Att göra ett maskinlärningsmodell glömmer bort dig

Att ta bort en specifik datapunkt som har bidragit till ett maskinlärningsmodell är som att försöka ta bort den andra skeden socker från en kopp kaffe. Data har vid det här laget blivit intrinsiskt kopplad till många andra neuroner i modellen. Om en datapunkt representerar “definierande” data som var inblandad i den tidigaste, högdimensionella delen av utbildningen, kan borttagandet av den radikalt omdefiniera hur modellen fungerar, eller till och med kräva att den måste utbildas om från scratch, vilket kan ta tid och pengar.

Trots detta kräver artikel 17 i den allmänna dataskyddsförordningen (GDPR) i Europa att företag tar bort sådan användardata på begäran. Eftersom lagen utformades med förståelsen att denna radering skulle vara mer än en enkel databas-“drop”-fråga, kommer den lagstiftning som ska utvecklas från utkastet till EU:s artificiell intelligenslag att i princip kopiera och klistra in GDPR-andan i lagar som gäller tränade AI-system snarare än tabelldata.

Ytterligare lagstiftning övervägs runt om i världen som kommer att ge individer rätt att begära borttagning av deras data från maskinlärningssystem, medan California Consumer Privacy Act (CCPA) från 2018 redan ger denna rätt till delstatens invånare.

Varför det är viktigt

När en dataset tränas till en fungerande maskinlärningsmodell, blir datans egenskaper generaliserade och abstrakta, eftersom modellen är utformad för att dra slutsatser och breda trender från data, och till slut producera en algoritm som kommer att vara användbar för att analysera specifik och icke-generaliserad data.

Men tekniker som modellinversion har visat möjligheten att återidentifiera den underliggande data som ligger till grund för den slutliga, abstraherade algoritmen, medan medlemskapsinferensattacker också kan avslöja källdata, inklusive känslig data som endast har fått lov att ingå i en dataset under förutsättning att den är anonym.

Ökande intresse för denna strävan behöver inte förlita sig på gräsrotsprivatlivsaktivism: när maskinlärningssektorn kommer att kommersialiseras under de närmaste tio åren, och nationer kommer under tryck för att avsluta den nuvarande laissez faire-kulturen över användningen av skärmskrapning för datasetgenerering, kommer det att finnas en växande kommersiell incitament för IP-skyddande organisationer (och IP-troll) att avkoda och granska den data som har bidragit till proprietära och högavkastande klassificerings-, inferens- och generativa AI-ramverk.

Att framkalla amnesi i maskinlärningsmodeller

Därför är vi kvar med utmaningen att få ut sockret ur kaffet. Det är ett problem som har plågat forskare under de senaste åren: 2021 fann den EU-stödda rapporten En jämförande studie om dataskyddsrisker för ansiktsigenkänningsbibliotek att flera populära ansiktsigenkänningsalgoritmer kunde möjliggöra kön- eller rasbaserad diskriminering i återidentifieringsattacker; 2015 föreslog forskning från Columbia University en “maskinoutlärningsmetod” baserad på uppdatering av ett antal summeringar inom data; och 2019 erbjöd Stanford-forskare nya raderingsalgoritmer för K-means-klusterimplementeringar.

Nu har ett forskningskonsortium från Kina och USA publicerat nytt arbete som introducerar en enhetlig måttstock för att utvärdera framgången för data-raderingsmetoder, tillsammans med en ny “utlärningsmetod” som kallas Forsaken, som forskarna hävdar kan uppnå en glömskefrekvens på över 90%, med endast en 5% förlust av modellens precision.

Rapporten heter Lär att glömma: maskinutlärning via neuronnätmaskning och innehåller forskare från Kina och Berkeley.

Neuronnätmaskning, principen bakom Forsaken, använder en maskeringsgradientgenerator som en filter för borttagning av specifik data från en modell, vilket effektivt uppdaterar den snarare än att tvinga den att utbildas om från scratch eller från en ögonblicksbild som inträffade före datans inkludering (i fallet med strömningsbaserade modeller som kontinuerligt uppdateras).

Arkitekturen för maskeringsgradientgeneratorn. Källa: https://arxiv.org/pdf/2003.10933.pdf

Biologiska ursprung

Forskarna hävdar att denna metod inspirerades av den biologiska processen “aktivt glömma”, där användaren vidtar kraftfulla åtgärder för att sudda ut alla engramceller för ett visst minne genom manipulation av en speciell typ av dopamin.

Forsaken framkallar kontinuerligt en maskeringsgradient som replikerar denna åtgärd, med skyddsåtgärder för att sakta ner eller stoppa denna process för att undvika katastrofalt glömska av icke-mål-data.

Fördelarna med systemet är att det är tillämpligt på många typer av befintliga neuronnät, medan nylig liknande forskning främst har haft framgång i datorseende-nätverk; och att det inte stör modellutbildningsförfaranden, utan snarare fungerar som ett tillägg, utan att kräva att kärnarkitekturen ändras eller att data omtränas.

Att begränsa effekten

Borttagning av bidragen data kan ha en potentiellt skadlig effekt på maskinlärningsalgoritmens funktionalitet. För att undvika detta har forskarna utnyttjat normreglering, en funktion i normal neuronnätsträning som vanligtvis används för att undvika överträning. Den specifika implementeringen som valts är utformad för att säkerställa att Forsaken inte misslyckas med att konvergera under utbildning.

För att etablera en användbar spridning av data använde forskarna out-of-distribution (OOD)-data (dvs. data som inte ingår i den faktiska dataseten, som mimar “känslig” data i den faktiska dataseten) för att kalibrera hur algoritmen borde bete sig.

Testning på dataset

Metoden testades på åtta standarddataset och uppnådde i allmänhet glömskefrekvenser som var nära eller högre än fullständig omträning, med mycket liten påverkan på modellens precision.

Det verkar omöjligt att fullständig omträning på en redigerad dataset faktiskt kan göra sämre än någon annan metod, eftersom mål-data är helt frånvarande. Men modellen har vid det här laget abstraherat olika egenskaper hos den borttagna data på ett “holografiskt” sätt, på samma sätt som (i analogi) en droppe bläck omdefinierar nyttan av ett glas vatten.

I själva verket har modellens vikter redan påverkats av den borttagna data, och den enda vägen att helt ta bort dess inflytande är att utbilda om modellen från absolut noll, snarare än den mycket snabbare metoden att utbilda om den viktade modellen på en redigerad dataset.