🤖 machine learning

DurableUn: Quantization-Induced Recovery Attacks in Machine Unlearning

Dit artikel onthult dat INT4-kwantisering systematisch vergeten data in machine unlearning herstelt, een fundamentele afweging tussen vergeten, bruikbaarheid en robuustheid blootlegt, en de DURABLEUN-SAF-methode voorstelt om stabiel unlearning te realiseren in zowel hoge- als lage-precisie-implementaties.

Oorspronkelijke auteurs: Abdullah Ahmad Khan, Ferdous Sohel

Gepubliceerd 2026-05-11

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Abdullah Ahmad Khan, Ferdous Sohel

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Het Grote Plaatje: Het "Recht op Vergetelheid" versus het "Magische Gum"-Probleem

Stel je voor dat je een gigantische bibliotheek hebt (een Large Language Model of LLM) die elk boek dat ooit is geschreven bevat. Je hebt een wettelijk recht (zoals de AVG/GDPR) om te zeggen: "Verwijder alstublieft alle boeken geschreven door Auteur X."

Machine Unlearning is de technologie die wordt gebruikt om die specifieke boeken te proberen te verwijderen zonder de hele bibliotheek opnieuw te hoeven bouwen.

Het Probleem: De onderzoekers ontdekten dat de huidige "Magische Gums" die worden gebruikt om deze gegevens te verwijderen, gebrekkig zijn. Ze werken perfect als je de bibliotheek in hoge resolutie bekijkt (volle precisie), maar als je de bibliotheek verkleint om op een klein apparaat te passen (low-bit quantisatie), verschijnen de verwijderde boeken magisch weer op de planken.

De Kernontdekking: Het "Quantization Recovery Attack" (QRA)

Het artikel introduceert een nieuwe manier waarop gegevens kunnen lekken, genaamd de Quantization Recovery Attack.

De Analogie: Stel je een gedetailleerd schilderij van een gezicht voor. Je gebruikt een speciaal oplosmiddel om de ogen uit het schilderij te schrobben. In de studio met hoge resolutie (BF16) zijn de ogen weg. Het schilderij slaagt de inspectie.
De Twist: Stel je nu voor dat je dat schilderij fotokopieert op een goedkope, slechtkwaliteitsprinter om inkt te besparen (dit is INT4-quantisatie, gebruikt om AI snel te laten draaien op telefoons).
Het Resultaat: Door hoe de goedkope printer de inkt verwerkt, blijven de "geschrobde" gebieden niet leeg. De inkt vloeit op een specifieke manier die per ongeluk de ogen reconstrueert. De verwijderde informatie komt terug, zelfs al zag het schilderij er schoon uit voordat.

De auteurs noemen dit QRA. Zij ontdekten dat hoewel het verwijderen van gegevens werkt bij volle precisie, het comprimeren van het model naar 4-bit precisie (een standaard voor toepassingen in de echte wereld) de vergeten informatie systematisch herstelt.

De "Trilemma": De Onmogelijke Driehoek

De onderzoekers ontdekten een structureel probleem dat ze het FA–RA–Q-INT4 Trilemma noemen. Denk hierbij aan het proberen van drie borden op een stok in evenwicht te houden, waarbij je er maar twee tegelijk kunt vasthouden:

Vergeten (FA): De specifieke gegevens succesvol verwijderen.
Behouden (RA): Het model slim en nuttig houden voor alles anders.
Robuustheid (Q-INT4): Zorgen dat de gegevens verwijderd blijven, zelfs wanneer het model wordt gecomprimeerd voor implementatie.

De Bevinding: Geen enkele bestaande methode kan alle drie.

Als je probeert de gegevens goed te verwijderen, wordt het model fragiel. Wanneer je het comprimeert, komen de gegevens terug.
Als je probeert het model robuust te maken tegen compressie, vernietig je per ongeluk het vermogen om nuttige dingen te onthouden (het wordt "dom").
Als je het model slim houdt, faalt het om de gegevens effectief te verwijderen wanneer het wordt gecomprimeerd.

Het artikel toont een "scherpe fase-overgang": zodra je het systeem afstelt om robuust genoeg te zijn om te voorkomen dat de gegevens terugkomen, stort de algemene intelligentie van het model direct in. Het is geen soepele afweging; het is een afgrond.

De Oplossing: DURABLEUN-SAF

Om dit op te lossen, stelden de auteurs een nieuwe methode voor genaamd DURABLEUN-SAF (Sharpness-Aware Forgetting).

Hoe het werkt: In plaats van alleen de gegevens te schrobben, traint deze methode het model om "vlak" te zijn in de gebieden waar de gegevens werden verwijderd.
De Analogie: Stel je voor dat de verwijderde gegevens een gat in een trampoline zijn. Standaard methoden vullen het gat gewoon met zand. Als je op de trampoline springt (het model comprimeert), verschuift het zand en verschijnt het gat weer.
De Oplossing: DURABLEUN-SAF vult het gat niet alleen; het versterkt het hele trampoline-weefsel rondom het gat, zodat het gat gesloten blijft, ongeacht hoe je springt of erop trekt (het comprimeert).

Het Resultaat: Dit is de eerste methode die succesvol een "Duurzaamheidscertificaat" haalt. Het bewijst dat de gegevens weg zijn in versies met hoge resolutie, 8-bit en 4-bit. Er is echter een addertje onder het gras: om deze perfecte beveiliging te bereiken, verliest het model een aanzienlijk deel van zijn algemene intelligentie (Retain Accuracy daalt), wat bevestigt dat het "Trilemma" echt is en moeilijk te doorbreken.

Waarom Dit Belangrijk Is

Huidige Audits zijn Gebrekkig: Toezichthouders controleren momenteel of een model gegevens heeft verwijderd bij volle precisie. Dit artikel zegt dat dat niet genoeg is. Een model kan een privacy-audit doorstaan en toch privacy schenden op het moment dat het wordt ingezet op een telefoon of server met standaard compressie.
Het is Geen Bug, maar een Eigenschap van de Wiskunde: De auteurs tonen aan dat dit geen fout in de code is; het is een fundamentele wiskundige spanning tussen het verwijderen van specifieke herinneringen en het slim houden van het model terwijl het wordt gecomprimeerd.
Een Nieuwe Standaard: De auteurs betogen dat we AI-modellen moeten beginnen te testen op 4-bit precisie (INT4) om te zien of ze echt vergeten, en niet alleen bij volle precisie.

Samenvatting in Eén Zin

Het artikel onthult dat standaardmethoden voor het verwijderen van privégegevens uit AI-modellen falen wanneer de modellen worden gecomprimeerd voor gebruik in de echte wereld, en hoewel een nieuwe methode dit kan oplossen, dwingt deze momenteel tot een moeilijke keuze tussen totale privacy en het slim houden van de AI.

Technische Samenvatting: DurableUn: Herstel-aanvallen door kwantisatie in machine vergeten

1. Probleemstelling

Machine vergeten (machine unlearning) heeft tot doel specifieke trainingsdata uit modellen te verwijderen om te voldoen aan privacyregels zoals de AVG. Echter, huidige evaluatieprotocollen lijden aan een kritieke "implementatiekloof". Standaard evaluaties gaan ervan uit dat de precisie gebruikt tijdens de audit van het vergeten (doorgaans bfloat16 of BF16) overeenkomt met de precisie die in productie wordt gebruikt. In werkelijkheid worden Large Language Models (LLM's) vaak geïmplementeerd met een lage-bit precisie (INT4 of INT8) om het geheugengebruik te verkleinen en de inferentiesnelheid te verbeteren.

De auteurs identificeren dat deze precisie-mismatch een systematische kwetsbaarheid creëert: een model kan data succesvol "vergeten" bij BF16 (een privacyaudit doorstaan met een vergeten nauwkeurigheid, FA, bijna gelijk aan 0), maar wanneer het wordt gekwantiseerd naar INT4 voor implementatie, verschijnt de vergeten informatie systematisch opnieuw in de output van het model. De auteurs noemen dit fenomeen de Kwantiseringsherstel-aanval (QRA). Dit is niet slechts een nieuwe variant van een aanval, maar een fundamenteel validiteitsfalen in huidige evaluatieprotocollen, waarbij modellen die als compliant zijn gecertificeerd, onder standaard implementatietransformaties bewezen privacy schenden.

2. Methodologie en Opzet

Experimenteel Regime

De studie richt zich op het NF4+LoRA-implementatieparadigma, waarbij een model wordt geladen in NormalFloat4 (NF4)-precisie en Low-Rank Adaptation (LoRA)-adapters worden getraind in BF16. Dit is een veelvoorkomende opzet voor efficiënte fijne afstelling en implementatie.

Modellen: LLaMA-3-8B-Instruct (primair) en Mistral-7B-Instruct (voor generalisatie).
Datasets: TOFU (fictieve auteurs), MUSE-News (wereldnieuws) en WikiBio-WPU (historische figuren).
Basislijnen: Zeven gevestigde vergeten-methoden werden geëvalueerd: Gradient Ascent (GA), Negative Preference Optimization (NPO), SCRUB, SalUn, Representation Manipulation Unlearning (RMU), AlphaEdit en GradDiff.
Kwantiseringsimulatie: De auteurs simuleren INT4- en INT8-kwantisatie op de LoRA-adaptergewichten met behulp van een per-rij symmetrisch kwantisatieschema. Zij valideren deze simulator tegen echte bitsandbytes Post-Training Quantization (PTQ) op samengevoegde modellen.

De voorgestelde oplossing: DURABLEUN-SAF

Om de kwetsbaarheid aan te pakken, stellen de auteurs DURABLEUN-SAF (Sharpness-Aware Forgetting) voor.

Kerninzicht: Standaard gradient ascent (GA) creëert een "scherp" verlieslandschap voor het vergeten-doel. Hoewel het model bij volledige precisie vergeet, is het verlieslandschap steil, wat betekent dat kleine verstoringen (zoals INT4-kwantiseringsruis) het model gemakkelijk terug in een "herinnerende" toestand duwen.
Mechanisme: DURABLEUN-SAF introduceert een kwantisatiebewust doel dat een Straight-Through Estimator (STE) gebruikt om gradiënten te berekenen door de INT4-rondingbewerking heen. De doelfunctie combineert drie termen:
1. Standaard vergeten-verlies ( $L_f$ ).
2. Kwantisatiebewust vergeten-verlies ( $L_f(Q_{STE}(\theta))$ ), dat het model dwingt te vergeten zelfs onder gesimuleerde INT4-verstoring.
3. Behoud-verlies ( $L_r$ ) om bruikbaarheid te behouden.
Trainingsstrategie: De methode hanteert een warm-up-schema voor de kwantisatiebewuste term en past dynamisch de behoud-balans ( $\lambda$ ) aan op basis van de kwantisatie-gewicht ( $\alpha$ ).

3. Belangrijkste bevindingen en resultaten

Het FA–RA–Q-INT4-trilemma

De studie identificeert een structurele beperking, het FA–RA–Q-INT4-trilemma: Geen enkele geëvalueerde configuratie bereikt gelijktijdig:

Sterk vergeten (FA $\le$ 0,05).
Hoge bruikbaarheid (Behoudnauwkeurigheid, RA $\ge$ 0,50).
Kwantiseringsrobustheid (Q-INT4 $\le$ 0,05).

Via een dichte Pareto-sweep observeren de auteurs een scherpe faseovergang. Naarmate de kwantisatiedruk ( $\alpha$ ) toeneemt om robuustheid te bereiken (Q-INT4 < 0,05), stort de behoudnauwkeurigheid (RA) abrupt in (bijvoorbeeld van ~0,52 naar ~0,045) en kan deze niet worden hersteld door verdere afstelling. Dit suggereert dat het trilemma een gevolg is van een gedeelde gewichtenruimte in het NF4+LoRA-regime, en geen artefact van hyperparameters.

Kwantiseringsherstel-aanval (QRA)

INT8 is onschuldig: Bij alle 7 basislijnen resulteerde INT8-kwantisatie in Q-INT4 = 0,000, wat aangeeft dat 8-bit precisie te nauwkeurig is om herstel te veroorzaken.
INT4 is catastrofaal: INT8-kwantisatie stelde systematisch vergeten inhoud weer beschikbaar. Voor methoden die goed vergeten bereikten bij BF16 (FA < 0,05) was het herstel ernstig:
- GradDiff: FA 0,008 $\to$ Q-INT4 0,151 (18,9 $\times$ herstel).
- GA: FA 0,028 $\to$ Q-INT4 0,262 (9,4 $\times$ herstel).
- SalUn: FA 0,011 $\to$ Q-INT4 0,051 (4,6 $\times$ herstel).
Dataset-moeilijkheidsgraad: De ernst van de aanval schaalt met de moeilijkheidsgraad van de dataset. Op de moeilijkere MUSE-News-dataset faalden standaardmethodes volledig om te vergeten, terwijl op de eenvoudigere WPU-dataset sommige basislijnen het certificaat haalden zonder DURABLEUN-SAF.

Prestaties van DURABLEUN-SAF

DURABLEUN-SAF is de enige methode die een stabiel empirisch duurzaamheidscertificaat bereikt.

Definitie certificaat: Een model is $(\epsilon, P)$ -duurzaam als zijn vergetennauwkeurigheid $\le \epsilon$ blijft over alle precisies in de set $P$ (BF16, INT8, INT4).
Resultaten: DURABLEUN-SAF ( $\alpha=3$ ) bereikte een certificeringsratio van 3/3 over drie willekeurige zaden met een Q-INT4 van $0,043 \pm 0,002$ .
Vergelijking: Daarentegen bereikte SalUn (zelfs bij zijn eigen gepubliceerde hyperparameters) slechts een certificeringsratio van 1/3 met hogere variantie.
Trade-off: Hoewel DURABLEUN-SAF het certificaat bereikt, lijdt het aan dezelfde RA-instorting die in het trilemma werd waargenomen (RA $\approx$ 0,045), wat bevestigt dat de methode de trade-off succesvol navigeert, maar momenteel de structurele limiet niet kan overwinnen om hoge bruikbaarheid te behouden terwijl INT4-robustheid wordt gewaarborgd.

4. Betekenis en claims

Het artikel claimt de volgende bijdragen te leveren:

Identificatie van een implementatiekloof: Het toont aan dat huidige vergeten-evaluaties fundamenteel gebrekkig zijn omdat ze de standaardpraktijk van INT4-implementatie negeren, wat leidt tot vals-positieven in privacy-compliance.
Het trilemma: Het vestigt het FA–RA–Q-INT4-trilemma als een structurele beperking in het NF4+LoRA-regime, gekenmerkt door een scherpe faseovergang in plaats van een gladde trade-off.
Eerste duurzaamheidscertificaat: Het introduceert het eerste formele empirische duurzaamheidscertificaat voor machine vergeten onder kwantisatie, gevalideerd over meerdere zaden en datasets.
Een levensvatbare oplossing: Het stelt DURABLEUN-SAF voor, de eerste methode die consistent dit certificaat bereikt, en bewijst dat kwantisatiebewust vergeten mogelijk is, zelfs als dit momenteel ten koste gaat van de behoudnauwkeurigheid.
Oproep tot actie: De auteurs pleiten ervoor dat Q-INT4 (vergetennauwkeurigheid onder INT4-kwantisatie) wordt aangenomen als een standaard evaluatiemaatstaf naast FA en RA. Zij betogen dat elke vergeten-methode die AVG-compliance claimt, robuustheid bij INT4 moet aantonen, aangezien kwantisatie een "één-regel" operatie is voor downstream-gebruikers die geen trainingsdata vereist om vergeten informatie te herstellen.

Het artikel concludeert dat hoewel DURABLEUN-SAF een weg naar certificering biedt, de instorting van de behoudnauwkeurigheid een open probleem blijft, wat suggereert dat toekomstig werk de geometrische incompatibiliteit moet aanpakken tussen sterke kwantisatie-robustheid en hoge bruikbaarheid in gedeelde gewichtenruimtes.