🤖 machine learning

Sequential Subspace Noise Injection Prevents Accuracy Collapse in Certified Unlearning

Cet article introduit l'injection séquentielle de bruit dans les sous-espaces, une méthode qui distribue le bruit à travers des sous-espaces de paramètres orthogonaux afin d'améliorer considérablement la précision de l'oubli certifié tout en maintenant des garanties rigoureuses de confidentialité différentielle.

Auteurs originaux : Polina Dolgova, Sebastian U. Stich

Publié 2026-06-01

📖 4 min de lecture☕ Lecture pause café

CC BY 4.0

Auteurs originaux : Polina Dolgova, Sebastian U. Stich

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Le gros problème : l'« gomme » qui efface tout

Imaginez que vous avez un artiste très talentueux (un modèle d'apprentissage automatique) qui a peint un chef-d'œuvre basé sur un ensemble spécifique de photos. Soudain, un client dit : « Je veux que vous oubliiez cette photo spécifique que je vous ai donnée. »

Dans le monde juridique (comme le RGPD), vous ne pouvez pas simplement prétendre que vous avez oublié ; vous devez prouver mathématiquement que la photo a disparu. La méthode standard actuelle pour faire cela est appelée l'Oubli Certifié (Certified Unlearning). Cela fonctionne comme une gomme très agressive. Pour prouver que la photo a disparu, l'algorithme ajoute une quantité massive de « bruit statique » à la mémoire de l'artiste, puis essaie de repeindre le tableau.

Le piège : La méthode actuelle est si agressive qu'elle ne se contente pas d'effacer la mauvaise photo ; elle étale toute la toile. L'artiste oublie tout, y compris les bonnes parties du tableau. Au moment où l'on essaie de réparer le tableau, les couleurs sont si boueuses que l'image est ruinée (c'est ce qu'on appelle l'« effondrement de la précision » ou accuracy collapse).

La solution : La stratégie du « bloc par bloc »

Les auteurs proposent une nouvelle méthode appelée Affinage Bruité par Blocs (Block-wise Noisy Fine-Tuning). Au lieu d'étaler toute la toile d'un coup, ils décomposent le tableau en petits blocs séparés (comme une grille de carreaux).

Voici comment leur méthode fonctionne, en utilisant une analogie simple :

L'ancienne méthode (le marteau-pilon) : Imaginez que vous essayez de retirer une tache spécifique d'une immense tapisserie en frappant sur toute la tapisserie avec un marteau-pilon. Vous finirez peut-être par enlever la tache, mais vous aurez aussi fait des trous dans l'ensemble de l'ouvrage.
La nouvelle méthode (le scalpel) : Les auteurs suggèrent de traiter la tapisserie comme un puzzle. Ils recouvrent l'ensemble avec une grille.
- Ils choisissent un seul carreau (un bloc de la mémoire du modèle).
- Ils appliquent le « bruit » (la gomme) uniquement sur ce carreau.
- Ils laissent tous les autres carreaux figés et intacts.
- Ensuite, ils passent au carreau suivant et répètent le processus.

Pourquoi cela aide : Comme ils ne secouent qu'une petite partie du modèle à la fois, le reste du modèle reste stable. Le « bruit » ne submerge pas l'ensemble du système. C'est comme nettoyer une pièce en rangeant un tiroir à la fois, plutôt que de jeter tout le mobilier par la fenêtre en espérant retrouver ses chaussettes plus tard.

Le second problème : La peur du « pire scénario »

L'article souligne également un second problème avec l'ancienne méthode. Les anciennes règles étaient conçues pour fonctionner même si l'artiste partait d'une toile totalement vierge et aléatoire. Cela forçait l'algorithme à supposer le pire scénario possible, nécessitant encore plus de bruit pour être sûr de lui.

Les auteurs ont réalisé qu'en réalité, l'artiste ne part pas de zéro ; il part d'un tableau terminé et doit simplement l'ajuster. Ils ont introduit une nouvelle façon de mesurer la « distance » entre le tableau original et celui sans la mauvaise photo. En utilisant cette mesure réaliste au lieu d'une supposition de « pire scénario », ils peuvent utiliser moins de bruit, gardant ainsi le tableau plus net.

Les résultats : Une page blanche sans ruiner l'art

Les chercheurs ont testé cela sur des tâches de reconnaissance d'images (comme identifier des chats et des chiens sur des photos).

L'ancienne méthode : Lorsqu'ils essayaient de supprimer des données, la précision du modèle chutait de 88 % à moins de 20 %. C'était un désastre.
La nouvelle méthode : En utilisant l'approche « un bloc à la fois », le modèle a réussi à supprimer les données indésirables (prouvant qu'elles avaient disparu) tout en conservant sa capacité à reconnaître les images presque aussi bien que s'il avait été réentraîné de zéro.

L'essentiel à retenir

Ce papier ne se contente pas de dire « nous avons été plus rapides ». Il résout une faille fondamentale où la garantie de sécurité (prouver que les données sont parties) détruisait l'utilité de l'IA.

Ils ont trouvé un moyen d'appliquer le « bruit de sécurité » selon un schéma séquentiel intelligent (bloc par bloc) et avec un point de départ plus réaliste. Cela permet d'« oublier » légalement et mathématiquement des données spécifiques sans détruire le cerveau de l'IA dans le processus. Cela comble le fossé entre la sécurité juridique stricte et une technologie pratique et fonctionnelle.

Résumé technique : Injection de bruit par sous-espaces séquentiels pour l'oubli certifié

Énoncé du problème

L'oubli de données (machine unlearning) vise à supprimer l'influence de données d'entraînement spécifiques d'un modèle entraîné afin de se conformer à des réglementations telles que le RGPD ou pour supprimer des informations sensibles. Bien que le réentraînement à partir de zéro soit la méthode de référence, il est souvent trop coûteux en termes de calcul. Les méthodes d'oubli certifié, particulièrement celles basées sur la confidentialité différentielle (Differential Privacy - DP), offrent des garanties formelles de suppression de données mais souffrent d'une limitation pratique critique : l'effondrement de la précision (accuracy collapse).

Les approches actuelles, telles que le Noisy Fine-Tuning (NFT) avec écrêtage de gradient (gradient clipping), injectent du bruit gaussien pour satisfaire les garanties d'oubli $(\epsilon, \delta)$ . Cependant, dans les réseaux profonds sur-paramétrés, le bruit requis pour certifier l'oubli est souvent assez important pour dominer le signal de gradient sur l'ensemble des paramètres simultanément. Les résultats empiriques montrent que le NFT standard peut provoquer une chute brutale de la précision de test (par exemple, de 88 % à moins de 20 % sur CIFAR-10) et ne parvient même pas à la récupérer après un fine-tuning ultérieur. Cela crée une tension entre le maintien de garanties formelles rigoureuses et la préservation de l'utilité du modèle.

Méthodologie

Les auteurs proposent le Block-wise Noisy Fine-Tuning (Block-wise NFT), une modification du cadre NFT standard conçue pour atténuer l'effondrement de la précision tout en conservant les garanties de certification formelles. La méthode répond à deux goulots d'étranglement spécifiques des analyses d'oubli certifié existantes :

1. Injection de bruit par sous-espaces séquentiels

Le NFT standard injecte du bruit dans tout l'espace des paramètres à chaque étape. Les auteurs observent que pour les modèles de haute dimension, la norme $\ell_2$ du vecteur de bruit ( $\sigma\sqrt{d}$ ) submerge les mises à jour de gradients écrêtés.

Approche : L'espace des paramètres $\mathbb{R}^d$ est partitionné en $k$ sous-espaces mutuellement orthogonaux (blocs).
Mécanisme : Au lieu de mettre à jour tous les paramètres, l'algorithme met à jour séquentiellement un bloc à la fois. Pendant la mise à jour d'un bloc spécifique, le bruit est injecté uniquement dans ce sous-espace, tandis que tous les autres paramètres sont gelés.
Avantage : Cela redistribue le même budget de bruit certifié au fil du temps et sur des sous-espaces de dimension inférieure. En restreignant les perturbations à une fraction ( $1/k$ ) des coordonnées par étape, la distorsion par étape est considérablement réduite, empêchant le bruit de dominer le signal d'entraînement.

2. Calibrage basé sur la proximité ( $\Delta(\rho)$ )

Les analyses de NFT standard reposent souvent sur des rayons d'écrêtage de modèles au pire cas ( $C_0$ ) pour gérer des initialisations arbitraires, ce qui conduit à des exigences de bruit excessivement conservatrices.

Approche : Les auteurs remplacent l'hypothèse d'initialisation du pire cas par un paramètre de proximité à haute probabilité, $\Delta(\rho)$ . Ce paramètre limite la distance entre le modèle entièrement entraîné (sur l'ensemble des données) et le modèle réentraîné (sur l'ensemble des données conservées) sous un couplage de l'aléa fixe.
Mécanisme : En calibrant le bruit et l'écrêtage sur la distance réelle $\Delta(\rho)$ plutôt que sur un diamètre du pire cas, la variance du bruit requise est réduite.
Avantage : Cela produit un certificat adapté à la comparaison de réentraînement spécifique, évitant le pessimisme des bornes agnostiques à l'entraînement.

Aperçu de l'algorithme

L'algorithme Block-wise NFT procède comme suit :

Partitionnement : Décomposition des poids du modèle en $k$ blocs orthogonaux.
Mises à jour séquentielles : Pour chaque bloc $i$ $i$ :
- Geler tous les paramètres sauf le bloc $i$ .
- Appliquer le fine-tuning bruité au bloc $i$ en utilisant la variance de bruit calibrée $\sigma^2$ et le nombre d'étapes $T$ dérivés de $\Delta(\rho)$ .
- Aucun écrêtage initial du pire cas ( $C_0$ ) n'est appliqué ; seule la borne basée sur la proximité est utilisée.
Finalisation : Après que tous les blocs ont été mis à jour séquentiellement, effectuer un fine-tuning standard sur le modèle complet pour récupérer l'utilité.

Contributions clés

Méthode : Introduction du Block-wise NFT, qui applique des mises à jour bruitées certifiées de manière séquentielle à travers des blocs de paramètres orthogonaux. Cela réduit la distorsion par étape tout en assurant une couverture complète des paramètres sur le calendrier d'oubli.
Certification : Extension de l'analyse de certification du NFT au calendrier par blocs (block-wise). Les auteurs prouvent que le même budget de confidentialité $(\epsilon, \delta)$ est conservé. Ils formalisent également le remplacement de l'écrêtage du pire cas par le paramètre de proximité $\Delta(\rho)$ .
Insight théorique : Identification d'un « goulot d'étranglement formel » où la certification agnostique à l'entraînement et basée sur le pire cas crée une tension entre utilité et efficacité. Les auteurs démontent que maintenir une utilité élevée en moins d'étapes que le réentraînement est impossible sous l'indistinguabilité agnostique à l'initialisation, motivant le passage aux formulations basées sur la proximité.
Validation empirique : Démonstration que le Block-wise NFT empêche l'effondrement de la précision sur les benchmarks MNIST et CIFAR-10 (en utilisant ResNet-18 et ViT-Tiny) tant pour les suppressions aléatoires que par classe, tout en restant robuste aux attaques d'inférence d'appartenance (MIA).

Résultats expérimentaux

L'article évalue le Block-wise NFT par rapport au NFT standard, au réentraînement à partir de zéro et à diverses lignes de base d'oubli empiriques (non certifiées).

Récupération de la précision : Sur CIFAR-10 avec ViT-Tiny, le NFT standard fait chuter la précision en dessous de 20 % et ne parvient pas à la récupérer. En revanche, le Block-wise NFT maintient une précision nettement plus élevée pendant la phase d'oubli et récupère un niveau proche du réentraînement après le fine-tuning.
Garanties de confidentialité : La méthode atteint 100 % d'Unlearned Accuracy (UA) et 100 % de scores MIA (indiquant aucune fuite), égalant les performances du réentraînement à partir de zéro sur ces métriques.
Efficacité : Le Block-wise NFT est efficace sur le plan computationnel, avec des temps d'exécution comparables au NFT standard et nettement inférieurs au réentraînement à partir de zéro.
Robustesse : La méthode reste efficace à travers différentes tailles de blocs ( $k$ ) et stratégies de construction de blocs (aléatoire vs par couche), montrant que les gains ne sont pas hautement sensibles à la partition spécifique.

Signification et affirmations

L'article affirme que le Block-wise NFT comble le fossé entre les garanties formelles rigoureuses et l'utilité pratique de l'oubli certifié.

Atténuation de l'effondrement de la précision : La contribution principale est de démontrer que la dégradation sévère de la précision associée au l'oubli inspiré de la DP n'est pas une limitation inhérente à l'oubli certifié, mais une conséquence de choix de conception spécifiques (injection de bruit dans l'espace complet et écrêtage du pire cas).
Viabilité pratique : En utilisant l'injection de sous-espaces séquentiels et le calibrage de proximité, la méthode rend l'oubli certifié substantiellement moins destructeur dans les régimes étudiés.
Limites et portée : Les auteurs sont modestes quant à la généralité de leurs affirmations. Ils notent que le calibrage de $\Delta(\rho)$ est empirique et spécifique à la classe de modèle et au pipeline d'entraînement. Ils soulignent que leurs garanties sont conditionnelles au cadre de certification et à la procédure de calibrage énoncés, et que la méthode ne prétend pas être une solution universelle pour tous les scénarios d'oubli sans un calibrage approprié.

En résumé, ce travail soutient que l'oubli certifié peut devenir pratique pour les grands modèles en s'éloignant de l'injection de bruit globale et du pire cas pour se diriger vers des mises à jour séquentielles structurées qui respectent la proximité réelle des modèles impliqués dans le processus d'oubli.