🤖 machine learning

Exact Unlearning from Proxies Induces Closeness Guarantees on Approximate Unlearning

Dieser Artikel schlägt ein neuartiges Framework für maschinelles Vergessen vor, das den Fokus von Parameteraktualisierungen auf eine präzise Inferenz der Datenverteilung verlagert und theoretisch garantiert sowie empirisch nachweist, dass das resultierende Modell das ideal neu trainierte Modell eng approximiert.

Ursprüngliche Autoren: Virgile Dine, Teddy Furon

Veröffentlicht 2026-05-12

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Virgile Dine, Teddy Furon

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie haben einen sehr klugen Schüler (ein neuronales Netz), der eine riesige Bibliothek von Büchern (Trainingsdaten) studiert hat, um ein Experte zu werden. Plötzlich ergeht ein Gesetz mit der Anweisung: „Sie müssen alles vergessen, was Sie aus diesen spezifischen 10 Büchern gelernt haben."

Normalerweise muss der Schüler, um zu vergessen, die Bibliothek schließen, diese 10 Bücher wegwerfen und die gesamte Bibliothek von Grund auf neu studieren. Dies ist langsam, teuer und verschwenderisch.

Aktuelle „annähernde" Methoden versuchen, clevere Abkürzungen zu sein. Sie sagen dem Schüler: „Vergessen Sie einfach diese spezifischen Bücher!" Doch sie tun dies, indem sie raten und das Gehirn des Schülers schrittweise ein wenig anpassen. Oft geraten sie in Verwirrung, vergessen zu viel (oder zu wenig), und niemand weiß wirklich, ob der Schüler wirklich vergessen hat oder nur vorgibt.

Dieser Artikel schlägt eine völlig andere Denkweise über das Vergessen vor.

Die Kernidee: Die „Karte" vs. das „Gehirn"

Die Autoren argumentieren, dass wir statt nur das Gehirn des Schülers (die Parameter des neuronalen Netzes) zu justieren, die Karte der Bibliothek (die Datenverteilung) betrachten sollten.

Das Problem mit aktuellen Methoden: Stellen Sie sich vor, Sie versuchen, einen Fleck von einem komplexen Gemälde zu entfernen, indem Sie einfach die Leinwand schrubben. Sie könnten den Fleck verpassen oder das gesamte Bild ruinieren. Aktuelle Methoden sind wie dieses Schrubben – sie sind chaotisch, iterativ und fehlen ein klares „Stopp"-Signal.
Der neue Ansatz: Statt zu schrubben, sagen die Autoren: „Lassen Sie uns eine perfekte, mathematische Karte davon erstellen, wie die Bibliothek vor dem Hinzufügen der 10 Bücher aussah und wie sie danach aussieht."

Wie es funktioniert: Die „Proxy"-Analogie

Der Artikel führt ein Konzept namens Proxies ein. Denken Sie an einen Proxy als eine vereinfachte, mathematische Skizze der Daten.

Schritt 1: Die Karten zeichnen. Die Autoren erstellen zwei mathematische Skizzen (Proxies):
- Karte A: Eine Skizze der gesamten Bibliothek (einschließlich der zu vergessenden Bücher).
- Karte B: Eine Skizze der Bibliothek ohne die zu vergessenden Bücher.
Schritt 2: Den Unterschied finden. Sie berechnen den exakten Unterschied zwischen Karte A und Karte B. Dieser Unterschied ist das „Unlearning-Signal". Es ist eine präzise Anweisung darüber, wie genau das Wissen des Schülers verschoben werden muss, um den Einfluss dieser 10 Bücher zu entfernen.
Schritt 3: Die „Distillation" (Die Übertragung). Nun nehmen sie den ursprünglichen Schüler (das neuronale Netz) und verwenden eine Technik namens Distillation. Stellen Sie sich vor, ein Lehrer (die mathematische Karte) führt den Schüler an, seine Antworten so anzupassen, dass sie der „Karte B"-Version entsprechen. Der Schüler muss nicht die gesamte Bibliothek neu lernen; er muss sein Verständnis lediglich basierend auf dem präzisen Unterschied verschieben, den die Karte berechnet hat.

Der „Double Label"-Trick

Einer der cleversten Tricks des Artikels heißt „Verdopplung der Labels".

Stellen Sie sich vor, die Bibliothek hat einen Abschnitt für „Tiere". Darin gibt es Hunde und Katzen. Wenn Sie die „Hunde" vergessen wollen, der Schüler aber gelernt hat, dass Hunde und Katzen sich sehr ähnlich sehen, ist es schwierig, einfach „Hunde" zu löschen, ohne „Katzen" zu verwirren.

Die Methode der Autoren erstellt eine neue, erweiterte Karte, auf der jedes Buch nicht nur nach seiner Kategorie (z. B. „Hund"), sondern auch nach seinem Status (z. B. „Hund-Behalten" oder „Hund-Vergessen") beschriftet ist. Indem sie „Hund-Behalten" und „Hund-Vergessen" als zwei völlig unterschiedliche Kategorien in ihrer mathematischen Karte behandeln, können sie präzise berechnen, wie der „Vergessen"-Teil entfernt wird, während der „Behalten"-Teil perfekt intakt bleibt. Es ist wie ein spezieller Textmarker, der nur die „Vergessen"-Tinte entfernt, ohne die „Behalten"-Tinte zu verwischen.

Warum dies besser ist (Die Ergebnisse)

Der Artikel behauptet, diese Methode sei aus drei Hauptgründen überlegen:

Es ist ein Abkürzung zum „Goldstandard": Der „Goldstandard" ist das Neulernen des Schülers von Grund auf. Die Autoren beweisen mathematisch, dass ihre Methode viel näher an diesen perfekten „neu gelernten" Schüler herankommt als andere Abkürzungsmethoden.
Kein Raten mehr: Da sie mathematische Karten verwenden, können sie eine „sichere Zone" berechnen, wie stark das Gehirn des Schülers verändert werden darf. Sie müssen nicht raten, wann sie aufhören sollen; die Mathematik sagt ihnen genau, wann die Arbeit erledigt ist.
Es funktioniert bei „Unterklassen": Dies ist das schwierigste Szenario. Wenn Sie „Golden Retriever" vergessen wollen, aber „Labradore" behalten möchten (beide sind Hunde), scheitern die meisten Methoden und vergessen entweder alle Hunde oder keinen. Diese Methode gelingt es mit dem „Double Label"-Trick, nur die Golden Retriever zu vergessen, während die Labradore sicher bleiben.

Das Fazit

Anstatt ein neuronales Netz blind zu schrubben, um es zum Vergessen zu bringen, schlägt dieser Artikel vor, eine präzise mathematische Blaupause davon zu erstellen, wie die Daten mit und ohne die unerwünschten Informationen aussehen. Durch die Berechnung des exakten Unterschieds zwischen diesen Blaupausen können sie das neuronale Netz anleiten, mit chirurgischer Präzision zu „unlearnen" und Ergebnisse zu erzielen, die fast so gut sind wie ein Neustart, jedoch in einem Bruchteil der Zeit.

Sie nennen dies „Exact Unlearning from Proxies", und ihre Experimente zeigen, dass es die aktuellen State-of-the-Art-Methoden konsistent übertrifft, insbesondere in schwierigen Situationen, in denen die zu vergessenden Daten eng mit den zu behaltenden Daten vermischt sind.

Technische Zusammenfassung: Exaktes Vergessen durch Proxys induziert Näherungsgarantien für approximativen Unlearning

Problemstellung

Maschinelles Vergessen (Machine Unlearning) zielt darauf ab, den Einfluss spezifischer Trainingsdaten (das „Vergessensset", $D_f$ ) von einem trainierten Klassifikator zu entfernen, ohne das Modell vollständig auf den verbleibenden Daten (das „Behaltensset", $D_r$ ) neu zu trainieren. Während exaktes Vergessen der Goldstandard ist, ist es für große tiefe Netzwerke oft rechnerisch prohibitiv. Aktuelle approximative Methoden, die primär auf Gradienten-Updates erster Ordnung basieren (z. B. Gradientenaufstieg auf dem Vergessensset), leiden unter mehreren Einschränkungen:

Mangelnde Interpretierbarkeit: Sie verlassen sich auf Optimierungspfade, die keine geschlossene Charakterisierung der resultierenden prädiktiven Verschiebung in Bezug auf Datenverteilungen bieten.
Instabilität: Iterative Updates fehlen oft klare Abbruchkriterien, was zu übermäßigem Vergessen oder katastrophalem Vergessen führt.
Bewertungslücken: Die Leistung wird häufig durch Mitgliedschaftsinferenzangriffe (MIAs) oder Genauigkeitsmetriken gemessen, die die statistische Distanz zum idealen neu trainierten Modell möglicherweise nicht genau widerspiegeln.
Suboptimalität: Bestehende theoretische Schranken hängen oft von Eigenschaften neuronaler Netze ab (z. B. Hessian-Näherungen) statt von der Qualität der zugrunde liegenden Datenverteilungsmodelle.

Methodik

Der Artikel schlägt einen Paradigmenwechsel vor: Anstatt Netzwerkgewichte direkt über Gradienten zu aktualisieren, modellieren die Autoren das exakte Vergessenssignal als Verschiebung im Logit-Raum, die aus expliziten mathematischen Modellen der Datenverteilungen abgeleitet wird.

1. Das Vergessenssignal als Logit-Verschiebung

Die Kernidee besteht darin, das Vergessensziel nicht durch einen Optimierungspfad, sondern durch die Differenz zwischen den Posterior-Verteilungen des Behaltenssets und des ursprünglichen Datensatzes zu definieren.

Sei $P$ die wahre Verteilung der ursprünglichen Daten und $P_r$ die wahre Verteilung des Behaltenssets.
Die Autoren führen parametrische Proxys ( $\bar{P}$ und $\bar{P}_r$ ) ein, um die klassenbedingten Verteilungen $P(X|Y)$ und $P_r(X|Y)$ zu modellieren.
Diese Proxys induzieren Posterior-Verteilungen und zugehörige Logit-Vektoren $M(x)$ und $M_r(x)$ .
Das Vergessenssignal wird definiert als die Verschiebung $\Delta M(x) = M_r(x) - M(x)$ .
Die Logits des vergessenen Modells werden als lineare Kombination konstruiert: $\tilde{f}_\eta(x) = f_\theta(x) + \eta \Delta M(x)$ , wobei $\eta$ ein Skalierungsfaktor ist.

2. Theoretischer Rahmen und Garantien

Der Artikel etabliert theoretische Schranken für die Kullback-Leibler-Divergenz (KL-Divergenz) zwischen dem vergessenen Modell und dem idealen neu trainierten Modell ( $P_r$ ).

Zulässigkeitskriterium: Ein Paar von Proxys ist „zulässig", wenn der initiale Proxy $\bar{P}$ eine bessere Approximation der wahren Verteilung $P$ darstellt als der Behaltens-Proxy $\bar{P}_r$ von $P_r$ . Dies ist eine überprüfbare Bedingung.
Sicherheitsbereich ( $\eta_{max}$ ): Die Autoren beweisen die Existenz eines maximalen Skalierungsfaktors $\eta_{max}$ , sodass für jedes $\eta \in [0, \eta_{max}]$ der Vergessensprozess die KL-Divergenz zum idealen Modell streng verringert, sofern das Zulässigkeitskriterium erfüllt ist.
Schranken: Proposition 1 liefert eine enge Schranke für die KL-Divergenz und zeigt, dass der Fehler von der initialen Divergenz und der „Modellierungsverschiebung" (der Differenz darin, wie gut die Proxys ihre jeweiligen Ziele modellieren) abhängt. Proposition 2 bietet eine intuitive Schranke, die den Fehler mit der Qualität der klassenbedingten Modellierung verknüpft.

3. Proxy-Konstruktion

Der Artikel untersucht mehrere Familien von Proxys zur Approximation der Datenstruktur:

Naive Modelle: Standard-LDA (Lineare Diskriminanzanalyse) und QDA (Quadratische Diskriminanzanalyse), die den gesamten Datensatz als einzelne Verteilung pro Klasse behandeln.
Mischungsmodelle (LDA-Mix, QDA-Mix): Modellierung der ursprünglichen Verteilung als Mischung aus Behaltens- und Vergessens-Subpopulationen innerhalb jeder Klasse.
Label-Verdopplung (LDA-2C, DIR-2C): Ein neuartiger Ansatz, bei dem der Labelraum auf $(y, s)$ $(y, s)$ verdoppelt wird, wobei $s \in \{retain, forget\}$ $s \in {r e t ain, f or g e t}$ . Dies ermöglicht es dem Modell, die Überlappung zwischen Behaltens- und Vergessensverteilungen intrinsisch zu erfassen und die Wahrscheinlichkeit abzuschätzen, dass eine Stichprobe zum Vergessensset gehört.
- DIR-2C: Verwendet empirische Dirac-Verteilungen auf dem verdoppelten Labelraum. Obwohl die direkte Anwendung aggressiv ist, dient sie als leistungsfähiger „Lehrer" für den Destillationsschritt.

4. Implementierung via Destillation

Die konstruierte Logit-Verschiebung $\eta_{max} \Delta M(x)$ wird im neuronalen Netz durch Wissensdestillation implementiert. Das ursprüngliche Netz $f_\theta$ fungiert als Schüler, das trainiert wird, die KL-Divergenz zwischen seiner Ausgabe und den Ziel-Logits $\tilde{f}_{\eta_{max}}$ zu minimieren. Dieser Schritt übersetzt die geschlossene Verteilungskorrektur in Netzwerkkparameter.

Hauptbeiträge

Exaktes Vergessenssignal durch Proxys: Der Artikel führt ein geschlossenes, interpretierbares Vergessenssignal ein, das aus expliziten mathematischen Modellen von Datenverteilungen abgeleitet wird, anstatt auf Gradientenpfaden zu basieren.
Theoretische Garantien: Er liefert überprüfbare Zulässigkeitskriterien und enge theoretische Schranken für die KL-Divergenz zum idealen neu trainierten Modell und verknüpft die Vergessensleistung direkt mit der Qualität der Datenproxys.
Feingranulare Proxys: Er schlägt spezifische Modellierungstechniken vor (Mischungsmodelle und Label-Verdopplung), die Mitgliedschaftsabhängigkeiten aus der Datenstruktur lernen. Bemerkenswerterweise erweisen sich LDA-2C und DIR-2C als effektive Methoden zur Erfassung der Intra-Klassen-Struktur.
Stein-Schranke zur Bewertung: Der Artikel schlägt vor, die KL-Divergenz zu verwenden, um eine „Stein-Schranke" für die Anzahl der Anfragen abzuleiten, die ein Angreifer benötigt, um das vergessene Modell vom neu trainierten Modell zu unterscheiden, und bietet so eine stabilere und interpretierbarere Alternative zu empirischen Mitgliedschaftsinferenzangriffen.

Experimentelle Ergebnisse

Die Methode wurde auf CIFAR-10 und CIFAR-100 über drei Vergessensszenarien hinweg evaluiert:

Zufällig: Vergessen zufälliger Stichproben.
Klasse: Vergessen einer gesamten Klasse.
Unterklasse: Vergessen einer Teilmenge einer Klasse (z. B. „Flugzeuge" innerhalb von „Fahrzeugen"), was als das herausforderndste und realistischste Szenario gilt, bei dem Gradientenaufstiegs-Baselines oft versagen.

Ergebnisse:

Nähe zum Ideal: Die vorgeschlagenen Methoden (insbesondere LDA-2C und DIR-2C) erzeugten konsistent vergessene Modelle, die der idealen neu trainierten Modell ( $p_{\theta_r}$ ) in Bezug auf die KL-Divergenz ( $KL_t$ und $KL_f$ ) am nächsten kamen und dabei State-of-the-Art-Baselines wie SCRUB, SalUn und GA+FT übertrafen.
Stabilität: Im Gegensatz zu iterativen Baselines, die instabile Trajektorien oder katastrophales Vergessen zeigten (z. B. SalUn reduzierte die Genauigkeit auf dem Vergessensset auf nahezu Null), konvergierte die vorgeschlagene Methode schnell und stabil.
Effizienz: Die Methoden erreichten diese Ergebnisse mit einer Laufzeiteffizienz (RTE) von etwa 5 % der Zeit, die für ein vollständiges Neutraining erforderlich ist.
Effektivität der Proxys: Die „Label-Verdopplungs"-Proxys (LDA-2C, DIR-2C) schnitten im Allgemeinen besser ab als Standard-Mischungsmodelle, insbesondere im Unterklasse-Szenario, indem sie die Verteilungsüberlappung zwischen Behaltens- und Vergessenssets besser erfassen.

Bedeutung und Behauptungen

Der Artikel behauptet, dass sein Rahmenwerk einen Paradigmenwechsel darstellt, indem er maschinelles Vergessen in der Struktur von Datenverteilungen verankert und nicht in der Aktualisierung von Parametern neuronaler Netze.

Fundiertheit: Die theoretischen Schranken zeigen, dass, wenn die Proxys hinreichend genau sind (überprüfbar via Zulässigkeitskriterium), der Vergessensprozess garantiert das Modell näher an den idealen neu trainierten Zustand bringt.
Interpretierbarkeit: Die Methode bietet eine geschlossene Zerlegung des Vergessensfehlers und entfernt sich von der „Black-Box"-Natur iterativer Gradienten-Updates.
Praktikabilität: Durch die Verwendung von Destillation kann die Methode auf Black-Box-Netze angewendet werden, die Logits ausgeben, was sie vielseitig macht.
Einschränkungen: Die Autoren erkennen bescheiden Einschränkungen an, einschließlich der Annahme, dass das Behaltensset $D_r$ verfügbar ist, um den Proxy $P_r$ anzupassen, potenzielle Schlechtgestelltheit in hochdimensionalen Merkmalsräumen (gemildert durch Dimensionsreduktion) und die Tatsache, dass das Zulässigkeitskriterium empirisch am initialen Modell und nicht an der wahren Verteilung geprüft wird.

Zusammenfassend argumentiert der Artikel, dass durch die explizite Modellierung der Datenverteilung ein exaktes Vergessenssignal abgeleitet werden kann, das, wenn es in ein Netz destilliert wird, ein Modell liefert, das statistisch nicht von einem von Grund auf neu trainierten Modell zu unterscheiden ist, mit nachweisbaren Garantien und überlegener empirischer Leistung.