[논문 리뷰] Roots Beneath the Cut: Uncovering the Risk of Concept Revival in Pruning-Based Unlearning for Diffusion Models

Ci Zhang, Zhaojun Ding외 8명|arXiv (Cornell University)|2026. 02. 28.

Adversarial Robustness in Machine Learning인용 수 0

한 줄 요약

이 논문은 diffusion 모델의 pruning 기반 unlearning에서 보안 취약점을 밝혀내고, pruning 위치가 개념 정보를 누출하고 데이터 없이 지워진 개념의 재생(revival)을 가능하게 할 수 있음을 보여준다; 또한 Gaussian obfuscation defense를 제안한다.

ABSTRACT

Pruning-based unlearning has recently emerged as a fast, training-free, and data-independent approach to remove undesired concepts from diffusion models. It promises high efficiency and robustness, offering an attractive alternative to traditional fine-tuning or editing-based unlearning. However, in this paper we uncover a hidden danger behind this promising paradigm. We find that the locations of pruned weights, typically set to zero during unlearning, can act as side-channel signals that leak critical information about the erased concepts. To verify this vulnerability, we design a novel attack framework capable of reviving erased concepts from pruned diffusion models in a fully data-free and training-free manner. Our experiments confirm that pruning-based unlearning is not inherently secure, as erased concepts can be effectively revived without any additional data or retraining. Extensive experiments on diffusion-based unlearning based on concept related weights lead to the conclusion: once the critical concept-related weights in diffusion models are identified, our method can effectively recover the original concept regardless of how the weights are manipulated. Finally, we explore potential defense strategies and advocate safer pruning mechanisms that conceal pruning locations while preserving unlearning effectiveness, providing practical insights for designing more secure pruning-based unlearning frameworks.

연구 동기 및 목표

• 대규모 학습 데이터와 민감한 개념으로 인한 diffusion-model unlearning의 프라이버시 및 안전 문제를 제기한다.
• 가지치기 위치, 부호 또는 가지치기 가중치의 크기가 회복 가능한 정보를 보유하는지 조사한다.
• pruning footprints를 이용해 데이터 없이, 훈련 없이 지워진 개념을 재생하는 공격을 시연한다.
• 언러닝 성능을 해치지 않으면서 pruning 흔적을 숨기는 방어 전략을 제안한다.

제안 방법

• 개념 재생에서 가지치기 가중치의 부호(sign)와 크기(magnitude)의 중요성을 분석한다.
• Low-rank Matrix Completion, Top-K Sign Retention, and Neuron-Max Scaling (NMS)로 이루어진 재생 프레임워크를 개발한다.
• SoftImpute 기반의 저랭크 행렬 완성을 사용하여 누락된 가중치 부호를 추정한다.
• Top-K Sign Retention을 적용하여 신뢰도가 높은 부호를 유지하고 나머지는 0으로 설정한 다음 최대 뉴런 크기(NMS)를 할당한다.
• pruned weights를 Gaussian noise로 대체하여 Gaussian Obfuscation으로 방어를 도입하고 pruning 효능 및 탐지 가능성에 대한 영향을 분석한다.

실험 결과

연구 질문

• RQ1 데이터나 재학습 없이 pruning 위치만 주어졌을 때, 제거된 가중치 부호를 회복하고 제거된 개념을 재생할 수 있는가?
• RQ2 가중치 부호 대 크기가 pruning된 diffusion 모델의 개념 재생에 어떻게 기여하는가?
• RQ3 필요 이상의 unlearning 성능 손실 없이 pruning footprints를 숨길 수 있는 방어 전략은 무엇인가?
• RQ4 Gaussian 기반 pruning 방어를 사용해 은닉성과 unlearning 효능 사이의 균형을 맞출 수 있는가?

주요 결과

• 데이터 없이, 트레이닝 없이도 재생 프레임워크가 pruning-weight 부호의 70% 이상을 회복할 수 있다.
• 재학습 없이도 지워진 개념이 상당한 정확도(평균 8%에서 54%로) 회복될 수 있다.
• 재생 효과는 객체 언러닝, 예술 스타일 언러닝, NSFW 콘텐츠 언러닝 작업 전반에서 시연된다.
• Top-K Sign Retention + Neuron-Max Scaling은 pruning 이후에도 영향력 있는 활성화 패턴을 안정적으로 재노출한다.
• Gaussian obfuscation은 pruning 위치를 은폐하면서 언러닝 성능을 제어 가능한 트레이드오프 내에서 유지하는 실용적 방어를 제공한다.