🤖 machine learning

PURGE: Projected Unlearning via Retain-Guided Erasure

Das Papier stellt PURGE vor, einen Machine-Unlearning-Algorithmus, der die Dualität zwischen kontinuierlichem Lernen und Unlearning nutzt, indem er Gradientenprojektionsbeschränkungen mit mehrschichtiger Repräsentationslöschung und einem Retain-Confusion-Ziel kombiniert, um spezifische Daten effektiv zu entfernen, während die Modellnutzung bewahrt und der Widerstand gegen Membership-Inference-Angriffe aufrechterhalten wird.

Ursprüngliche Autoren: Vedant Jawandhia, Daksh Ahuja, Ghufran Alam Siddiqui, Prashant Trivedi, Yash Sinha, Pratik Narang

Veröffentlicht 2026-06-03

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Vedant Jawandhia, Daksh Ahuja, Ghufran Alam Siddiqui, Prashant Trivedi, Yash Sinha, Pratik Narang

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie hätten einen sehr klugen Studenten, der eine riesige Bibliothek von Büchern studiert hat, um ein Experte zu werden. Stellen Sie sich nun vor, eine bestimmte Person (nennen wir sie „Bob“) bittet den Studenten, alles über ihn zu vergessen, um Datenschutzgesetze einzuhalten.

Der alte, „naive“ Weg besteht darin, dem Studenten zu sagen: „Geh zurück in die Bibliothek, wirf Bobs Bücher weg und fang von vorne an zu lernen.“ Das funktioniert perfekt, dauert aber Jahre und kostet ein Vermögen.

PURGE ist eine neue, clevere Abkürzung. Es ist wie ein magischer Radiergummi, der Bobs Einfluss aus dem Gehirn des Studenten löscht, ohne dass er alles andere vergisst, was er gelernt hat.

Hier ist die Erklärung dieses Prozesses unter Verwendung einfacher Analogien:

1. Die Kernidee: Zwei Seiten derselben Medaille

Die Autoren bemerkten etwas Interessantes: Lernen und Vergessen sind eigentlich die Gegenteile desselben Problems.

Lernen (Continual Learning): Man möchte eine neue Fähigkeit lernen (wie Gitarre spielen), ohne seine alte Fähigkeit (wie Klavier spielen) zu vergessen.
Vergessen (Machine Unlearning): Man möchte eine spezifische Erinnerung (Bob) löschen, ohne den Rest der Bibliothek zu vergessen.

Das Paper sagt: „Lassen Sie uns die Mathematik, die zum Lernen neuer Dinge verwendet wird, ausleihen und sie umdrehen, um das Vergessen von Dingen zu unterstützen.“

2. Der Zaubertrick: Die „Leitplanke“ (Gradient Projection)

Wenn der Student versucht, Bobs Erinnerung zu löschen, könnte er versehentlich eine Vase mit Blumen umstoßen (den „Retain Set“ oder andere Daten).

PURGE verwendet eine Technik namens Gradient Projection. Denken Sie an dies als eine Leitplanke oder einen Türsteher.

Jedes Mal, wenn der Student versucht, einen Schritt zu machen, um Bob zu löschen, prüft der Türsteher: „Wird dieser Schritt den Blumen schaden?“
Wenn die Antwort „Ja“ lautet, drückt der Türsteher den Fuß des Studenten sanft zurück, sodass er sich nur in eine Richtung bewegt, die die Blumen nicht beschädigt.
Dies garantiert, dass während des Löschens von Bob das restliche Wissen sicher und präzise bleibt.

3. Die Strategie der „Scheinverwirrung“ (Retain-Confusion Target)

Normalerweise, wenn man versucht, ein Modell etwas vergessen zu lassen, sagt man ihm, es solle zufällig raten (wie beim Würfelspielen). Die Autoren fanden ein Problem dabei: Roboter sind zu gut darin, künstliche Zufälligkeit zu erkennen. Wenn ein Modell plötzlich anfängt, zufällig zu raten, kann ein Hacker sagen: „Aha! Dieses Modell wurde gezwungen, etwas zu vergessen!“

Stattdessen verwendet PURGE ein Retain-Confusion Target.

Stellen Sie sich vor, der Student schaut sich die Bücher an, die er behalten hat, und sieht, wo er verwirrt ist. Vielleicht verwechselt er manchmal „Katzen“ und „Hunde“.
Beim Löschen von Bob wird dem Studenten gesagt: „Rate nicht zufällig. Rate stattdessen auf genau die gleiche verwirrte Weise, wie du es bei den Büchern tust, die du behalten hast.“
Dies lässt das „gelöschte“ Modell exakt so aussehen wie einen Studenten, der Bob nie gesehen hat. Für einen Hacker ist es unmöglich, den Unterschied zu erkennen.

4. Tiefenreinigung: Das „Bauchgefühl“ löschen

Manchmal, selbst wenn ein Modell aufhört, die richtige Antwort zu geben, fühlt es die falsche Antwort im Inneren seines Gehirns (in den mittleren Schichten) immer noch („Bauchgefühl“).

Alte Methoden sagen dem Modell lediglich, am Ende (am Output) nicht die falsche Antwort zu geben.
PURGE geht tiefer. Es reinigt das „Bauchgefühl“ (die intermediären Repräsentationen) gründlich und drängt die interne Gehirnaktivität dazu, so auszusehen wie die Aktivität von jemandem, der Bob nie kannte.

5. Der „Auto-Stopp“-Knopf

Woher weiß der Student, wann er mit dem Löschen aufhören soll?

Alter Weg: Man muss die Minuten zählen oder raten, wie oft man üben muss.
PURGE-Weg: Es hat zwei selbstregulierende Stoppschilder:
1. Das Budget: „Wenn wir anfangen, die Blumen (die beibehaltenen Daten) zu sehr zu beschädigen, stoppe sofort.“
2. Das Ziel: „Wenn Bobs Erinnerung so verschwommen ist, dass wir ihn nicht besser als durch Zufall erraten können, stoppe.“
  Das bedeutet, der Algorithmus entscheidet selbst, wann er fertig ist, sodass Menschen nicht raten müssen.

6. Die Überraschung der „eingefrorenen Statistik“

Die Autoren fanden eine versteckte Falle: Wenn man eine ganze Klasse von Daten löscht (wie alle Bilder von „Katzen“), wird der interne Rechner des Modells (BatchNorm) verwirrt, weil er nur „Katzen“ sieht und vergisst, wie man mit „Hunden“ umgeht.

Die Lösung: Die Autoren erkannten, dass sie diesen Rechner einfrieren mussten, damit er seine Statistiken nicht mit den seltsamen, einseitigen Daten aktualisiert. Es ist, als würde man dem Rechner sagen: „Ändere deine Einstellungen nicht, während wir diese Operation durchführen.“ Ohne dies würde das gesamte System abstürzen.

Die Ergebnisse: Was haben sie herausgefunden?

Die Autoren testeten dies auf fünf verschiedenen Arten von Daten (von handgeschriebenen Zahlen bis hin zu medizinischen Bildern).

Privatsphäre: Das „gelöschte“ Modell ist so gut darin, sich zu tarnen, dass Hacker nicht erkennen können, ob Bob in den Trainingsdaten enthalten war (ein Wert von 0,5, was perfekt ist).
Nutzen (Utility): Das Modell erinnert sich immer noch an über 96 % von allem anderen.
Geschwindigkeit: Es ist etwa 13 Mal schneller als das komplette Neu-Trainieren des Modells von Grund auf.

Zusammenfassend: PURGE ist eine schnelle, sichere und intelligente Art, spezifische Daten aus dem Gedächtnis einer KI zu löschen, indem Tricks aus der Art und Weise geliehen werden, wie KI lernt. Dabei wird sichergestellt, dass die KI nicht versehentlich ihr restliches Wissen vergisst oder von Hackern entdeckt wird.

Technisches Resümee: PURGE (Projected Unlearning via Retain-Guided Erasure)

1. Problemstellung

Machine Unlearning (MU) zielt darauf ab, den Einfluss spezifischer Trainingsdaten (das Forget Set, $D_f$ ) aus einem trainierten Modell zu entfernen, ohne die prohibitiven Rechenkosten eines vollständigen Neu-Trainings in Kauf nehmen zu müssen. In der MU besteht ein grundlegendes Spannungsfeld: Das Modell muss $D_f$ aggressiv vergessen, um Datenschutzprüfungen (z. B. dem „Recht auf Vergessen“ gemäß DSGVO) zu genügen, während gleichzeitig eine hohe Nützlichkeit auf den verbleibenden Daten (dem Retain Set, $D_r$ ) bewahrt werden muss.

Bestehende Methoden weisen spezifische Fehlermodi auf:

Gradient Ascent: Maximiert den Verlust auf $D_f$ , führt aber oft zu einer katastrophalen Verschlechterung der Performance auf $D_r$ .
Saliency-basierte Methoden (z. B. SalUn): Verändern Gewichte selektiv, lassen jedoch formale Garantien bezüglich der Retain-Performance vermissen.
Knowledge Distillation: Verankert die Retain-Verteilung, kann aber die Gradientenrichtungen nicht einschränken.
Fisher-basierte Methoden: Theoretisch fundiert, aber rechenintensiv aufgrund von Hessian-Approximationen.

Entscheidend ist, dass viele bestehende Ansätze nicht sicherstellen können, dass das ungelernte Modell statistisch ununterscheidbar von einem Modell ist, das ausschließlich auf $D_r$ neu trainiert wurde. Diese Unterscheidung ist essenziell, um Membership Inference Attacks (MIA) zu widerstehen, bei denen ein Angreifer versucht zu bestimmen, ob eine bestimmte Stichprobe Teil des Trainingsdatensatzes war.

2. Methodik

Die Kernidee von PURGE ist die Dualität zwischen Continual Learning (CL) und Machine Unlearning. Während CL neue Aufgaben lernt, ohne alte zu vergessen, löscht MU spezifische Daten, ohne die Leistung auf den behaltenen Daten zu beeinträchtigen. PURGE adaptiert den A-GEM (Averaged Gradient Episodic Memory) Algorithmus aus dem CL, welcher neue Task-Gradienten projiziert, um den Verlust für alte Tasks zu vermeiden.

2.1 Gradientenprojektion für die Retain-Sicherheit

PURGE behandelt den Unlearning-Prozess als ein optimiertes Problem unter Nebenbedingungen. Für jeden Update-Schritt wird der Gradient für die Forget-Richtung ( $g_f$ ) auf einen Halbraum projiziert, der durch den Retain-Gradienten ( $g_r$ ) definiert ist.

Nebenbedingung: Das Update darf den Retain-Verlust ( $L_r$ ) nicht erhöhen.
Mechanismus: Wenn der Forget-Gradient mit dem Retain-Gradienten kollidiert (d. h. $\langle g_f, g_r \rangle < 0$ ), wird $g_f$ auf die Grenze des Halbraums projiziert, für den gilt: $\langle g, g_r \rangle \geq 0$ .
Theoretische Garantie: Dies bietet eine konstruktive Garantie pro Schritt, dass der Retain-Verlust nicht steigt (in einer Näherung erster Ordnung) – ein Merkmal, das vorherigen approximativen Unlearning-Methoden fehlt.

2.2 Forget-Ziele

PURGE führt ein neuartiges Ziel für das Forget-Set ein, das über einfache uniforme Verteilungsziele hinausgeht:

KL-Retain (Retain-Confusion Target): Anstatt die Forget-Outputs in Richtung einer Gleichverteilung zu treiben (was durch MIA leicht detektierbar ist), zielt PURGE auf das natürliche Konfusionsmuster des Modells auf dem Retain-Set ab. Es berechnet vorab eine Verteilung $p_r$ , indem es die Softmax-Outputs des eingefrorenen Originalmodells auf $D_r$ mittelt. Das Forget-Ziel minimiert die KL-Divergenz zwischen den Forget-Outputs und $p_r$ .
Begründung: Dies macht die Outputs des ungelernten Modells statistisch ununterscheidbar von einem von Grund auf neu trainierten Modell, wodurch die MIA AUROC gegen den Idealwert 0,5 getrieben wird.

2.3 Multi-Layer Repräsentationslöschung

Die Unterdrückung der Outputs allein reicht nicht aus, da Informationen in intermediären Schichten persistieren können. PURGE berechnet den mittleren quadratischen Fehler (MSE) zwischen den Aktivierungen des Forget-Sets und den mittleren Aktivierungen des Retain-Sets (aus dem eingefrorenen Modell) über mehrere intermediäre Schichten hinweg. Dies erzwingt die Entfernung von Informationen aus den verborgenen Repräsentationen, nicht nur aus dem finalen Output.

2.4 Stabilitäts- und Stopp-Mechanismen

KD-Ankernde Stabilität: Eine eingefrorene Kopie des Modells vor dem Unlearning fungiert als Lehrer für das Retain-Set mittels Knowledge Distillation (KD), was das Drift der Repräsentationen reduziert.
Entropie-Gating & Capping: Updates werden auf das Retain-Ziel beschränkt, falls die Output-Entropie des Modells auf dem Forget-Batch bereits nahe am Maximum liegt, um Über-Vergessen oder Gradientenexplosion zu verhindern.
Duale selbstregulierende Stopp-Kriterien: Der Algorithmus stoppt automatisch basierend auf zwei Kriterien:
1. Retain-Loss Budget: Stoppt, wenn der Retain-Verlust ein vordefiniertes Budget im Verhältnis zum ursprünglichen Verlust überschreitet.
2. Forget-Accuracy (FA) Target: Stoppt, wenn die FA auf ein Zufallsniveau sinkt (z. B. $100/K\%$ ).
BatchNorm-Einfrieren: Ein kritisches Implementierungsdetail, das von den Autoren identifiziert wurde: BatchNorm-Schichten müssen während des Unlearnings im Evaluierungsmodus eingefroren werden. Klassenhomogene Forget-Batches können die laufenden Statistiken korrumpieren, wenn BatchNorm im Trainingsmodus bleibt, was zu einem Modellkollaps führt.

3. Zentrale Beiträge

Algorithmische Instanziierung der CL-MU-Dualität: PURGE ist die erste Arbeit, die den Gradientenprojektionsmechanismus von A-GEM (einem CL-Algorithmus) direkt als primäres konstruktives Werkzeug für Machine Unlearning adaptiert und somit formale pro-Schritt-Garantien für die Retain-Sicherheit liefert.
Retain-Confusion Target: Der Vorschlag eines KL-Divergenz-Ziels basierend auf der natürlichen Konfusion des Modells auf Retain-Daten, was die MIA-Resistenz im Vergleich zu uniformen Verteilungszielen signifikant verbessert.
Multi-Layer Erasure: Die Ausweitung des Unlearnings auf intermediäre Schicht-Aktivierungen, um eine tiefe Informationsentfernung zu gewährleisten.
Selbstregulierendes Framework: Eliminierung der manuellen Epochen-Abstimmung durch duale Stopp-Kriterien (Retain-Loss Budget und FA Target).
Empirische Entdeckung: Identifizierung des BatchNorm-Fehlermodus bei der Klassenebene des Unlearnings, ein subtiler, aber kritischer Aspekt für die Stabilität.

4. Experimentelle Ergebnisse

PURGE wurde auf fünf Datensätzen (CIFAR-10, MNIST, SVHN, STL10, PathMNIST) über 22 Klassenebene-Vergessensaufgaben unter Verwendung von ResNet-18 evaluiert.

Privacy-Utility-Trade-off: PURGE hält konsistent eine Retain Accuracy (RA) über 96 % über alle Datensätze hinweg aufrecht.
Privatsphäre (MIA-Resistenz): PURGE erreicht eine MIA AUROC nahe 0,5 (den Idealwert der Ununterscheidbarkeit) bei vier von fünf Datensätzen. Auf CIFAR-10 erreicht es beispielsweise eine AUROC von 0,496.
Vergleich mit Baselines:
- Im Gegensatz zu Gradient Ascent (welches die Retain Accuracy auf ~38 % auf CIFAR-10 senkt) oder SalUn (welchem formale MIA-Garantien fehlen), balanciert PURGE hohe Retain-Nützlichkeit mit echter Membership-Privatsphäre.
- Obwohl die Test Accuracy (TA) von PURGE auf CIFAR-10 (84,5 %) niedriger ist als die von SalUn (93,5 %), argumentieren die Autoren, dass dies ein bewusster Trade-off ist, um echte Privatsphäre (MIA $\approx$ 0,5) statt nur niedriger Forget-Accuracy zu erreichen.
Effizienz: PURGE konvergiert in etwa 1,75 Epochen (unter 200 Sekunden auf CIFAR-10) und bietet damit eine $\sim$ 13-fache Beschleunigung gegenüber einem vollständigen Retraining.
Repräsentationslöschung: Metriken wie die Fréchet-Distanz im Feature-Raum (FIDfeat) und die Kosinus-Ähnlichkeit bestätigen, dass PURGE die intermediären Repräsentationen effektiv verändert und sie näher an die eines von Grund auf neu trainierten Modells bringt.

5. Bedeutung und Ansprüche

Das Paper behauptet, dass PURGE einen prinzipienbasierten Rahmen für Machine Unlearning bietet, indem es die Dualität mit Continual Learning nutzt. Die Bedeutung liegt in:

Formalen Garantien: Bereitstellung einer pro-Schritt-Garantie, dass der Retain-Verlust nicht steigt – ein Merkmal, das heuristischen Unlearning-Methoden fehlt.
Robuster Privatsphäre: Demonstration, dass das Anvisieren der „natürlichen Konfusion“ des Modells der Verwendung künstlicher Uniform-Targets zur Bekämpfung von Membership Inference Attacks überlegen ist.
Praktische Anleitung: Bereitstellung kritischer Implementierungshinweise, wie die Notwendigkeit, BatchNorm-Schichten einzufrieren, was in der Unlearning-Literatur oft übersehen wird.

Die Autoren räumen Einschränkungen ein, einschließlich der Lücke bei der Test Accuracy im Vergleich zu einigen Baselines, des Fehlens formaler $(\epsilon, \delta)$ -Differential-Privacy-Garantien und des aktuellen Evaluationsumfangs (ResNet-18, Single-Class Forgetting). Sie postulieren jedoch, dass die CL-MU-Dualitätsperspektive einen breiteren Designraum für zukünftige Unlearning-Algorithmen eröffnet.