🤖 machine learning

Sequential Subspace Noise Injection Prevents Accuracy Collapse in Certified Unlearning

Dieses Paper führt die sequentielle Subraum-Rauschinjektion ein, eine Methode, die Rauschen über orthogonale Parametersubräume verteilt, um die Genauigkeit des zertifizierten Unlearnings signifikant zu verbessern und gleichzeitig strikte Differential-Privacy-Garantien aufrechtzuerhalten.

Ursprüngliche Autoren: Polina Dolgova, Sebastian U. Stich

Veröffentlicht 2026-06-01

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Polina Dolgova, Sebastian U. Stich

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Das große Problem: Der „Radiergummi“, der alles auslöscht

Stellen Sie sich vor, Sie haben einen hochbegabten Künstler (ein Machine-Learning-Modell), der ein Meisterwerk basierend auf einer bestimmten Gruppe von Fotos gemalt hat. Plötzlich sagt ein Kunde: „Ich möchte, dass Sie dieses eine spezifische Foto vergessen, das ich Ihnen gegeben habe.“

In der rechtlichen Welt (wie etwa bei der DSGVO) können Sie nicht einfach nur so tun, als hätten Sie es vergessen; Sie müssen mathematisch beweisen, dass das Foto wirklich weg ist. Der aktuelle Standardweg, dies zu erreichen, wird als Certified Ungetting bezeichnet. Er funktioniert wie ein sehr aggressiver Radiergummi. Um zu beweisen, dass das Foto gelöscht wurde, fügt der Algorithmus eine massive Menge an „statischem Rauschen“ in das Gedächtnis des Künstlers ein und versucht dann, das Bild neu zu malen.

Der Haken: Die aktuelle Methode ist so aggressiv, dass sie nicht nur das schlechte Foto löscht, sondern die gesamte Leinwand verschmiert. Der Künstler vergisst alles, einschließlich der guten Teile des Gemäldes. Bis der Künstler versucht, das Bild zu reparieren, sind die Farben so matschig, dass das Bild ruiniert ist (dies wird als „Accuracy Collapse“ bezeichnet).

Die Lösung: Die „Ein-Block-nach-dem-anderen“-Strategie

Die Autoren schlagen eine neue Methode namens Block-wise Noisy Fine-Tuning vor. Anstatt die gesamte Leinwand auf einmal zu verschmieren, unterteilen sie das Gemälde in kleine, separate Blöcke (wie ein Raster aus Kacheln).

So funktioniert ihre Methode anhand einer einfachen Analogie:

Der alte Weg (Der Vorschlaghammer): Stellen Sie sich vor, Sie versuchen, einen spezifischen Fleck aus einem riesigen Wandteppich zu entfernen, indem Sie den gesamten Teppich mit einem Vorschlaghammer bearbeiten. Sie werden den Fleck zwar los, aber Sie reißen dabei Löcher in das gesamte Gewebe.
Der neue Weg (Das Skalpell): Die Autoren schlagen vor, den Wandteppich wie ein Puzzle zu behandeln. Sie legen ein Gitter über das gesamte Werk.
- Sie wählen eine einzige Kachel aus (einen Block des Modellsatz-Gedächtnisses).
- Sie wenden das „Rauschen“ (den Radiergummer) nur auf diese eine Kachel an.
- Alle anderen Kacheln bleiben eingefroren und unberührt.
- Dann bewegen sie sich zur nächsten Kachel und wiederholen den Vorgang.

Warum das hilft: Da sie immer nur einen kleinen Teil des Modells gleichzeitig „erschüttern“, bleibt der Rest des Modells stabil. Das „Rauschen“ überfordert nicht das gesamte System. Es ist, als würde man ein Zimmer aufräumen, indem man eine Schublade nach der anderen aufräumt, anstatt alle Möbel aus dem Fenster zu werfen und zu hoffen, dass man später seine Socken wiederfindet.

Das zweite Problem: Die „Worst-Case“-Angst

Die Arbeit weist auch auf ein zweites Problem der alten Methode hin. Die alten Regeln wurden so konzipiert, dass sie selbst dann funktionieren, wenn der Künstler mit einer völlig leeren, zufälligen Leinwand beginnen würde. Dies zwang den Algorithmus dazu, das schlimmste Szenario anzunehmen, was wiederum noch mehr Rauschen erforderte, um sicher zu sein.

Die Autoren erkannten, dass der Künstler in der Realität nicht bei Null anfängt, sondern bereits von einem fertigen Gemälde ausgeht und nur Anpassungen vornehmen muss. Sie führten eine neue Art ein, den „Abstand“ zwischen dem ursprünglichen Gemälde und dem Gemälde ohne das schlechte Foto zu messen. Durch die Verwendung dieses realistischeren Maßes anstelle einer „Worst-Case“-Vermutung können sie weniger Rauschen verwenden, wodurch das Gemälde klarer bleibt.

Die Ergebnisse: Ein sauberer Schnitt, ohne die Kunst zu ruinieren

Die Forscher testeten dies bei Aufgaben der Bilderkennung (wie dem Identifizieren von Katzen und Hunden auf Fotos).

Die alte Methode: Als sie versuchten, Daten zu entfernen, sank die Genauigkeit des Modells von 88 % auf unter 20 %. Es war eine Katastrophe.
Die neue Methode: Durch den „Ein-Block-nach-dem-anderen“-Ansatz gelang es dem Modell, die unerwünschten Daten erfolgreich zu entfernen (was bewies, dass sie weg sind), behielt aber seine Fähigkeit, Bilder zu erkennen, fast so gut bei, als wäre es von Grund auf neu trainiert worden.

Das Fazit

Dieses Paper sagt nicht nur: „Wir haben es schneller gemacht.“ Es löst einen grundlegenden Fehler, bei dem die Sicherheitsgarantie (der Beweis, dass Daten gelöscht sind) die Nützlichkeit der KI zerstörte.

Sie haben einen Weg gefunden, das „Sicherheitsrauschen“ in einem intelligenten, sequenziellen Muster (Block für Block) und mit einem realistischeren Ausgangspunkt anzuwenden. Dies ermöglicht es uns, spezifische Daten rechtlich und mathematisch zu „vergessen“, ohne dabei das Gehirn der KI zu zerstören. Es überbrückt die Lücke zwischen strenger rechtlicher Sicherheit und praktischer, funktionierender Technologie.

Technisches Resümee: Sequenzielle Subraum-Rauschinjektion für zertifiziertes Unlearning

Problemstellung

Maschinelles Unlearning zielt darauf ab, den Einfluss spezifischer Trainingsdaten aus einem trainierten Modell zu entfernen, um regulatorischen Anforderungen wie der DSGVO zu entsprechen oder sensible Informationen zu löschen. Während das Training von Grund auf neu der Goldstandard ist, ist dies oft rechnerisch zu aufwendig. Zertifizierte Unlearning-Methoden, insbesondere solche, die auf Differential Privacy (DP) basieren, bieten formale Garantien für die Datenlöschung, leiden jedoch unter einer kritischen praktischen Einschränkung: dem Genauigkeitskollaps (Accuracy Collapse).

Aktuelle Ansätze, wie etwa Noisy Fine-Tuning (NFT) mit Gradient Clipping, injizieren Gaußsches Rauschen, um $(\epsilon, \delta)$ -Unlearning-Garantien zu erfüllen. In überparametrisierten tiefen Netzwerken ist das für die Zertifizierung des Unlearnings erforderliche Rauschen jedoch oft so groß, dass es das Gradientensignal über alle Parameter gleichzeitig dominiert. Empirische Ergebnisse zeigen, dass Standard-NFT den Testgenauigkeit drastisch senken kann (z. B. von 88 % auf unter 20 % bei CIFAR-10) und selbst nach anschließendem Fine-Tuning keine Erholung mehr zeigt. Dies erzeugt ein Spannungsfeld zwischen der Aufrechterhaltung strenger formaler Garantien und der Bewahrung der Modellutilität.

Methodik

Die Autoren schlagen Block-wise Noisy Fine-Tuning (Block-wise NFT) vor, eine Modifikation des Standard-NFT-Frameworks, die darauf ausgelegt ist, den Genauigkeitskollaps zu mildern und gleichzeitig formale zertifizierte Garantien beizubehalten. Die Methode adressiert zwei spezifische Engpässe bestehender zertifizierter Unlearning-Analysen:

1. Sequenzielle Subraum-Rauschinjektion

Standard-NFT injiziert Rauschen in den vollen Parameterraum bei jedem Schritt. Die Autoren beobachten, dass für hochdimensionale Modelle die $\ell_2$ -Norm des Rauschvektors ( $\sigma\sqrt{d}$ ) die geclippten Gradienten-Updates überlagert.

Ansatz: Der Parameterraum $\mathbb{R}^d$ wird in $k$ mutuell orthogonale Subräume (Blöcke) partitioniert.
Mechanismus: Anstatt alle Parameter zu aktualisieren, aktualisiert der Algorithmus sequenziell jeweils einen Block. Während des Updates eines spezifischen Blocks wird Rauschen nur in diesen Subraum injiziert, während alle anderen Parameter eingefroren bleiben.
Vorteil: Dies verteilt das gleiche zertifizierte Rauschbudget über die Zeit und über die niederdimensionalen Subräume. Durch die Beschränkung der Störungen auf einen Bruchteil ( $1/k$ ) der Koordinaten pro Schritt wird die Verzerrung pro Schritt signifikant reduziert, wodurch verhindert wird, dass das Rauschen das Trainingssignal dominiert.

2. Proximitätsbasierte Kalibrierung ( $\Delta(\rho)$ )

Standard-NFT-Analysen stützen sich oft auf Worst-Case-Modell-Clipping-Radien ( $C_0$ ), um beliebige Initialisierungen zu handhaben, was zu übermäßig konservativen Rauschanforderungen führt.

Ansatz: Die Autoren ersetzen die Worst-Case-Initialisierungsannahme durch einen Hochwahrscheinlichkeits-Proximitätsparameter, $\Delta(\rho)$ . Dieser Parameter begrenzt den Abstand zwischen dem voll trainierten Modell (auf dem vollständigen Datensatz) und dem neu trainierten Modell (auf dem verbleibenden Datensatz) unter einer festen Kopplung der Zufälligkeit.
Mechanismus: Durch die Kalibrierung des Rauschens und des Clippings basierend auf dem tatsächlichen Abstand $\Delta(\rho)$ anstatt auf einem Worst-Case-Durchmesser wird die erforderliche Rauschvarianz reduziert.
Vorteil: Dies liefert ein Zertifikat, das auf den spezifischen Retraining-Vergleich zugeschnitten ist, und vermeft die Pessimistik von trainingsagnostischen Worst-Case-Grenzen.

Algorithmus-Übersicht

Der Block-wise NFT-Algorithmus verfährt wie folgt:

Partitionierung: Zerlegung der Modellgewichte in $k$ orthogonale Blöcke.
Sequenzielle Updates: Für jeden Block $i$ $i$ :
- Alle Parameter außer Block $i$ einfrieren.
- Durchführung von Noisy Fine-Tuning auf Block $i$ unter Verwendung der kalibrierten Rauschvarianz $\sigma^2$ und der Schrittanzahl $T$ , die aus $\Delta(\rho)$ abgeleitet wurden.
- Es wird kein initialer Worst-Case-Clipping ( $C_0$ ) angewendet; es wird nur die proximitätsbasierte Grenze verwendet.
Finalisierung: Nachdem alle Blöcke sequenziell aktualisiert wurden, erfolgt ein Standard-Fine-Tuning auf dem gesamten Modell, um die Utilität wiederherzustellen.

Zentrale Beiträge

Methode: Einführung von Block-wise NFT, welches zertifizierte verrauschte Updates sequenziell über orthogonale Parameterblöcke anwendet. Dies reduziert die Verzerrung pro Schritt und gewährleistet dennoch die vollständige Parameterabdeckung über den Unlearning-Zeitplan.
Zertifizierung: Erweiterung der NFT-Zertifizierungsanalyse auf den Block-wise-Zeitplan. Die Autoren beweisen, dass das gleiche $(\epsilon, \delta)$ -Privacy-Budget beibehalten wird. Sie formalisieren zudem den Ersatz des Worst-Case-Modell-Clippings durch den Proximitätsparameter $\Delta(\rho)$ .
Theoretische Erkenntnis: Identifizierung eines „formalen Engpasses“, bei dem die trainingsagnostische Worst-Case-Zertifizierung eine Spannungsrelation zwischen Utilität und Effizienz erzeugt. Die Autoren zeigen, dass die Aufrechterhaltung hoher Utilität in weniger Schritten als beim Retraining unter der Annahme der initialisierungsagnostischen Ununterscheidbarkeit unmöglich ist, was den Wechsel zu proximitätsbasierten Formulierungen motiviert.
Empirische Validierung: Demonstration, dass Block-wise NFT den Genauigkeitskollaps auf MNIST- und CIFAR-10-Benchmarks (unter Verwendung von ResNet-18 und ViT-Tiny) sowohl bei zufälligen als auch bei klassenweisen Löschungen verhindert und gleichzeitig robust gegenüber Membership Inference Attacks (MIA) bleibt.

Experimentelle Ergebnisse

Das Paper evaluiert Block-wise NFT im Vergleich zu Standard-NFT, dem Training von Grund auf neu sowie verschiedenen empirischen (unzertifizierten) Unlearning-Baselines.

Genauigkeitswiederherstellung: Bei CIFAR-10 mit ViT-Tiny lässt Standard-NFT die Genauigkeit auf unter 20 % sinken und zeigt keine Erholung. Im Gegensatz dazu hält Block-wise NFT während der Unlearning-Phase eine signifikant höhere Genauigkeit und erreicht nach dem Fine-Tuning nahezu das Niveau des Retrainings.
Privacy-Garantien: Die Methode erreicht eine Unlearned Accuracy (UA) von 100 % und MIA-Scores von 100 % (was auf kein Leck hindeutet), womit sie die Performance des Retrainings von Grund auf neu erreicht.
Effizienz: Block-wise NFT ist rechnerisch effizient, mit Laufzeiten vergleichbar mit Standard-NFT und signifikant niedriger als das Training von Grund auf neu.
Robustheit: Die Methode bleibt effektiv über verschiedene Blockgrößen ( $k$ ) und Block-Konstruktionsstrategien (zufällig vs. layer-basiert) hinweg, was zeigt, dass die Gewinne nicht hochgradig sensitiv gegenüber der spezifischen Partitionierung sind.

Bedeutung und Ansprüche

Das Paper behauptet, dass Block-wise NFT die Lücke zwischen rigorosen formalen Garantien und praktischer Utilität schließt.

Milderung des Genauigkeitskollapses: Der primäre Beitrag ist der Nachweis, dass die schwere Degradation der Genauigkeit, die mit DP-inspiriertem Unlearning assoziiert ist, keine inhärente Einschränkung des zertifizierten Unlearnings ist, sondern eine Folge spezifischer Designentscheidungen (globale Rauschinjektion im vollen Raum und Worst-Case-Clipping).
Praktische Durchführbarkeit: Durch die Nutzung von sequenzieller Subraum-Injektion und Proximitätskalibrierung macht die Methode zertifiziertes Unlearning in den untersuchten Regimen wesentlich weniger destruktiv.
Grenzen und Umfang: Die Autoren äußern sich zurückhaltend bezüglich der Allgemeingültigkeit ihrer Ansprüche. Sie merken an, dass die Kalibrierung von $\Delta(\rho)$ empirisch ist und spezifisch für die jeweilige Modellklasse und die Trainingspipeline gilt. Sie betonen, dass ihre Garantien an die genannte Zertifizierungssituation und das Kalibrierungsverfahren gebunden sind und die Methode nicht beansprucht, eine universelle Lösung für alle Unlearning-Szenarien ohne entsprechende Kalibrierung zu sein.

Zusammenfassend argumentiert die Arbeit, dass zertifiziertes Unlearning für große Modelle praktikabel gemacht werden kann, indem man sich von der Worst-Case-, globalen Rauschinjektion wegbewegt hin zu strukturierten, sequenziellen Updates, welche die tatsächliche Proximität der am Unlearning beteiligten Modelle berücksichtigen.