Resumen Técnico: Auditoría de Algoritmos de Desaprendizaje (Unlearning)

Planteamiento del Problema

El desaprendizaje automático (machine unlearning) busca eliminar la influencia de muestras de entrenamiento específicas de un modelo entrenado, idealmente obteniendo un modelo indistinguible de uno reentrenado desde cero con los datos restantes. Si bien el desaprendizaje exacto ofrece garantías sólidas, suele ser computacionalmente prohibitivo para redes profundas. En consecuencia, han surgido métodos de desaprendizaje aproximado, que van desde enfoques heurísticos (por ejemplo, ascenso de gradiente sobre el conjunto de olvido, limpieza basada en el Hessiano) hasta métodos certificados que proporcionan garantías de $(\varepsilon, \delta)$-indistinguibilidad.

Un desafío crítico abierto es la evaluación empírica de estas afirmaciones. Los límites teóricos existentes suelen depender de supuestos (por ejemplo, convexidad) que pueden no cumplirse en la práctica, y existe una falta de herramientas prácticas para verificar si una garantía de desaprendizaje reclamada realmente se cumple. Este artículo aborda la necesidad de un auditor que utilice evidencia empírica para probar las garantías de desaprendizaje, con el objetivo específico de rechazar la hipótesis de que el parámetro de desaprendizaje $\varepsilon$ está por debajo de un determinado límite inferior ($\varepsilon < \varepsilon_{LB}$).

Metodología

Modelo de Amenaza

Los autores adoptan un modelo de adversario de caja negra fuerte. El adversario tiene conocimiento de:

1. El algoritmo de aprendizaje ($A$) y el algoritmo de desaprendizaje ($U$).
2. El permutador de carga de datos (permutación aleatoria $\pi$).
3. Los pesos iniciales del modelo ($x_0$) al inicio del entrenamiento.
   El adversario no observa las realizaciones aleatorias específicas (por ejemplo, ruido de gradiente) durante el entrenamiento o el desaprendizaje, ni tiene acceso al estado interno de los algoritmos. Este modelo fortalece al adversario con respecto a las definiciones estándar, pero es consistente con las garantías de algoritmos certificados como Model Clipping y Rewind-to-Delete (R2D).

El Marco del Auditor (Auditor Framework)

El auditor propuesto es un marco de prueba de hipótesis diseñado para calcular un límite inferior dependiente de los datos $\varepsilon_{LB}$ sobre el verdadero parámetro de desaprendizaje $\varepsilon$.

1. Configuración: El conjunto de datos de entrenamiento se divide en un conjunto de retención ($D_r$) y un conjunto de olvido ($D_f$). $D_f$ se divide además en $m$ lotes (batches) candidatos.
2. Vectores de Signo: El auditor muestrea un vector de signo equilibrado $S \in \{\pm 1\}^m$, donde $+1$ indica que un lote está incluido en el conjunto de entrenamiento (y, por lo tanto, sujeto a desaprendizaje), y $-1$ indica que está excluido.
3. Ejecución: Para cada ejecución $\ell$:
   • Se construye un conjunto de entrenamiento $D(S^{(\ell)})$ basado en el vector de signo.
   • El modelo se entrena y luego se desaprende para producir $f_u^{(\ell)}$.
   • El auditor intenta predecir el vector de signo $S^{(\ell)}$ a partir de $f_u^{(\ell)}$.
4. Calificación: El auditor calcula una puntuación de solapamiento (overlap score) $V^{(\ell)}$, contando el número de aciertos de valores no nulos (donde el signo predicho coincide con el signo real).
5. Reducción a LDP: La auditoría se reduce a un problema de Privacidad Diferencial Local (LDP). Si el algoritmo de desaprendizaje es $(\varepsilon, 0)$-certificado, se demuestra que el mecanismo del auditor es $(2\varepsilon, 0)$-LDP.
6. Prueba de Hipótesis: Utilizando la distribución de las puntuaciones de solapamiento a través de múltiples ejecuciones independientes, el auditor calcula un límite inferior $\varepsilon_{LB}$. Si el solapamiento observado excede significativamente el azar, se rechaza la hipótesis nula ($H_0: \varepsilon \le \varepsilon_{LB}$), lo que indica un desaprendizaje débil.

Instanciaciones del Auditor

Se proponen dos instanciaciones específicas del mecanismo del auditor $M$:

• Instanciación I (Por Lotes/Batchwise): Adecuada cuando $m$ es grande. Ajusta distribuciones gaussianas a las puntuaciones de los logits para cada lote de forma independiente (inspirado en LiRA) para predecir la inclusión/exclusión.
• Instanciación II (Vector de Signo Conjunto): Adecuada cuando $m$ es pequeño (enumerable). Trata el vector de signo completo como una hipótesis, capturando correlaciones entre lotes, y selecciona el vector con la mayor verosimilitud acumulada.

Contribuciones Clave

1. Diseño de Auditor Práctico: El artículo introduce un meta-algoritmo que extiende las técnicas de auditoría de privacidad diferencial al entorno de desaprendizaje, adaptado específicamente a conjuntos de olvido a nivel de subconjunto en lugar de vecinos de un solo punto.
2. Límites Teóricos: Los autores derivan nuevos límites teóricos (Teorema 4.2) que convierten las puntuaciones de solapamiento empíricas en un límite inferior válido para $\varepsilon$ con un error de Tipo I controlado, específicamente para el caso $\delta=0$.
3. Falsificación Empírica: El marco proporciona una herramienta para falsificar empíricamente las afirmaciones de desaprendizaje. Distingue entre algoritmos con garantías teóricas rigurosas y aquellos que son meramente heurísticos.

Resultados

El auditor fue evaluado en CIFAR-100 (usando un modelo TinyNet) y el conjunto de datos de texto Shakespeare (usando un LSTM). Los experimentos cubrieron tanto algoritmos de desaprendizaje certificados como no certificados.

Separación Nítida entre Métodos Certificados y No Certificados

• Algoritmos Certificados: Los métodos con garantías formales, como Model Clipping (Koloskova et al., 2025) y Rewind-to-Delete (R2D), arrojaron consistentemente valores de $\varepsilon_{LB}$ muy pequeños (a menudo cercanos a 0). Esto indica que la evidencia empírica no falsifica sus garantías teóricas.
• Algoritmos No Certificados/Heurísticos: Los métodos que carecen de garantías formales, incluyendo el desaprendizaje basado en el Hessiano, Ascenso-Descenso Intercalado (IDA), Ascenso sobre el Conjunto de Olvido y el Ajuste Fino Puro sobre el Conjunto de Retención, exhibieron valores de $\varepsilon_{LB}$ grandes, que frecuentemente superan los 50–60.
  • Notablemente, el método basado en el Hessiano (Zhang et al., 2025), que afirma la certificación bajo convexidad, arrojó un $\varepsilon_{LB}$ de 142.5 en CIFAR-100 (un régimen no convexo), demostando que el auditor detectó con éxito el fallo de la precondición del método.
  • El ajuste fino puro y el ascenso sobre el conjunto de olvido mostraron valores igualmente altos, indicando un pobre desempeño de desaprendizaje.

Impacto de las Divisiones de Datos

El estudio observó que las divisiones uniformes (donde el conjunto de olvido y el de retención comparten soporte de características) generalmente resultaron en valores de $\varepsilon_{LB}$ más altos en comparación con las divisiones adversariales (clases de etiquetas disjuntas). Esto sugiere que la memorización residual y la adyacencia semántica en las divisiones uniformes hacen que el desaprendizaje sea más difícil de lograr eficazmente.

Regímenes Convexos vs. No Convexos

En experimentos con pérdidas convexas (cúbica y logística), la brecha entre el $\varepsilon$ certificado y el $\varepsilon_{LB}$ empírico fue mucho menor que en el entorno de aprendizaje profundo no convexo. Esto confirma que el auditor es más ajustado en entornos analíticamente tratables y que los grandes límites observados en el aprendizaje profundo son probablemente debidos a fallos genuinos de desaprendizaje en métodos heurísticos, en lugar de un simple exceso de holgura del auditor.

Significancia y Afirmaciones

El artículo afirma proporcionar la primera herramienta práctica para falsificar empíricamente las garantías de desaprendizaje mediante un marco de prueba de hipótesis. Su principal significancia radica en el valor diagnóstico del auditor:

• Revela que los métodos heurísticos, a menudo utilizados en la práctica por su eficiencia, frecuentemente fallan en eliminar la influencia de los datos, como lo demuestran los altos valores de $\varepsilon_{LB}$.
• Valida que los métodos certificados (cuando sus supuestos se cumplen) mantienen sus garantías incluso bajo un adversario fuerte.
• Destaca la fragilidad de las afirmaciones de certificación que dependen de supuestos (como la convexidad) que pueden no cumplirse en escenarios de aprendizaje profundo del mundo real.

Los autores concluyen que, si bien su análisis está actualmente restringido a $\delta=0$, el auditor propuesto ofrece un estándar riguroso para evaluar la eficacia de los algoritmos de desaprendizaje automático, separando aquellos con garantías genuinas de aquellos que simplemente parecen haber olvidado.