Å gjøre et maskinlæringsmodell glemme om deg

Fjerning av en bestemt del av data som har bidratt til et maskinlæringsmodell er som å prøve å fjerne den andre teskjeen sukker fra en kopp kaffe. Dataene er på dette tidspunktet allerede blitt intrinsisk koblet til mange andre nerver i modellen. Hvis en datapunkt representerer ‘definerende’ data som var involvert i den tidligste, høydimensjonale delen av treningen, kan fjerning av det radikalt omdefinere hvordan modellen fungerer, eller til og med kreve at den må gjenopptrenes med en viss utgift av tid og penger.

Likevel, i Europa i alle fall, krever artikkel 17 i den generelle personvernforordningen (GDPR) at selskaper fjerner slik brukerdata på forespørsel. Siden loven ble formulert med forståelse av at denne slettingen ville være mer enn en database ‘drop’-spørring, vil loven som skal komme fra utkastet til EU kunstig intelligenslov i praksis kopiere og lime ånden av GDPR inn i lover som gjelder for trenede AI-systemer fremfor tabellformet data.

Ytterligere lovgivning blir vurdert verden over som vil gi enkeltpersoner rett til å be om sletting av deres data fra maskinlæringsystemer, mens California Consumer Privacy Act (CCPA) fra 2018 gir allerede denne retten til delstatsborgere.

Hvorfor det betyr noe

Når en datasett blir trenet inn i et anvendbart maskinlæringsmodell, blir egenskapene til dataene generalisert og abstrahert, fordi modellen er designet for å slutte seg til prinsipper og brede trender fra dataene, og til slutt produsere en algoritme som vil være nyttig i å analysere spesifikke og ikke-generaliserte data.

Likevel har teknikker som model inversion avdekket muligheten for å gjenkjenne de bidragende dataene som ligger under den endelige, abstraherte algoritmen, mens medlemskapsinferensangrep også er i stand til å avsløre kildedata, inkludert sensitive data som kun har vært tillatt å inkludere i en datasett på grunn av anonymitet.

Økende interesse for denne jakten trenger ikke å basere seg på grunnleggende privatlivsaktivisme: Ettersom maskinlæringssektoren kommersialiseres over de neste ti årene, og nasjoner kommer under press for å avslutte den nåværende laissez faire-kultur over bruken av skjerm-skrapping for datasett-generering, vil det være en økende kommersiell incitament for IP-iverksettende organisasjoner (og IP-troll) å avkode og gjennomgå dataene som har bidratt til proprietære og høyt inntjenende klassifiserings-, sluttings- og generative AI-rammeverk.

Indusering av amnesi i maskinlæringsmodeller

Derfor er vi igjen med utfordringen å få sukkeret ut av kaffen. Dette er et problem som har plaget forskere i de siste årene: I 2021 fant EU-støttede papiret En sammenlignende studie av personvernrisikoen for ansiktsgjenkjenningbiblioteker ut at flere populære ansiktsgjenkjenning-algoritmer var i stand til å muliggjøre kjønns- eller rasebasert diskriminering i gjenkjenningangrep; i 2015 foreslo forskning fra Columbia University en ‘maskinlæringsmetode’ basert på oppdatering av en rekke summeringer i dataene; og i 2019 tilbød Stanford-forskere nye slettingalgoritmer for K-means-klyngingsimplementeringer.

Nå har et forskningskonsortium fra Kina og USA publisert nytt arbeid som introduserer en enhetlig målestokk for å evaluere suksessen til data-slettingstilnærminger, sammen med en ny ‘glemme’-metode kalt Forsaken, som forskerne hevder er i stand til å oppnå en glemme-rate på over 90%, med bare en 5% nøyaktighetsTap i modellens totale ytelse.

Papiret heter Lær å glemme: Maskinlæringsglemme via neurondemping, og inkluderer forskere fra Kina og Berkeley.

Neurondemping, prinsippet bak Forsaken, bruker en maskeringsgradientgenerator som en filter for fjerning av spesifikke data fra en modell, effektivt oppdaterer den i stedet for å tvinge den til å bli gjenopprent fra scratch eller fra en snapshot som skjedde før inklusjonen av dataene (i tilfelle strømmebaserte modeller som kontinuerlig oppdateres).

Arkitekturen til maskeringsgradientgenerator. Kilde: https://arxiv.org/pdf/2003.10933.pdf

Biologiske opphav

Forskerne hevder at denne tilnærmingen ble inspirert av den biologiske prosessen ‘aktivt glemme’, hvor brukeren tar stridige handlinger for å slette alle engramceller for en bestemt minne ved manipulering av en spesiell type dopamin.

Forsaken kontinuerlig fremkaller en maskeringsgradient som replikerer denne handlingen, med sikkerhetstiltak for å slowe ned eller stoppe denne prosessen for å unngå katastrofalt glemme av ikke-mål-data.

Fordelene med systemet er at det er anvendbart på mange typer eksisterende neurale nettverk, hvor nyere lignende arbeid har hatt suksess hovedsakelig i datavisjonsnettverk; og at det ikke forstyrer modelltreningprosedyrer, men heller fungerer som et tillegg, uten å kreve at kjernearkitekturen må endres eller dataene gjenopptrenes.

Begrensning av effekten

Sletting av bidragsdata kan ha en potensielt skadelig effekt på funksjonaliteten til en maskinlæringsalgoritme. For å unngå dette har forskerne utnyttet normregularisering, en funksjon av normalt neuralt nettverkstrening som vanligvis brukes for å unngå overtrening. Den spesifikke implementeringen som er valgt er designet for å sikre at Forsaken ikke feiler å konvergere i trening.

For å etablere en brukbar spredning av data, brukte forskerne ut-av-distribusjonsdata (dvs. data som ikke er inkludert i den faktiske datasetten, som mimrer ‘sensitive’ data i den faktiske datasetten) for å kalibrere måten algoritmen skulle oppføre seg på.

Testing på datasett

Metoden ble testet over åtte standard datasett og oppnådde generelt nær eller høyere glemme-rater enn full gjenopptrening, med svært liten innvirkning på modellnøyaktighet.

Det ser ut til å være umulig at full gjenopptrening på en redigert datasett faktisk kan gjøre verre enn noen annen metode, siden mål-dataene er fullstendig fraværende. Likevel har modellen på dette tidspunktet abstrahert ulike egenskaper ved de slettede dataene på en ‘holografisk’ måte, på samme måte (ved analogi) som en dråpe blekk omdefinierer bruken av et glass vann.

I virkeligheten har vektene til modellen allerede blitt påvirket av de fjernede dataene, og den eneste måten å helt fjerne deres innvirkning på er å gjenopptrene modellen fra absolutt null, i stedet for den mye raskere tilnærmingen å gjenopptrene den veide modellen på en redigert datasett.