DOI: https://doi.org/10.1109/tifs.2026.3666295
تاريخ النشر: 2026-01-01
المؤلف: Lei Zhou وآخرون
الموضوع الرئيسي: التقنيات التي تحافظ على الخصوصية في البيانات
نظرة عامة
تناقش هذه الفقرة التحديات الناشئة في الامتثال للخصوصية التي تواجه التعلم الفيدرالي (FL) بسبب اللوائح مثل “الحق في النسيان”. استجابةً لذلك، تم تطوير التعلم الفيدرالي غير (FU) لإزالة تأثير بيانات معينة من نماذج FL بكفاءة، مما يعزز خصوصية المستخدم. ومع ذلك، فإن الأبحاث الحالية قد أغفلت إلى حد كبير المخاطر المتعلقة بالخصوصية المرتبطة بـ FU نفسه. لمعالجة هذه الفجوة، يقدم المؤلفون هجوم عكس التعلم الفيدرالي غير (FUIA) الجديد، الذي يحقق بشكل منهجي في الثغرات المتعلقة بالخصوصية الموجودة في عمليات FU.
FUIA قابل للتطبيق عبر ثلاثة سيناريوهات رئيسية لـ FU: التعلم غير العيني، التعلم غير العميل، والتعلم غير الفئة، مما يدل على صلته الواسعة والتهديد المحتمل. يعمل الهجوم على فرضية أن الخادم يعمل كخصم أمين ولكنه فضولي، والذي يسجل تغييرات معلمات النموذج خلال عملية التعلم غير. من خلال تحليل هذه التغييرات، يمكن للمهاجم استنتاج معلومات التدرج المتعلقة بالبيانات المنسية، وبالتالي إعادة بناء ميزاتها أو تسمياتها. تتعارض هذه القدرة بشكل مباشر مع الهدف الرئيسي من FU، وهو القضاء على تأثير بيانات معينة. كما يقترح المؤلفون استراتيجيتين للدفاع توازن بين حماية الخصوصية وأداء النموذج. تظهر تجاربهم الواسعة عبر مجموعات بيانات متعددة وطرق FU أن FUIA يكشف بفعالية عن المعلومات الخاصة من البيانات المنسية، مما يبرز عيوبًا كبيرة في آليات حماية الخصوصية الحالية.
مقدمة
تسلط مقدمة هذه الورقة البحثية الضوء على المخاوف المتزايدة بشأن خصوصية البيانات وأمانها في التعلم الآلي، لا سيما في سياق التعلم الفيدرالي (FL) و”الحق في النسيان” الذي تفرضه لوائح مثل GDPR وCCPA. لقد ظهر التعلم الفيدرالي غير (FU) كطريقة لمعالجة هذه المخاوف من خلال السماح بإزالة تأثير البيانات من النماذج المدربة دون إعادة تدريب كاملة. ومع ذلك، فإن الدراسات الحالية حول FU قد ركزت بشكل أساسي على تحسين الكفاءة، متجاهلة الثغرات المحتملة في الخصوصية التي تنشأ خلال عملية التعلم غير.
لمعالجة هذه الفجوة، يقترح المؤلفون هجوم عكس التعلم الفيدرالي غير (FUIA)، الذي يستغل وصول الخادم إلى تحديثات المعلمات خلال عملية التعلم غير لاستنتاج ميزات أو تسميات البيانات المنسية. يستهدف FUIA ثلاثة سيناريوهات للتعلم غير: التعلم غير العيني، التعلم غير العميل، والتعلم غير الفئة، مما يظهر قابليته الواسعة للتطبيق. تقدم الورقة أيضًا استراتيجيتين للدفاع – تقليم التدرج والخصوصية التفاضلية – للتخفيف من المخاطر التي يمثلها FUIA، على الرغم من أن هذه قد تؤثر على أداء النموذج. يؤكد المؤلفون أن عملهم هو الأول الذي يحقق بشكل منهجي في المخاطر المتعلقة بالخصوصية المرتبطة بـ FU ويحققون نتائجهم من خلال تجارب شاملة عبر مجموعات بيانات متعددة.
النتائج
تظهر نتائج الدراسة فعالية هجوم معلومات التعلم الفيدرالي غير (FUIA) عبر سيناريوهات التعلم غير المختلفة، بما في ذلك التعلم غير العيني، التعلم غير العميل، والتعلم غير الفئة. في سياق التعلم غير العيني، نجح FUIA في إعادة بناء البيانات المنسية من كل من طرق إعادة التدريب وUnrollingSgd على مجموعات بيانات CIFAR-10 وCIFAR-100، محققًا جودة بصرية عالية ومقاييس متفوقة (MSE وPSNR) مقارنة بهجوم معلومات المستخدم المتعدد (MUIA). تشير النتائج إلى أن أداء FUIA أفضل بشكل ملحوظ عند استخدام طرق التعلم غير التقريبية مثل UnrollingSgd، التي توفر معلومات تدرج أوضح، مقارنة بطريقة إعادة التدريب الأكثر تقييدًا.
في سيناريو التعلم غير العميل، أظهر FUIA مرة أخرى قدرات إعادة بناء قوية، حيث استنتج بنجاح بيانات العميل المستهدف وكشف عن مخاطر الخصوصية الكبيرة المرتبطة بطرق التعلم غير العميل مثل إعادة التدريب وFUEraser. كانت فعالية الهجوم متسقة، حيث تفوق FUIA على MUIA من حيث وضوح الصورة واستعادة التفاصيل. بالنسبة للتعلم غير الفئة، حافظ FUIA على معدل نجاح 100% في تحديد الفئات المنسية عند التعلم غير لفئة واحدة، على الرغم من أن دقته انخفضت مع الفئات المتعددة بسبب العلاقات المحتملة بين الفئات.
كشفت التحليلات الإضافية أن عدد نقاط البيانات لكل عميل وعدد عينات البيانات المنسية أثر بشكل كبير على أداء FUIA. مع زيادة حجم البيانات، لا سيما مع طرق التعلم غير الدقيقة، انخفضت فعالية الهجوم بسبب تعقيد تعلم الميزات. على العكس، ظل FUIA فعالًا ضد الطرق التقريبية. كما سلطت الدراسة الضوء على أهمية موازنة معلومات التدرج المساعدة المستخدمة في FUIA، مع تحديد قيمة مثلى قدرها $\gamma = 0.1$ لتعزيز جودة إعادة البناء. بشكل عام، يثبت FUIA أنه أداة قوية لاستغلال ثغرات الخصوصية في سيناريوهات التعلم الفيدرالي، مع تداعيات على تصميم طرق تعلم غير أكثر أمانًا.
المناقشة
تسلط فقرة المناقشة في الورقة البحثية الضوء على المشهد الحالي للتعلم الفيدرالي غير (FU) والثغرات المتعلقة بالخصوصية المرتبطة به. بينما تركز الدراسات الحالية بشكل أساسي على تعزيز كفاءة طرق FU – مثل FedU وFRAMU وFedRecovery – هناك نقص ملحوظ في التحقيقات الشاملة في المخاطر الأمنية الكامنة في هذه العمليات. يشير المؤلفون إلى أنه على الرغم من أن بعض الأعمال، مثل FedMUA، تتلاعب بعملية FU لتغيير توقعات النموذج، إلا أنها لا تعالج بشكل كافٍ التسريبات المحتملة للخصوصية. علاوة على ذلك، يعتبر تقديم هجوم عكس التعلم الآلي (MUIA) غير قابل للتطبيق في سياقات التعلم الفيدرالي (FL) بسبب خلط معلمات النموذج عبر العملاء، مما يعقد عكس البيانات المنسية.
لمعالجة هذه الفجوة، يقترح المؤلفون هجوم عكس التعلم الفيدرالي غير (FUIA)، الذي يستهدف بشكل محدد الثغرات المتعلقة بالخصوصية في FU. على عكس الطرق السابقة، يحقق FUIA بشكل منهجي في كيفية استغلال معلومات التدرج لإعادة بناء البيانات المنسية، على الرغم من التحديات التي تطرحها طرق التجميع المستخدمة في FL، مثل FedAvg. يؤكد المؤلفون أن الضوضاء الكامنة من بيانات العملاء الآخرين تعقد عملية العكس، مما يستلزم تطوير خوارزميات فصل التدرج لاستخراج معلومات التدرج المستهدفة بدقة. بشكل عام، يمثل FUIA تقدمًا كبيرًا في فهم وتخفيف المخاطر المتعلقة بالخصوصية المرتبطة بـ FU في بيئات التعلم الفيدرالي.
DOI: https://doi.org/10.1109/tifs.2026.3666295
Publication Date: 2026-01-01
Author(s): Lei Zhou et al.
Primary Topic: Privacy-Preserving Technologies in Data
Overview
The section discusses the emerging privacy compliance challenges faced by federated learning (FL) due to regulations like the “right to be forgotten.” In response, federated unlearning (FU) has been developed to efficiently remove the influence of specific data from FL models, thereby enhancing user privacy. However, existing research has largely overlooked the privacy risks associated with FU itself. To address this gap, the authors introduce a novel federated unlearning inversion attack (FUIA), which systematically investigates the privacy vulnerabilities inherent in FU processes.
FUIA is applicable across three key FU scenarios: sample unlearning, client unlearning, and class unlearning, indicating its broad relevance and potential threat. The attack operates under the premise of a server acting as an honest-but-curious adversary, which records model parameter changes during the unlearning process. By analyzing these changes, the attacker can infer gradient information related to forgotten data, thus reconstructing its features or labels. This capability directly contradicts the primary objective of FU, which is to eliminate the influence of specific data. The authors also propose two defense strategies that balance privacy protection with model performance. Their extensive experiments across multiple benchmark datasets and FU methods demonstrate that FUIA effectively exposes private information from forgotten data, highlighting significant flaws in current privacy protection mechanisms.
Introduction
The introduction of this research paper highlights the growing concerns regarding data privacy and security in machine learning, particularly in the context of federated learning (FL) and the “right to be forgotten” mandated by regulations like the GDPR and CCPA. Federated unlearning (FU) has emerged as a method to address these concerns by allowing the removal of data influence from trained models without complete retraining. However, existing studies on FU have primarily focused on improving efficiency, neglecting the potential privacy vulnerabilities that arise during the unlearning process.
To address this gap, the authors propose the federated unlearning inversion attack (FUIA), which exploits the server’s access to parameter updates during the unlearning process to infer features or labels of forgotten data. FUIA targets three unlearning scenarios: sample unlearning, client unlearning, and class unlearning, demonstrating its broad applicability. The paper also introduces two defense strategies—gradient pruning and differential privacy—to mitigate the risks posed by FUIA, although these may impact model performance. The authors emphasize that their work is the first to systematically investigate the privacy risks associated with FU and validate their findings through comprehensive experiments across multiple datasets.
Results
The results of the study demonstrate the effectiveness of the Federated Unlearning Information Attack (FUIA) across various unlearning scenarios, including sample, client, and class unlearning. In the sample unlearning context, FUIA successfully reconstructed forgotten data from both the Retraining and UnrollingSgd methods on the CIFAR-10 and CIFAR-100 datasets, achieving high visual quality and superior metrics (MSE and PSNR) compared to the Multi-User Information Attack (MUIA). The findings indicate that FUIA’s performance is notably better when using approximate unlearning methods like UnrollingSgd, which provide clearer gradient information, as opposed to the more restrictive Retraining method.
In the client unlearning scenario, FUIA again demonstrated strong reconstruction capabilities, successfully inferring the data of the target client and revealing significant privacy risks associated with client unlearning methods such as Retraining and FUEraser. The attack’s effectiveness was consistent, with FUIA outperforming MUIA in terms of image clarity and detail recovery. For class unlearning, FUIA maintained a 100% success rate in identifying forgotten classes when unlearning a single class, although its accuracy decreased with multiple classes due to potential correlations among classes.
Further analysis revealed that the number of data points per client and the number of forgotten data samples significantly impacted FUIA’s performance. As the data volume increased, particularly with exact unlearning methods, the attack’s effectiveness diminished due to the complexity of feature learning. Conversely, FUIA remained effective against approximate methods. The study also highlighted the importance of balancing the auxiliary gradient information used in FUIA, with an optimal value of $\gamma = 0.1$ identified for enhancing reconstruction quality. Overall, FUIA proves to be a potent tool for exploiting privacy vulnerabilities in federated learning scenarios, with implications for the design of more secure unlearning methods.
Discussion
The discussion section of the research paper highlights the current landscape of Federated Unlearning (FU) and its associated privacy vulnerabilities. While existing studies primarily focus on enhancing the efficiency of FU methods—such as FedU, FRAMU, and FedRecovery—there is a notable lack of comprehensive investigations into the security risks inherent in these processes. The authors point out that although some works, like FedMUA, manipulate the FU process to alter model predictions, they do not adequately address potential privacy leaks. Furthermore, the introduction of the Machine Unlearning Inversion Attack (MUIA) is deemed inapplicable in Federated Learning (FL) contexts due to the mixing of model parameters across clients, complicating the inversion of forgotten data.
To address this gap, the authors propose the Federated Unlearning Inversion Attack (FUIA), which specifically targets the privacy vulnerabilities in FU. Unlike previous methods, FUIA systematically investigates how gradient information can be exploited to reconstruct forgotten data, despite the challenges posed by the aggregation methods used in FL, such as FedAvg. The authors emphasize that the inherent noise from other clients’ data complicates the inversion process, necessitating the development of gradient separation algorithms to accurately extract target gradient information. Overall, FUIA represents a significant advancement in understanding and mitigating privacy risks associated with FU in federated learning environments.