🤖 machine learning

Auditing of Unlearning Algorithms

Dieses Paper führt ein praktisches Auditierungs-Framework ein, das Membership-Inference-Attacks nutzt, um datenabhängige untere Schrankzen für Unlearning-Garantien zu berechnen, wodurch eine scharfe Leistungslücke aufzeigt, bei der streng nachgewiesene Algorithmen den Einfluss von Daten effektiv entfernen, während empirische Methoden dies nicht leisten können.

Ursprüngliche Autoren: Sahasrajit Sarmasarkar, Anastasia Koloskova, Sanmi Koyejo

Veröffentlicht 2026-07-08

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Sahasrajit Sarmasarkar, Anastasia Koloskova, Sanmi Koyejo

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie hätten eine riesige, superintelligente Bibliothek (ein Machine-Learning-Modell), die Millionen von Büchern gelesen hat, um zu lernen, wie man Geschichten schreibt. Eines Tages verlangt ein bestimmter Autor, dass sein Buch aus dem Gedächtnis der Bibliothek entfernt wird, weil er „vergessen“ werden möchte.

Das Problem:
Es reicht nicht aus, das Buch einfach aus dem Regal zu nehmen. Der Bibliothekar (die KI) hat den Stil des Autors, seinen Wortschatz und seine Wendungen bereits auswendig gelernt. Wenn Sie den Bibliothekar bitten, eine Geschichte zu schreiben, könnte er versehentlich die einzigartigen Formulierungen des Autors verwenden. Ein gerissener Detektiv (ein Angreifer) könnte dem Bibliothekar gezielte Fragen stellen und herausfinden: „Ah, dieser Bibliothekar hat definitiv dieses spezifische Buch gelesen!“

Die Lösung (Unlearning/Vergessen):
Um dies zu beheben, haben Entwickler „Unlearning-Algorithmen“ entwickelt. Dies sind spezielle Verfahren, die darauf ausgelegt sind, das Gedächtnis der Bibliothek so gründlich zu bereinigen, dass sie sich exakt so verhält, als wäre das Buch des Autors nie da gewesen. Einige dieser Verfahren sind „zertifiziert“, was bedeutet, dass sie mit einer mathematischen Garantie (wie einer Gewährleistung) einhergehen, dass das Gedächtnis wirklich gelöscht wurde. Andere sind „heuristisch“, was bedeutet, dass sie lediglich versuchen, so gut wie möglich zu vergessen, aber keine formale Garantie bieten.

Die große Frage:
Woher wissen wir, ob der Bibliothekar wirklich vergessen hat? Das Paper führt ein neues Werkzeug ein, den Auditor. Betrachten Sie den Auditor als einen „Lügendetektor-Test“ für das KI-Gedächtnis.

Wie der Auditor funktioniert (Das Detektivspiel):
Der Auditor spielt ein Ratespiel mit der KI:

Das Setup: Der Auditor nimmt einen riesigen Stapel Bücher und teilt sie in viele kleine Gruppen auf.
Der Trick: In einer Runde sagt der Auditor der KI: „Vergiss Gruppe A“. In der nächsten Runde sagt er: „Vergiss Gruppe B“. Die KI weiß nicht, welche Gruppe tatsächlich entfernt wurde; sie weiß nur, dass irgendeine Gruppe entfernt wurde.
Die Vermutung: Nachdem die KI versucht hat zu „verlernen“ (unlearn), fragt der Auditor: „Welche Gruppe hast du tatsächlich vergessen?“
Die Bewertung:
- Wenn die KI gut im Vergessen ist, sollte sie verwirrt sein. Sie sollte nicht in der Lage sein, zwischen „Gruppe A wurde entfernt“ und „Gruppe B wurde entfernt“ zu unterscheiden. Die Vermutungen des Auditors werden zufällig sein (wie beim Münzwurf).
- Wenn die KI schlecht im Vergessen ist, gibt es immer noch „Lecks“ an Informationen. Der Auditor wird in der Lage sein, öfter richtig zu raten als durch bloßen Zufall.

Der „ε“ (Epsilon)-Wert:
Das Paper misst, wie schlecht das Vergessen ist, mithilfe einer Zahl namens ε (Epsilon).

Niedriges ε: Die KI vergisst wirklich. Der Auditor kann nicht besser raten als durch Zufall. Die „Gewährleistung“ hält stand.
Hohes ε: Die KI lügt. Der Auditor kann leicht erraten, welche Daten entfernt wurden. Die „Gewährleistung“ ist gebrochen.

Was das Paper herausgefunden hat:
Die Autoren haben diesen Auditor an zwei Arten von Bibliotheken getestet:

Die „zertifizierten“ Bibliotheken: Diese nutzen rigorose, mathematisch komplexe Methoden (wie das Hinzufügen von Rauschen oder das Zurücksetzen der Zeit).
- Ergebnis: Der Auditor fand fast keine Lecks. Das ε-Werte waren winzig. Diese Methoden funktionieren tatsächlich so, wie sie versprechen.
Die „heuristischen“ Bibliotheken: Diese nutzen schnelle und einfache Tricks (wie das bloße erneute Trainieren auf den verbleibenden Büchern oder den Versuch zu „verlernen“, indem man die Daten „wegdrückt“).
- Ergebnis: Der Auditor fand massive Lecks. Die ε-Werte waren riesig (manchmal 50 oder 60!). Das bedeutet, dass diese Methoden eigentlich nicht die Daten vergessen, obwohl sie behaupten, effizient zu sein.

Das Fazit:
Dieses Paper hat ein praktisches Werkzeug geschaffen, um „falsches“ Unlearning aufzudecken. Es zeigt, dass während einige komplexe, zertifizierte Methoden Daten wirklich löschen, viele populäre, schnellere Methoden nur so tun, als ob sie vergessen würden. Wenn Sie sich auf diese schnellen Methoden verlassen, um die Privatsphäre zu schützen, könnten Sie in Schwierigkeiten geraten, da die Daten immer noch da sind und direkt vor Ihren Augen lauern.

Kurz gesagt: Das Paper sagt: „Vertrauen Sie der KI nicht einfach nur darauf, dass sie sagt, sie hätte vergessen. Nutzen Sie unseren Auditor, um zu prüfen, ob sie wirklich die Wahrheit sagt.“

Technisches Resümee: Auditierung von Unlearning-Algorithmen

Problemstellung

Machine Unlearning zielt darauf ab, den Einfluss spezifischer Trainingsdaten aus einem trainierten Modell zu entfernen, wobei idealerweise ein Modell entstehen soll, das ununterscheidbar von einem Modell ist, das unter Verwendung der verbleibenden Daten von Grund auf neu trainiert wurde. Während exaktes Unlearning starke Garantien bietet, ist es für tiefe Netzwerke oft rechentechnisch zu aufwendig. Infolgedessen sind approximative Unlearning-Methoden entstanden, die von heuristischen Ansätzen (z. B. Gradient Ascent auf dem Forget-Set, Hessian-basiertes Scrubbing) bis hin zu zertifizierten Methoden reichen, die $(\varepsilon, \delta)$ -Ununterscheidbarkeit garantieren.

Eine kritische offene Herausforderung ist die empirische Evaluierung dieser Ansprüche. Bestehende theoretische Schranken stützen sich oft auf Annahmen (z. B. Konvexität), die in der Praxis möglicherweise nicht halten, und es mangelt an praktischen Werkzeugen, um zu verifizieren, ob eine behauptete Unlearning-Garantie tatsächlich Bestand hat. Dieses Paper adressiert die Notwendigkeit eines Auditors, der mithilfe empirischer Evidenz Unlearning-Garantien testet, mit dem spezifischen Ziel, die Hypothese zu widerlegen, dass der Unlearning-Parameter $\varepsilon$ unter einem bestimmten unteren Grenzwert liegt ( $\varepsilon < \varepsilon_{LB}$ ).

Methodik

Bedrohungsmodell

Die Autoren verwenden ein starkes Black-Box-Adversary-Modell. Der Angreifer besitzt Kenntnis über:

Den Lernalgorithmus ( $A$ ) und den Unlearning-Algorithmus ( $U$ ).
Den Datenladungs-Shuffler (zufällige Permutation $\pi$ ).
Die initialen Modellgewichte ( $x_0$ ) zu Beginn des Trainings.
Der Angreifer beobachtet nicht die spezifischen zufälligen Realisierungen (z. B. Gradientenrauschen) während des Trainings oder des Unlearnings, noch hat er Zugriff auf den internen Zustand der Algorithmen. Dieses Modell stärkt den Angreifer im Vergleich zu Standarddefinitionen, ist jedoch konsistent mit den Garantien zertifizierter Algorithmen wie Model Clipping und Rewind-to-Delete (R2D).

Das Auditor-Framework

Der vorgeschlagene Auditor ist ein Hypothesentest-Framework, das darauf ausgelegt ist, eine datenabhängige untere Schranke $\varepsilon_{LB}$ auf den wahren Unlearning-Parameter $\varepsilon$ zu berechnen.

Setup: Der Trainingsdatensatz wird in ein Retain-Set ( $D_r$ ) und ein Forget-Set ( $D_f$ ) unterteilt. $D_f$ wird weiter in $m$ Kandidaten-Batches unterteilt.
Vorzeichenvektoren: Der Auditor sampelt einen balancierten Vorzeichenvektor $S \in \{\pm 1\}^m$ , wobei $+1$ angibt, dass ein Batch im Trainingssatz enthalten ist (und somit dem Unlearning unterliegt), und $-1$ angibt, dass er ausgeschlossen ist.
Ausführung: Für jeden Durchlauf $\ell$ $ℓ$ :
- Wird ein Trainingssatz $D(S^{(\ell)})$ basierend auf dem Vorzeichenvektor konstruiert.
- Das Modell wird trainiert und anschließend unlearned, um $f_u^{(\ell)}$ zu erzeugen.
- Der Auditor versucht, den Vorzeichenvektor $S^{(\ell)}$ aus $f_u^{(\ell)}$ vorherzusagen.
Bewertung: Der Auditor berechnet einen Overlap-Score $V^{(\ell)}$ , der die Anzahl der korrekten Nicht-Null-Vorhersagen zählt (wo der vorhergesagte Wert mit dem wahren Vorzeichen übereinstimmt).
Reduktion auf LDP: Der Audit wird auf ein Local Differential Privacy (LDP) Problem reduziert. Wenn der Unlearning-Algorithmus $(\varepsilon, 0)$ -zertifiziert ist, kann gezeigt werden, dass der Mechanismus des Auditors $(2\varepsilon, 0)$ -LDP erfüllt.
Hypothesentest: Unter Verwendung der Verteilung der Overlap-Scores über mehrere unabhängige Durchläufe berechnet der Auditor eine untere Schranke $\varepsilon_{LB}$ . Wenn der beobachtete Overlap signifikant über dem Zufallslimit liegt, wird die Nullhypothese ( $H_0: \varepsilon \le \varepsilon_{LB}$ ) abgelehnt, was auf schwaches Unlearning hindeutet.

Instanziierungen des Auditors

Es werden zwei spezifische Instanziierungen des Auditor-Mechanismus $M$ vorgeschlagen:

Instanziierung I (Batchweise): Geeignet, wenn $m$ groß ist. Sie passt Gauß-Verteilungen an die Logit-Scores für jeden Batch unabhängig an (inspiriert durch LiRA), um Inklusion oder Exklusion vorherzusagen.
Instanziierung II (Gemeinsamer Vorzeichenvektor): Geeignet, wenn $m$ klein (aufzählbar) ist. Sie behandelt den gesamten Vorzeichenvektor als Hypothese, erfasst Cross-Batch-Korrelationen und wählt den Vektor mit der höchsten kumulativen Likelihood aus.

Zentrale Beiträge

Praktisches Auditor-Design: Das Paper führt einen Meta-Algorithmus ein, der Techniken des Differential Privacy Auditing auf das Unlearning erweitert und speziell auf Subset-Level Forget-Sets statt auf Single-Point-Nachbarn zugeschnitten ist.
Theoretische Schranken: Die Autoren leiten neue theoretische Schranken (Theorem 4.2) ab, die die empirischen Overlap-Scores in eine gültige untere Schranke auf $\varepsilon$ mit kontrollierter Typ-I-Fehlerrate umwandeln, speziell für den Fall $\delta=0$ .
Empirische Falsifizierung: Das Framework bietet ein Werkzeug, um Unlearning-Behauptungen empirisch zu falsifizieren. Es unterscheidet zwischen Algorithmen mit rigorosen theoretischen Garantien und solchen, die lediglich heuristisch sind.

Ergebnisse

Der Auditor wurde auf CIFAR-100 (unter Verwendung eines TinyNet-Modells) und dem Shakespeare-Textdatensatz (unter Verwendung eines LSTM) evaluiert. Die Experimente deckten sowohl zertifizierte als auch unzertifizierte Unlearning-Algorithmen ab.

Scharfe Trennung zwischen zertifizierten und unzertifizierten Methoden

Zertifizierte Algorithmen: Methoden mit formalen Garantien, wie Model Clipping (Koloskova et al., 2025) und Rewind-to-Delete (R2D), lieferten konsistent sehr kleine $\varepsilon_{LB}$ -Werte (oft nahe 0). Dies zeigt, dass die empirische Evidenz ihre theoretischen Garantien nicht falsifiziert.
Unzertifizierte/Heuristische Algorithmen: Methoden ohne formale Garantien, einschließlich Hessian-basiertem Unlearning, Interleaved Ascent-Descent (IDA), Ascent on the Forget Set und Pure Fine-tuning on the Retain Set, zeigten große $\varepsilon_{LB}$ $ε_{L B}$ -Werte, die häufig 50–60 überstiegen.
- Bemerkenswerterweise lieferte die Hessian-basierte Methode (Zhang et al., 2025), die eine Zertifizierung unter Konvexität beansprucht, einen $\varepsilon_{LB}$ von 142,5 auf CIFAR-100 (einem nicht-konvexen Regime), was demonstriert, dass der Auditor erfolgreich das Versagen der Voraussetzung der Methode aufgezeigt hat.
- Pure Fine-tuning und Forget-Set Ascent zeigten ähnlich hohe Schranken, was auf eine schlechte Unlearning-Performance hindeutet.

Einfluss von Datensplits

Die Studie beobachtete, dass uniforme Splits (bei denen Forget- und Retain-Sets denselben Feature-Support teilen) im Allgemeinen höhere $\varepsilon_{LB}$ -Werte ergaben als adversarielle Splits (disjunkte Label-Klassen). Dies deutet darauf hin, dass residuelles Memorizing und semantische Adjazenz in uniformen Splits das Unlearning schwieriger zu erreichen machen.

Konvexe vs. Nicht-konvexe Regime

In Experimenten mit konvexen Verlustfunktionen (kubisch und logistisch) war die Lücke zwischen dem zertifizierten $\varepsilon$ und dem empirischen $\varepsilon_{LB}$ deutlich kleiner als im nicht-konvexen Deep-Learning-Setting. Dies bestätigt, dass der Auditor in analytisch handhabbaren Settings präziser arbeitet und dass die großen Schranken in der Deep-Learning-Praxis wahrscheinlich auf echtes Versagen heuristischer Methoden zurückzuführen sind und nicht bloß auf eine Ungenauigkeit des Auditors.

Bedeutung und Behauptungen

Das Paper beansprucht, das erste praktische Werkzeug zur empirischen Falsifizierung von Unlearning-Garantien durch ein Hypothesentest-Framework bereitzustellen. Seine primäre Bedeutung liegt im diagnostischen Wert des Auditors:

Es zeigt auf, dass heuristische Methoden, die in der Praxis oft aus Effizienzgründen eingesetzt werden, häufig daran scheitern, den Einfluss von Daten zu entfernen, wie die hohen $\varepsilon_{LB}$ -Werte belegen.
Es validiert, dass zertifizierte Methoden (sofern ihre Annahmen halten) ihre Garantien selbst unter einem starken Angreifer aufrechterhalten.
Es verdeutlicht die Fragilität von Zertifizierungsansprüchen, die auf Annahmen (wie Konvexität) beruhen, welche in realen Deep-Learning-Szenarien möglicherweise nicht gelten.

Die Autoren kommen zu dem Schluss, dass ihr Analyseansatz derzeit auf $\delta=0$ beschränkt ist, der vorgeschlagene Auditor jedoch einen rigorosen Standard für die Evaluierung der Effektivität von Machine-Unlearning-Algorithmen bietet, indem er jene mit echten Garantien von jenen unterscheidet, die lediglich den Anschein des Vergessens erwecken.