Modell-Inversion.

Privacy-Angriff, der sensible Merkmale der Trainingsdaten eines Modells — etwa Gesichter oder Text — durch Ausnutzen der Ausgaben oder Gradienten rekonstruiert. Es gehört zur Kategorie KI- und ML-Sicherheit der Cybersicherheit.

Privacy-Angriff, der sensible Merkmale der Trainingsdaten eines Modells — etwa Gesichter oder Text — durch Ausnutzen der Ausgaben oder Gradienten rekonstruiert.

Modell-Inversion zielt auf die Vertraulichkeit der Trainingsdaten, nicht auf die Modellparameter. Fredrikson et al. (2015) zeigten, dass eine gradientenbasierte Optimierung gegen einen Gesichtserkennungs-Klassifikator aus Klassenlabels und Konfidenzwerten erkennbare Trainingsbilder rekonstruieren kann. Moderne Varianten extrahieren Trainingstext aus LLMs durch gezielt gewählte Präfixe und gewinnen Namen, E-Mails oder proprietäre Dokumente zurück, die das Modell auswendig gelernt hat. Besonders wirksam ist der Angriff gegen überangepasste oder unzureichend regularisierte Modelle und APIs, die feingranulare Konfidenzsignale offenlegen. Schutz bieten Differential Privacy beim Training, minimierte Ausgaben, Deduplikation der Trainingsdaten, Regularisierung und das Zurückhalten interner Konfidenzvektoren.

Schutzmaßnahmen gegen Modell-Inversion kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

Übliche alternative Bezeichnungen: Trainingsdaten-Rekonstruktion, Attribut-Inferenzangriff.