💻 computer science

Auditable Machine Unlearning for Privacy-Compliant Ransomware Detection Using Multi-Shard SISA and Deep Reinforcement Learning

Dieses Paper schlägt ein auditierbares Ransomware-Erkennungsframework vor, das Double Deep Q-Networks mit Multi-Shard-SISA-Retraining kombiniert, um eine hochperformante Bedrohungserkennung zu erreichen und gleichzeitig eine effiziente, datenschutzkonforme selektive Datenentfernung zu ermöglichen, die Regulierungen wie GDPR und CCPA erfüllt.

Ursprüngliche Autoren: Jannatul Ferdous, Rafiqul Islam, Md Zahidul Islam

Veröffentlicht 2026-07-09

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Jannatul Ferdous, Rafiqul Islam, Md Zahidul Islam

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Das große Problem: Das „Recht auf Vergessenwerden“ vs. „Ransomware“

Stellen Sie sich vor, Sie haben einen sehr intelligenten Sicherheitswachmann (ein Computerprogramm), dessen Aufgabe es ist, Ransomware zu entdecken – bösartige Software, die Ihre Dateien sperrt und Geld fordelt. Dieser Wachmann lernt, indem er tausende Videos von Computern beobachtet, die sich normal oder verdächtig verhalten.

Es gibt jedoch eine neue Regel in der Welt des Datenschutzes (wie die DSGVO in Europa oder CCPA in Kalifornien): Das „Recht auf Vergessenwerden“. Wenn ein Nutzer sagt: „Ich möchte, dass Sie alle meine Daten löschen“, muss das Unternehmen diese spezifischen Daten des Nutzers aus seinen Systemen entfernen.

Das Dilemma:
Früher war der einzige Weg, wenn ein Sicherheitswachmann ein bestimmtes Video „vergessen“ musste, weil der Besitzer darum bat, den Wachmann zu entlassen und einen brandneuen einzustellen, der von Grund auf mit den verbleibenden Videos neu trainiert wird. Das ist unglaublich langsam, teuer und verschwenderisch.

Die Lösung: Ein Team von Spezialisten (SISA)

Die Autoren dieser Arbeit schlagen eine clevere Lösung namens SISA (Sharded, Isolated, Sliced, and Aggregated) vor.

Die Analogie: Die Bibliothek der Experten
Anstatt einen einzigen riesigen Sicherheitswachmann zu haben, der alles weiß, stellen Sie sich vor, Sie stellen ein Team aus 10 kleineren Spezialisten ein.

Sie teilen die Videobibliothek in 10 separate Stapel auf.
Jeder Spezialist studiert nur einen dieser Stapel.
Wenn eine Entscheidung getroffen werden muss, stimmen alle 10 Spezialisten ab, und die Mehrheit gewinnt.

Wie das „Vergessen“ jetzt funktioniert:
Wenn ein Nutzer darum bittet, sein Video löschen zu lassen:

Sie prüfen, in welchem Stapel dieses Video enthalten war.
Sie entlassen nur den einen Spezialisten, der diesen Stapel studiert hat.
Sie stellen einen neuen Spezialisten ein, um nur diesen spezifischen Stapel (abzüglich des gelöschten Videos) neu zu trainieren.
Die anderen 9 Spezialisten arbeiten ohne Unterbrechung weiter.

Dies ist viel schneller, als das gesamte Team zu entlassen und von vorne zu beginnen.

Das Gehirn: Double Deep Q-Network (DDQN)

Die Arbeit verwendet eine bestimmte Art von KI-Gehirn namens DDQN (Double Deep Q-Network), um diese Spezialisten anzutreiben.

Die Analogie: Der Videospieler
Betrachten Sie die KI nicht als statisches Regelwerk, sondern als einen Videospieler, der lernt, ein Spiel zu spielen.

Das Spiel: Das Erkennen von Ransomware.
Das Belohnungssystem: Das Spiel ist so manipuliert, dass Sicherheit wichtiger ist als Fehlalarme.
- Wenn die KI einen Ransomware-Angriff übersieht (False Negative), erhält sie eine große Strafe (wie den Verlust eines Lebens).
- Wenn die KI ein sicheres Programm für einen Virus hält (False Positive), erhält sie eine kleine Strafpunktzahl (wie den Verlust einiger Punkte).
Das Ergebnis: Die KI lernt, sehr vorsichtig zu sein. Sie würde lieber 100 Mal „Virus!“ rufen und einmal falsch liegen, als einen echten Virus zu übersehen.

Das Experiment: Hat es funktioniert?

Die Forscher testeten dieses System mit 2.000 Computerprogrammen (1.000 schlechte, 1.000 gute), die auf Windows 11 laufen. Sie simulierten Nutzeranfragen zur Löschung von Daten in verschiedenen Mengen (1 %, 5 % oder 10 %) und wiederholten diese Anfragen über einen gewissen Zeitraum.

Die Ergebnisse:

Geschwindigkeit: Als sie Daten „vergessen“ mussten, war das Team der Spezialisten unglaublich schnell. Das erneute Training des betroffenen Spezialisten dauerte nur 5 bis 30 Sekunden. Das erneute Training des gesamten Teams von Grund auf hätte 80 bis 330 Sekunden gedauert.
Genauigkeit: Selbst nach dem Löschen von Daten blieb die Fähigkeit des Teams, Ransomware zu erkennen, sehr hoch (über 99 % Genauigkeit).
Der „Goldstandard“-Check: Um zu beweisen, dass die Daten tatsächlich entfernt wurden, verglichen sie ihr „vergessendes“ Team mit einem brandneuen Team, das nur mit den verbleibenden Daten trainiert wurde (der „Oracle“). Die beiden Teams stimmten fast perfekt überein, was bewies, dass die Daten wirklich weg waren.
Privatsphäre: Sie prüften, ob Hacker immer noch erraten könnten, welche Daten für das Training verwendet wurden. Die Ergebnisse zeigten, dass die gelöschten Daten nach dem „Vergessen“ nicht mehr von Daten zu unterscheiden waren, die niemals gesehen wurden.

Der Haken: Wie viele Spezialisten?

Die Arbeit fand heraus, dass die Anzahl der Spezialisten entscheidend ist.

Zu wenige (1 Spezialist): Es ist langsam zu trainieren, wenn dieser eine Spezialist viel vergessen muss.
Zu viele (20 Spezialisten): Wenn Sie 20 Spezialisten haben und jeder nur 100 Videos hat, könnte das Löschen nur weniger Videos dazu führen, dass ein Spezialist kaum noch etwas zum Studieren hat. Dies führt dazu, dass das Team verwirrt wird und Fehler macht.
Der optimale Bereich: Die Arbeit schlägt vor, dass 5 bis 10 Spezialisten die perfekte Balance sind. Es ist schnell, genau und stabil, selbst wenn ständig Menschen um die Löschung ihrer Daten bitten.

Zusammenfassung

Diese Arbeit zeigt, dass man einen Ransomware-Detektor bauen kann, der sowohl super intelligent als auch datenschutzkonform ist. Indem man ein Team von spezialisierten KI-Agenten (SISA) anstelle eines einzigen riesigen Gehirns verwendet, kann man auf Anfrage sofort spezifische Nutzerdaten entfernen, ohne das System zu verlangsamen oder die Fähigkeit zu verlieren, Hacker zu stoppen. Es ist wie ein Sicherheitsteam, das das Gesicht einer bestimmten Person sofort vergessen kann, ohne die gesamte Abteilung neu schulen zu müssen.

Technisches Resümee: Auditierbares maschinelles Unlearning für die datenschutzkonforme Ransomware-Erkennung mittels Multi-Shard-SISA und Deep Reinforcement Learning

1. Problemstellung

Ransomware-Angriffe entwickeln sich rasant weiter und nutzen Obfuskation sowie polymorphe Varianten, die traditionelle signaturbasierte Detektion unwirksam machen. Während verhaltensbasierte Machine-Learning- (ML) und Deep-Learning- (DL) Detektoren starke prädiktive Fähigkeiten gezeigt haben, operieren sie typischerweise unter der Annahme fester Trainingsdaten. Dies schafft einen kritischen Konflikt mit modernen Datenschutzbestimmungen wie der DSGVO und dem CCPA, die das „Recht auf Vergessenwerden“ vorschreiben. Im Cybersicherheitskontext müssen Organisationen möglicherweise spezifische Nutzerdaten, falsch gelabelte Stichproben oder adversarielle Spuren aus eingesetzten Modellen entfernen. Konventionelle Ansätze zur Erfüllung dieser Anfragen beinhalten ein vollständiges Modell-Retraining, welches rechenintensiv und für kontinuierlich aktualisierte Systeme unpraktikabel ist. Darüber hinaus haben bestehende auf Reinforcement Learning (RL) basierende Detektionssysteme bisher nicht angemessen adressiert, wie man Trainingsproben selektiv entfernt, während gleichzeitig die Policy-Stabilität gewahrt und verifiziert wird, dass die Entfernung erfolgreich war, ohne die Privatsphäre zu gefährden.

2. Methodik

Die Autoren schlagen ein vereinheitlichtes Framework vor, das Double Deep Q-Networks (DDQN) mit einer Multi-Shard SISA (Sharded, Isolated, Sliced, and Aggregated) Architektur integriert, um auditierbares maschinelles Unlearning für die Ransomware-Detektion zu ermöglichen.

2.1. Datensatz und Umgebung

Datensatz: Ein ausgewogener Verhaltensdatensatz von 2.000 Windows 11 Proben (1.000 Ransomware, 1.000 benign) wurde unter Verwendung von 30 distinkten Ransomware-Familien konstruiert. Merkmale wurden aus Sandbox-Ausführungstraces (ANY.RUN) extrahiert, woraus 103-dimensionale Verhaltensvektoren entstanden, die Datei-, Registry-, Prozess-, API- und Netzwerkaktivitäten abdecken.
RL-Formulierung: Die Ransomware-Detektion wird als Markov-Entscheidungsprozess (MDP) modelliert.
- State: Der 103-dimensionale Verhaltensmerkmalsvektor.
- Action: Binäre Klassifizierung (0: Benign, 1: Ransomware).
- Belohnungsfunktion (Reward Function): Eine asymmetrische Belohnungsstruktur wird eingesetzt, um Sicherheitskosten widerzuspiegeln: +1 für korrekte Klassifizierung, -2 für False Negatives (übersehene Ransomware) und -0,5 für False Positives. Dies priorisiert sicherheitskritische Ergebnisse.
- Diskontierungsfaktor: Festgelegt auf $\gamma=0,1$ , um die unmittelbare Klassifizierungsgenauigkeit gegenüber langfristigen Erträgen zu betonen.

2.2. Das DDQN–SISA-Framework

Das Framework operiert in vier Phasen:

Sharding: Der Datensatz wird in $M$ nicht überlappende Shards ( $M \in \{5, 10, 20\}$ ) mittels stratifizierter Allokation partitioniert, um die Klassenbalance aufrechtzuerhalten.
Isoliertes Training: Unabhängige DDQN-Agenten werden auf jedem Shard mit separaten Replay-Buffern und Target-Netzwerken trainiert. Dies isoliert den Einfluss einer einzelnen Trainingsprobe auf ihren spezifischen Shard.
Sliced Deletion (Unlearning): Bei einer Löschanforderung identifiziert das System die betroffenen Shards, die die zu entfernenden Stichproben enthalten. Nur diese spezifischen Shards werden auf den verbleibenden Daten ( $\mathcal{D}_r = \mathcal{D} \setminus \mathcal{D}_f$ ) neu trainiert. Unbetroffene Shards bleiben unverändert.
Aggregation: Finale Vorhersagen werden mittels Mehrheitsentscheidung (Majority Voting) über alle Shard-Modelle hinweg generiert. Der Ensemble-Q-Margin (Differenz zwischen den Q-Werten für Ransomware vs. Benign) wird zur Konfidenzbewertung und für das Privacy-Auditing verwendet.

2.3. Verifizierungs- und Audit-Protokolle

Um sicherzustellen, dass das Framework Compliance- und Sicherheitsstandards entspricht, werden drei Evaluierungsmechanismen implementiert:

Oracle-Verifiziertes Vergessen: Ein „Oracle“-Modell wird von Grund auf neu auf dem verbleibenden Datensatz ( $\mathcal{D}_r$ ) trainiert. Die Vorhersagen des Unlearned-Modells werden mit diesem Oracle verglichen, um zu verifizieren, dass der Löschprozess das ideale vollständige Retraining approximiert.
Membership Inference Attack (MIA) Auditing: Ein Proxy-MIA wird unter Verwendung der Ensemble-Q-Margins durchgeführt. Ziel ist es zu verifizieren, dass vergessene Stichproben ununterscheidbar von nie beobachteten Daten werden (d. h. die MIA-Erfolgsrate sinkt auf zufälliges Raten, $\approx 0,5$ ).
Recheneffizienz: Das System misst die Retraining-Zeit, den Kommunikations-Overhead und die Speichernutzung und vergleicht das Shard-Level-Retraining mit einem vollständigen Retraining.

3. Kernbeiträge

Das Paper beansprucht drei primäre Beiträge:

DDQN–SISA-Framework: Die erste Integration eines wertbasierten RL-Detektors mit Multi-Shard-SISA für die Ransomware-Detektion, was eine selektive Retraining auf Shard-Ebene ermöglicht, um Datenschutzvorgaben zu erfüllen, ohne das gesamte Modell neu aufzubauen.
Dualer Verifizierungsmechanismus: Ein neuartiges Audit-Protokoll, das Oracle-verifiziertes Vergessen (zur Bestätigung der Löschgenauigkeit) und Membership-Inference-Auditing (zur Verifizierung des Privacy-Leaks) kombiniert, speziell zugeschnitten auf RL-basierte Sicherheitssysteme.
Systematische Deletions-Stress-Evaluierung: Eine umfassende empirische Studie über 270 Konfigurationen, die die Anzahl der Shards, Deletions-Fraktionen (1%, 5%, 10%) und wiederholte Deletionsrunden (1, 5, 10) variiert, um die Trade-offs zwischen Nutzen, Privatsphäre und Effizienz zu charakterisieren.

4. Experimentelle Ergebnisse

Das Framework wurde auf einem Windows 11 Verhaltensdatensatz mittels 5-facher Kreuzvalidierung evaluiert.

Baseline-Performance: Der Baseline-DDQN-Detektor erreichte einen F1-Score von 0,9925 und einen AUC von 0,9983, was eine hohe Detektionsgenauigkeit vergleichbar mit State-of-the-Art-Methoden demonstriert.
Nutzenbewahrung (Utility Preservation):
- Single-Shard: Das Unlearning führte zu minimaler Nutzendegradierung ( $\Delta F1 < 0,003$ ) über alle Deletionsszenarien hinweg.
- Multi-Shard: Moderate Shard-Anzahlen ( $M=5, 10$ ) bewahrten die Stabilität unter geringem bis moderatem Deletionsdruck. Eine hohe Granularität ( $M=20$ ) in Kombination mit aggressivem Löschen (10% über 10 Runden) führte jedoch zu schwerer Instabilität und einem Zusammenbruch des Nutzens (F1 sank gegen 0), was auf Datenverknappung in kleinen Shards zurückzuführen ist.
Oracle-Verifizierung: Das Single-Shard-Retraining zeigte eine geringe Diskrepanz zum Oracle-Modell. Multi-Shard-Konfigurationen wiesen unter hohem Deletionsdruck eine höhere Diskrepanz auf, insbesondere bei $M=10$ und $M=20$ , was darauf hindeutet, dass lokalisiertes Retraining weniger genau wird, wenn die Anzahl der betroffenen Shards steigt.
Privatsphäre (MIA): Die Membership-Inference-Scores blieben in den meisten Konfigurationen nahe bei 0,5 (zufälliges Raten), was auf ein begrenztes Privacy-Leakage hindeutet. Selbst unter aggressivem Löschen war der Anstieg der Unterscheidbarkeit moderat.
Effizienz:
- Retraining-Zeit: Single-Shard-Unlearning dauerte etwa 5–6 Sekunden. Multi-Shard-Unlearning dauerte 20–30 Sekunden (abhängig von der Anzahl der betroffenen Shards).
- Vergleich: Dies ist signifikant schneller als ein vollständiges Retraining, welches 80–330 Sekunden beanspruchte.
- Kommunikations-Overhead: Blieb niedrig (ca. 11 ms für Single-Shard, 53–55 ms für Multi-Shard).

5. Bedeutung und Behauptungen

Das Paper positioniert seine Arbeit als praktische Lösung für das „Recht auf Vergessenwerden“ im Kontext hochsensibler Cybersicherheit.

Compliance ohne Kompromisse: Das Framework zeigt, dass Organisationen die DSGVO/CCCP-Konformität erreichen können, indem sie spezifische Trainingsproben entfernen, ohne die prohibitiven Rechenkosten eines vollständigen Retrainings zu tragen.
Auditierbare Sicherheit: Durch die Integration von Oracle-Verifizierung und MIA-Auditing bietet das System eine verifizierbare Garantie, dass gelöschte Daten keinen Einfluss mehr auf das Modell haben und die Privatsphäre gewahrt bleibt, womit eine Lücke in der bestehenden RL-basierten Detektionsliteratur geschlossen wird.
Operationale Trade-offs: Die Studie kommt zu dem bescheidenen Schluss, dass zwar das Framework hocheffektiv ist, aber ein Trade-off zwischen Stabilität und Effizienz besteht. Es empfiehlt moderate Shard-Anzahlen ( $M=5–10$ ) als optimales Betriebsszenario, um die Balance zwischen Retraining-Effizienz und Policy-Stabilität zu halten. Es stellt explizit fest, dass eine sehr hohe Shard-Granularität ( $M=20$ ) aufgrund von Datenfragmentierung für anhaltenden Deletionsdruck ungeeignet ist.
Neuheit: Die Autoren behaupten, dies sei das erste Ransomware-Detektions-Framework, das wertbasierte RL, Shard-lokales Unlearning und dual-kanaliges Audit-Verifizierung innerhalb einer einzigen Evaluierungs-Pipeline kombiniert.

Das Paper räumt Einschränkungen ein, einschließlich der Verwendung eines moderaten Datensatzes (2.000 Proben), der Abhängigkeit von einem Q-Margin-basierten MIA-Proxy statt adaptiver Angriffe und des Fehlens einer Evaluierung auf Streaming-Daten. Zukünftige Arbeiten sollen größere Datensätze, stärkere Privacy-Angriffe und verteilte Deployment-Szenarien untersuchen.