Resumen Técnico: Inyección de Ruido en Subespacios Secuenciales para el Olvido Certificado

Declaración del Problema

El olvido de máquinas (machine unlearning) tiene como objetivo eliminar la influencia de datos de entrenamiento específicos de un modelo entrenado para cumplir con regulaciones como el RGPD o para eliminar información sensible. Aunque el reentrenamiento desde cero es el estándar de oro, suele ser computacionalmente prohibitivo. Los métodos de olvido certificado, particularmente aquellos basados en la Privacidad Diferencial (DP), ofrecen garantías formales de eliminación de datos, pero sufren una limitación práctica crítica: el colapso de la precisión.

Los enfoques actuales, como el Ajuste Fino Ruidoso (NFT) con recorte de gradiente (gradient clipping), inyectan ruido gaussiano para satisfacer las garantías de olvido $(\epsilon, \delta)$. Sin embargo, en redes profundas sobreparametrizadas, el ruido requerido para certificar el olvido suele ser lo suficientemente grande como para dominar la señal del gradiente en todos los parámetros simultáneamente. Los resultados empíricos muestran que el NFT estándar puede causar que la precisión de prueba caiga drásticamente (por ejemplo, del 88% a menos del 20% en CIFAR-10) y no logre recuperarse incluso tras un ajuste fino posterior. Esto crea una tensión entre mantener garantías formales rigurosas y preservar la utilidad del modelo.

Metodología

Los autores proponen el Ajuste Fino Ruidoso por Bloques (Block-wise NFT), una modificación al marco de trabajo de NFT estándar diseñada para mitigar el colapso de la precisión manteniendo las garantías de certificación formal. El método aborda dos cuellos de botella específicos en los análisis de olvido certificado existentes:

1. Inyección de Ruido en Subespacios Secuenciales

El NFT estándar inyecta ruido en todo el espacio de parámetros en cada paso. Los autores observan que para modelos de alta dimensionalidad, la norma $\ell_2$ del vector de ruido ($\sigma\sqrt{d}$) abruma las actualizaciones de gradiente recortadas.

• Enfoque: El espacio de parámetros $\mathbb{R}^d$ se particiona en $k$ subespacios mutuamente ortogonales (bloques).
• Mecanismo: En lugar de actualizar todos los parámetros, el algoritmo actualiza secuencialmente un bloque a la vez. Durante la actualización de un bloque específico, se inyecta ruido solo en ese subespacio, mientras que todos los demás parámetros permanecen congelados.
• Beneficio: Esto redistribuye el mismo presupuesto de ruido certificado a lo largo del tiempo y a través de subespacios de menor dimensión. Al restringir las perturbaciones a una fracción ($1/k$) de las coordenadas por paso, la distorsión por paso se reduce significativamente, evitando que el ruido domine la señal de entrenamiento.

2. Calibración Basada en la Proximidad ($\Delta(\rho)$)

Los análisis de NFT estándar suelen depender de radios de recorte de modelos en el peor de los casos ($C_0$) para manejar inicializaciones arbitrarias, lo que conduce a requisitos de ruido excesivamente conservadores.

• Enfoque: Los autores reemplazan la suposición de la inicialización del peor caso por un parámetro de proximidad de alta probabilidad, $\Delta(\rho)$. Este parámetro acota la distancia entre el modelo totalmente entrenado (sobre el conjunto de datos completo) y el modelo reentrenado (sobre el conjunto de datos retenido) bajo un acoplamiento fijo de aleatoriedad.
• Mecanismo: Al calibrar el ruido y el recorte basándose en la distancia real $\Delta(\rho)$ en lugar de un diámetro del peor caso, la varianza del ruido requerida se reduce.
• Beneficio: Esto produce un certificado adaptado a la comparación de reentrenamiento específica, evitando el pesimismo de los límites agnósticos al entrenamiento del peor caso.

Descripción General del Algoritmo

El algoritmo Block-wise NFT procede de la siguiente manera:

1. Partición: Descompone los pesos del modelo en $k$ bloques ortogonales.
2. Actualizaciones Secuenciales: Para cada bloque $i$:
   • Congela todos los parámetros excepto el bloque $i$.
   • Aplica el ajuste fino ruidoso al bloque $i$ utilizando la varianza de ruido calibrada $\sigma^2$ y el recuento de pasos $T$ derivados de $\Delta(\rho)$.
   • No se aplica ningún recorte inicial del peor caso ($C_0$); solo se utiliza el límite basado en la proximidad.
3. Finalización: Después de que todos los bloques hayan sido actualizados secuencialmente, se realiza el ajuste fino estándar en el modelo completo para recuperar la utilidad.

Contribuciones Clave

1. Método: Introducción de Block-wise NFT, que aplica actualizaciones ruidosas certificadas secuencialmente a través de bloques de parámetros ortogonales. Esto reduce la distorsión por paso asegurando la cobertura total de los parámetros durante el esquema de olvido.
2. Certificación: Extensión del análisis de certificación de NFT al esquema por bloques. Los autores demuestran que se mantiene el mismo presupuesto de privacidad $(\epsilon, \delta)$. También formalizan el reemplazo del recorte del peor caso por el parámetro de proximidad $\Delta(\rho)$.
3. Perspectiva Teórica: Identificación de un "Cuello de Botella Formal" donde la certificación agnóstica al entrenamiento y del peor caso crea una tensión entre utilidad y eficiencia. Los autores demuestran que mantener una alta utilidad en menos pasos que el reentrenamiento es imposible bajo la indistinguibilidad agnóstica a la inicialización, lo que motiva el cambio hacia formulaciones basadas en la proximidad.
4. Validación Empírica: Demostración de que Block-wise NFT evita el colapso de la precisión en los entornos de referencia MNIST y CIFAR-10 (usando ResNet-18 y ViT-Tiny) tanto en eliminaciones aleatorias como por clase, manteniéndose robusto ante ataques de inferencia de membresía (MIA).

Resultados Experimentales

El artículo evalúa Block-wise NFT frente al NFT estándar, el reentrenamiento desde cero y varios modelos de base de olvido empírico (no certificados).

• Recuperación de la Precisión: En CIFAR-10 con ViT-Tiny, el NFT estándar reduce la precisión a menos del 20% y no logra recuperarse. En contraste, Block-wise NFT mantiene una precisión significativamente mayor durante la fase de olvido y se recupera a niveles cercanos al reentrenamiento tras el ajuste fino.
• Garantías de Privacidad: El método alcanza una Precisión de Olvido (UA) del 100% y puntuaciones MIA del 100% (lo que indica que no hay filtración), igualando el rendimiento del reentrenamiento desde cero en estas métricas.
• Eficiencia: Block-wise NFT es computacionalmente eficiente, con tiempos de ejecución comparables al NFT estándar y significativamente menores que el reentrenamiento desde cero.
• Robustez: El método sigue siendo efectivo a través de diferentes tamaños de bloque ($k$) y estrategias de construcción de bloques (aleatorio vs. por capas), demostiendo que las ganancias no son altamente sensibles a la partición específica.

Significado y Reivindicaciones

El artículo afirma que Block-wise NFT cierra la brecha entre las garantías formales rigurosas y la utilidad práctica en el olvido certificado.

• Mitigación del Colapso de la Precisión: La contribución principal es demostrar que la severa degradación de la precisión asociada con el olvido inspirado en DP no es una limitación inherente del olvido certificado, sino una consecuencia de decisiones de diseño específicas (inyección de ruido en el espacio completo y recorte del peor caso).
• Viabilidad Práctica: Al utilizar la inyección de subespacios secuenciales y la calibración de proximidad, el método hace que el olvido certificado sea sustancialmente menos destructivo en los regímenes estudiados.
• Limitaciones y Alcance: Los autores son modestos respecto a la generalidad de sus afirmaciones. Señalan que la calibración de $\Delta(\rho)$ es empírica y específica de la clase de modelo y el proceso de entrenamiento. Enfatizan que sus garantías están condicionadas al entorno de certificación declarado y al procedimiento de calibración, y que el método no pretende ser una solución universal para todos los escenarios de olvido sin una calibración adecuada.

En resumen, el trabajo sostiene que el olvido certificado puede hacerse práctico para modelos grandes al alejarse de la inyección de ruido global y del peor caso, hacia actualizaciones secuenciales estructuradas que respetan la proximidad real de los modelos involucrados en el proceso de olvido.