🤖 machine learning

Exact Unlearning from Proxies Induces Closeness Guarantees on Approximate Unlearning

Ce papier propose un cadre novateur d'oubli machine qui déplace l'accent des mises à jour de paramètres vers l'inférence précise de la distribution des données, garantissant théoriquement et démontrant empiriquement que le modèle résultant approxime étroitement le modèle idéalement réentraîné.

Auteurs originaux : Virgile Dine, Teddy Furon

Publié 2026-05-12

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Virgile Dine, Teddy Furon

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous avez un étudiant très intelligent (un réseau de neurones) qui a étudié une bibliothèque massive de livres (données d'entraînement) pour devenir un expert. Soudain, une loi stipule : « Vous devez oublier tout ce que vous avez appris dans ces 10 livres spécifiques. »

Habituellement, pour oublier, l'étudiant doit fermer la bibliothèque, jeter ces 10 livres et réétudier l'ensemble de la bibliothèque depuis le début. C'est lent, coûteux et gaspilleur.

Les méthodes « approximatives » actuelles tentent d'être des raccourcis astucieux. Elles disent à l'étudiant : « Désapprenez simplement ces livres spécifiques ! » Mais elles le font en devinant et en ajustant le cerveau de l'étudiant un peu à la fois. Souvent, ils se trompent, oublient trop (ou pas assez), et personne ne sait vraiment si l'étudiant a vraiment oublié ou s'il fait semblant.

Ce papier propose une façon complètement différente de penser l'oubli.

L'idée centrale : La « Carte » vs le « Cerveau »

Les auteurs soutiennent que, au lieu de simplement ajuster le cerveau de l'étudiant (les paramètres du réseau de neurones), nous devrions examiner la carte de la bibliothèque (la distribution des données).

Le problème des méthodes actuelles : Imaginez essayer d'effacer une tache d'une peinture complexe en frottant simplement la toile. Vous pourriez manquer la tache ou gâcher tout le tableau. Les méthodes actuelles sont comme ce frottement : elles sont désordonnées, itératives et manquent de signal d'arrêt clair.
La nouvelle approche : Au lieu de frotter, les auteurs disent : « Construisons une carte mathématique parfaite de ce à quoi ressemblait la bibliothèque avant l'ajout des 10 livres, et de ce à quoi elle ressemble après. »

Comment cela fonctionne : L'analogie du « Proxy »

Le papier introduit un concept appelé Proxies. Imaginez un proxy comme un croquis mathématique simplifié des données.

Étape 1 : Dessinez les cartes. Les auteurs créent deux croquis mathématiques (proxies) :
- Carte A : Un croquis de la bibliothèque entière (y compris les livres à oublier).
- Carte B : Un croquis de la bibliothèque sans les livres à oublier.
Étape 2 : Trouvez la différence. Ils calculent la différence exacte entre la Carte A et la Carte B. Cette différence est le « Signal de désapprentissage ». C'est une instruction précise indiquant exactement comment les connaissances de l'étudiant doivent évoluer pour éliminer l'influence de ces 10 livres.
Étape 3 : La « Distillation » (Le transfert). Maintenant, ils prennent l'étudiant original (le réseau de neurones) et utilisent une technique appelée distillation. Imaginez un enseignant (la carte mathématique) guidant l'étudiant pour ajuster ses réponses afin de correspondre à la version « Carte B ». L'étudiant n'a pas besoin de réapprendre toute la bibliothèque ; il doit simplement modifier sa compréhension en fonction de la différence précise calculée par la carte.

L'astuce de la « Double Étiquette »

L'une des astuces les plus ingénieuses du papier s'appelle « Doubler les Étiquettes ».

Imaginez que la bibliothèque possède une section pour les « Animaux ». À l'intérieur, il y a des chiens et des chats. Si vous voulez oublier les « chiens », mais que l'étudiant a appris que les chiens et les chats se ressemblent beaucoup, il est difficile de simplement supprimer les « chiens » sans perturber les « chats ».

La méthode des auteurs crée une nouvelle carte étendue où chaque livre est étiqueté non seulement par sa catégorie (par exemple, « Chien »), mais aussi par son statut (par exemple, « Chien-Conserver » ou « Chien-Oublier »). En traitant « Chien-Conserver » et « Chien-Oublier » comme deux catégories complètement différentes dans leur carte mathématique, ils peuvent calculer précisément comment supprimer la partie « Oublier » tout en gardant la partie « Conserver » parfaitement intacte. C'est comme avoir un surligneur spécial qui retire uniquement l'encre « Oublier » sans tacher l'encre « Conserver ».

Pourquoi c'est mieux (Les résultats)

Le papier affirme que cette méthode est supérieure pour trois raisons principales :

C'est un raccourci vers le « Standard Or » : Le « Standard Or » consiste à réentraîner l'étudiant depuis le début. Les auteurs prouvent mathématiquement que leur méthode s'approche beaucoup plus de cet étudiant « réentraîné » parfait que les autres méthodes de raccourci.
Plus de devinettes : Parce qu'ils utilisent des cartes mathématiques, ils peuvent calculer une « zone de sécurité » pour déterminer combien modifier le cerveau de l'étudiant. Ils n'ont pas besoin de deviner quand s'arrêter ; les mathématiques leur indiquent exactement quand le travail est terminé.
Cela fonctionne sur les « sous-classes » : C'est le scénario le plus difficile. Si vous voulez oublier les « Golden Retrievers » mais garder les « Labradors » (tous deux sont des chiens), la plupart des méthodes échouent et oublient soit tous les chiens, soit aucun. Cette méthode, utilisant l'astuce de la « Double Étiquette », oublie avec succès uniquement les Golden Retrievers tout en gardant les Labradors intacts.

La conclusion

Au lieu de frotter aveuglément un réseau de neurones pour le faire oublier, ce papier suggère de construire un plan mathématique précis de l'apparence des données avec et sans les informations indésirables. En calculant la différence exacte entre ces plans, ils peuvent guider le réseau de neurones vers un « désapprentissage » avec une précision chirurgicale, obtenant des résultats presque aussi bons qu'un départ à zéro, mais en une fraction du temps.

Ils appellent cela « Désapprentissage Exact à partir de Proxies », et leurs expériences montrent qu'il surpasse constamment les méthodes actuelles de l'état de l'art, en particulier dans des situations délicates où les données à oublier sont étroitement mélangées aux données à conserver.

Résumé Technique : L'Effacement Exact à partir de Proxys Induit des Garanties de Proximité sur l'Effacement Approximatif

Énoncé du Problème

L'effacement machine vise à supprimer l'influence de données d'entraînement spécifiques (l'« ensemble d'oubli », $D_f$ ) d'un classifieur entraîné, sans réentraîner le modèle à partir de zéro sur les données restantes (l'« ensemble de rétention », $D_r$ ). Bien que l'effacement exact soit la référence absolue, il est souvent prohibitif sur le plan computationnel pour les grands réseaux profonds. Les méthodes approximatives actuelles, principalement basées sur des mises à jour de gradient du premier ordre (par exemple, l'ascension de gradient sur l'ensemble d'oubli), souffrent de plusieurs limitations :

Manque d'interprétabilité : Elles reposent sur des trajectoires d'optimisation qui n'offrent pas de caractérisation sous forme close du déplacement prédictif résultant en termes de distributions de données.
Instabilité : Les mises à jour itératives manquent souvent de critères d'arrêt clairs, conduisant à un sur-effacement ou à un oubli catastrophique.
Lacunes d'évaluation : Les performances sont fréquemment évaluées par des attaques par inférence d'appartenance (AIA) ou des métriques de précision, qui peuvent ne pas refléter avec précision la distance statistique par rapport au modèle réentraîné idéal.
Sous-optimalité : Les bornes théoriques existantes dépendent souvent des propriétés des réseaux de neurones (par exemple, approximations de l'Hessienne) plutôt que de la qualité des modèles de distribution de données sous-jacents.

Méthodologie

L'article propose un changement de paradigme : au lieu de mettre à jour directement les poids du réseau via des gradients, les auteurs modélisent le signal d'effacement exact comme un déplacement dans l'espace des logits dérivé de modèles mathématiques explicites des distributions de données.

1. Le Signal d'Effacement comme Déplacement de Logits

L'idée centrale est de définir la cible d'effacement non pas par un chemin d'optimisation, mais par la différence entre les distributions a posteriori de l'ensemble de rétention et du jeu de données original.

Soit $P$ la vraie distribution des données originales et $P_r$ la vraie distribution de l'ensemble de rétention.
Les auteurs introduisent des proxys paramétriques ( $\bar{P}$ et $\bar{P}_r$ ) pour modéliser les distributions conditionnelles par classe $P(X|Y)$ et $P_r(X|Y)$ .
Ces proxys induisent des distributions a posteriori et des vecteurs de logits associés $M(x)$ et $M_r(x)$ .
Le signal d'effacement est défini comme le déplacement $\Delta M(x) = M_r(x) - M(x)$ .
Les logits du modèle effacé sont construits comme une combinaison linéaire : $\tilde{f}_\eta(x) = f_\theta(x) + \eta \Delta M(x)$ , où $\eta$ est un facteur d'échelle.

2. Cadre Théorique et Garanties

L'article établit des bornes théoriques sur la divergence de Kullback-Leibler (KL) entre le modèle effacé et le modèle réentraîné idéal ( $P_r$ ).

Critère d'Admissibilité : Une paire de proxys est « admissible » si le proxy initial $\bar{P}$ est une meilleure approximation de la vraie distribution $P$ que le proxy de rétention $\bar{P}_r$ ne l'est de $P_r$ . Il s'agit d'une condition vérifiable.
Régime de Sécurité ( $\eta_{max}$ ) : Les auteurs prouvent l'existence d'un facteur d'échelle maximal $\eta_{max}$ tel que pour tout $\eta \in [0, \eta_{max}]$ , le processus d'effacement diminue strictement la divergence KL par rapport au modèle idéal, à condition que le critère d'admissibilité soit respecté.
Bornes : La Proposition 1 fournit une borne serrée sur la divergence KL, montrant que l'erreur dépend de la divergence initiale et du « déplacement de modélisation » (la différence dans la façon dont les proxys modélisent leurs cibles respectives). La Proposition 2 offre une borne intuitive reliant l'erreur à la qualité de la modélisation conditionnelle par classe.

3. Construction des Proxys

L'article explore plusieurs familles de proxys pour approximer la structure des données :

Modèles Naïfs : LDA (Analyse Discriminante Linéaire) et QDA (Analyse Discriminante Quadratique) standards traitant l'ensemble du jeu de données comme une distribution unique par classe.
Modèles de Mélange (LDA-Mix, QDA-Mix) : Modélisant la distribution originale comme un mélange de sous-populations de rétention et d'oubli au sein de chaque classe.
Doublement des Étiquettes (LDA-2C, DIR-2C) : Une approche novatrice où l'espace des étiquettes est doublé en $(y, s)$ $(y, s)$ , où $s \in \{rétention, oubli\}$ $s \in {r \overset{e}{ˊ} t e n t i o n, o u b l i}$ . Cela permet au modèle de capturer intrinsèquement le chevauchement entre les distributions de rétention et d'oubli, et d'estimer la probabilité qu'un échantillon appartienne à l'ensemble d'oubli.
- DIR-2C : Utilise des distributions de Dirac empiriques sur l'espace des étiquettes doublé. Bien que l'application directe soit agressive, elle sert de « professeur » puissant pour l'étape de distillation.

4. Implémentation par Distillation

Le déplacement de logits construit $\eta_{max} \Delta M(x)$ est implémenté dans le réseau de neurones par distillation de connaissances. Le réseau original $f_\theta$ agit comme un étudiant, entraîné pour minimiser la divergence KL entre sa sortie et les logits cibles $\tilde{f}_{\eta_{max}}$ . Cette étape traduit la correction distributionnelle sous forme close en paramètres du réseau.

Contributions Clés

Signal d'Effacement Exact via Proxys : L'article introduit un signal d'effacement sous forme close et interprétable, dérivé de modèles mathématiques explicites des distributions de données, plutôt que de trajectoires de gradient.
Garanties Théoriques : Il fournit des critères d'admissibilité vérifiables et des bornes théoriques serrées sur la divergence KL par rapport au modèle réentraîné idéal, reliant directement la performance d'effacement à la qualité des proxys de données.
Proxys à Grain Fin : Il propose des techniques de modélisation spécifiques (modèles de mélange et doublement des étiquettes) qui apprennent les dépendances d'appartenance à partir de la structure des données. Notamment, LDA-2C et DIR-2C émergent comme des méthodes efficaces pour capturer la structure intra-classe.
Borne de Stein pour l'Évaluation : L'article propose d'utiliser la divergence KL pour dériver une « borne de Stein » sur le nombre de requêtes nécessaires à un attaquant pour distinguer le modèle effacé du modèle réentraîné, offrant une alternative plus stable et interprétable aux Attaques par Inférence d'Appartenance empiriques.

Résultats Expérimentaux

La méthode a été évaluée sur CIFAR-10 et CIFAR-100 à travers trois scénarios d'oubli :

Aléatoire : Oubli d'échantillons aléatoires.
Classe : Oubli d'une classe entière.
Sous-classe : Oubli d'un sous-ensemble d'une classe (par exemple, les « avions » au sein des « véhicules »), ce qui est noté comme le scénario le plus difficile et réaliste où les bases de référence par ascension de gradient échouent souvent.

Constats :

Proximité à l'Idéal : Les méthodes proposées (spécifiquement LDA-2C et DIR-2C) ont systématiquement produit des modèles effacés les plus proches du modèle réentraîné idéal ( $p_{\theta_r}$ ) en termes de divergence KL ( $KL_t$ et $KL_f$ ), surpassant les bases de référence de l'état de l'art telles que SCRUB, SalUn et GA+FT.
Stabilité : Contrairement aux bases de référence itératives qui ont montré des trajectoires instables ou un oubli catastrophique (par exemple, SalUn réduisant la précision sur l'oubli à près de zéro), la méthode proposée a convergé rapidement et de manière stable.
Efficacité : Les méthodes ont atteint ces résultats avec une efficacité de temps d'exécution (RTE) d'environ 5 % du temps requis pour un réentraînement complet.
Efficacité des Proxys : Les proxys de « Doublement des Étiquettes » (LDA-2C, DIR-2C) ont généralement surpassé les modèles de mélange standards, en particulier dans le scénario de Sous-classe, en capturant mieux le chevauchement distributionnel entre les ensembles de rétention et d'oubli.

Signification et Revendications

L'article revendique que son cadre offre un changement de paradigme en ancrant l'effacement machine dans la structure des distributions de données plutôt que dans les mises à jour de paramètres des réseaux de neurones.

Validité : Les bornes théoriques démontrent que si les proxys sont suffisamment précis (vérifiable via le critère d'admissibilité), le processus d'effacement garantit de rapprocher le modèle de l'état réentraîné idéal.
Interprétabilité : La méthode fournit une décomposition sous forme close de l'erreur d'effacement, s'éloignant du caractère « boîte noire » des mises à jour de gradient itératives.
Praticité : En utilisant la distillation, la méthode peut être appliquée à des réseaux en boîte noire qui sortent des logits, la rendant polyvalente.
Limitations : Les auteurs reconnaissent modestement des limitations, notamment l'hypothèse que l'ensemble de rétention $D_r$ est disponible pour ajuster le proxy $P_r$ , un éventuel mauvais conditionnement dans les espaces de caractéristiques de haute dimension (atténué par une réduction de dimension), et le fait que le critère d'admissibilité est vérifié empiriquement sur le modèle initial plutôt que sur la vraie distribution.

En résumé, l'article soutient que en modélisant explicitement la distribution de données, on peut dériver un signal d'effacement exact qui, une fois distillé dans un réseau, produit un modèle statistiquement indiscernable d'un modèle réentraîné à partir de zéro, avec des garanties prouvées et une performance empirique supérieure.