Bedeutung und Ansprüche

Das Paper behauptet, dass FUSE eine fundamentale Einschränkung aktueller Datenschutzmethoden adressiert, indem es sicherstellt, dass Unlearnability nicht auf Hochfrequenzregionen beschränkt ist. Durch die Erzwingung von spektraler Gleichverteilung und Cross-Band-Konsistenz bietet FUSE einen zuverlässigen Schutz der Privatsphäre, der auch dann bestehen bleibt, wenn die Daten spektralen Filtern oder anderen Transformationen unterzogen werden, die Hochfrequenzdetails entfernen. Die Autoren positionieren diese Arbeit als einen Schritt hin zu robusteren, frequenzbewussten Datenschutzmechanismen, die adaptiven Verteidigungen und Verteilungsverschiebungen standhalten können.

Die Autoren erklären explizit, dass ihr Ziel darin besteht, den Schutz der Privatsphäre gegen unbefugtes Modelltraining zu stärken, räumt jedoch ein, dass solche Perturbationen theoretisch in adversariellen Kontexten missbraucht werden könnten. Sie betonen, dass FUSE ausschließlich für ethische Zwecke des Datenschutzes unter Einhaltung rechtlicher Rahmenbedingungen und Datensatz-Lizenzen eingesetzt werden sollte.