[论文解读] Verifiable and Provably Secure Machine Unlearning

Thorsten Eisenhofer, Doreen Riepel+4 more|arXiv (Cornell University)|Oct 17, 2022

Stochastic Gradient Optimization Techniques被引用 7

一句话总结

本文提出了首个用于可验证机器遗忘的正式密码学框架，使用户能够密码学地验证其数据已正确从模型中删除。通过使用SNARKs和哈希链生成正确遗忘执行的证明，该方法确保了在重训练、遗忘型及基于优化的遗忘技术中均可实现无信任验证，且已在线性回归、逻辑回归和神经网络上成功实现。

ABSTRACT

Machine unlearning aims to remove points from the training dataset of a machine learning model after training; for example when a user requests their data to be deleted. While many machine unlearning methods have been proposed, none of them enable users to audit the procedure. Furthermore, recent work shows a user is unable to verify if their data was unlearnt from an inspection of the model alone. Rather than reasoning about model parameters, we propose to view verifiable unlearning as a security problem. To this end, we present the first cryptographic definition of verifiable unlearning to formally capture the guarantees of a machine unlearning system. In this framework, the server first computes a proof that the model was trained on a dataset $D$. Given a user data point $d$ requested to be deleted, the server updates the model using an unlearning algorithm. It then provides a proof of the correct execution of unlearning and that $d otin D'$, where $D'$ is the new training dataset. Our framework is generally applicable to different unlearning techniques that we abstract as admissible functions. We instantiate the framework, based on cryptographic assumptions, using SNARKs and hash chains. Finally, we implement the protocol for three different unlearning techniques (retraining-based, amnesiac, and optimization-based) to validate its feasibility for linear regression, logistic regression, and neural networks.

研究动机与目标

• 为现有遗忘方法中用户无法验证其数据是否确实从训练好的机器学习模型中被删除这一关键空白提供解决方案。
• 将可验证遗忘形式化为安全问题，提供密码学保证，证明遗忘过程已被正确执行。
• 设计一个适用于多种遗忘技术的通用框架，包括基于重训练、遗忘型及基于优化的方法。
• 确保遗忘证明简洁、可公开验证，且无需泄露完整数据集或模型参数。
• 通过在真实世界机器学习模型上的实现，证明其可行性，包括线性回归、逻辑回归和神经网络。

提出的方法

• 提出一种新的可验证遗忘密码学安全定义，将遗忘建模为一系列训练与删除操作，并附带正确性证明。
• 将遗忘技术抽象为“可接受函数”，定义模型更新与数据集变更之间的关系，从而实现对不同方法的泛化。
• 使用SNARKs（简洁非交互式知识论证）生成紧凑、可公开验证的证明，以确认遗忘后模型更新的正确性。
• 采用哈希链维护数据集变更的密码学安全、增量式历史记录，从而高效证明数据被排除。
• 设计一种协议，使服务器生成证明，表明更新后的模型是在不包含用户数据点d的数据集D'上训练而成，且遗忘过程被正确执行。
• 在基准数据集和模型上，对三种遗忘技术——重训练、遗忘型和基于优化的方法——实现该框架，以验证其实际可行性。

实验结果

研究问题

• RQ1 能否建立一个正式的密码学定义，以捕捉可验证机器遗忘所需的保证？
• RQ2 用户如何在不信任服务器的前提下，密码学地验证其数据已从机器学习模型中正确删除？
• RQ3 该框架能否泛化应用于不同遗忘技术，包括近似方法和非重训练方法？
• RQ4 哪些密码学原Primitive能够实现高效、简洁的遗忘证明，且不泄露敏感数据？
• RQ5 所提出的框架在真实世界机器学习模型（如神经网络和逻辑回归）上是否具有实际可行性？

主要发现

• 本文首次提出了可验证遗忘的正式密码学定义，基于提取器安全性和知识证明，建立了强大的安全模型。
• 通过将各种遗忘技术（基于重训练、遗忘型及基于优化）抽象为可接受函数，该框架支持多种遗忘方法，确保了广泛适用性。
• 成功使用SNARKs和哈希链生成简洁、可公开验证的证明，以确认遗忘执行正确，且无需泄露完整数据集或模型参数。
• 实现结果表明，该方法在线性回归、逻辑回归和神经网络上均具备可行性，证明生成与验证在标准基准上是实际可行的。
• 该方法使用户能够在不依赖模型参数比较的情况下验证数据删除，因为后者在某些条件下因模型参数不可区分而不可靠。
• 通过将证明绑定到数据集变更的密码学安全历史记录，该框架可防止重放攻击，并确保更新过程中的数据一致性。