🤖 machine learning

Auditing of Unlearning Algorithms

यह शोध पत्र एक व्यावहारिक ऑडिटिंग फ्रेमवर्क प्रस्तुत करता है जो अनलर्निंग गारंटी (unlearning guarantees) पर डेटा-निर्भर निचली सीमाओं की गणना करने के लिए मेंबरशिप इन्फरेंस हमलों का उपयोग करता है, जो एक तीव्र प्रदर्शन अंतराल को प्रकट करता है जहाँ कठोरता से प्रमाणित एल्गोरिदम प्रभावी रूप से डेटा प्रभाव को हटा देते हैं जबकि अनुभवजन्य विधियाँ ऐसा करने में विफल रहती हैं।

मूल लेखक: Sahasrajit Sarmasarkar, Anastasia Koloskova, Sanmi Koyejo

प्रकाशित 2026-07-08

📖 4 मिनट में पढ़ें☕ कॉफ़ी ब्रेक में पढ़ें

CC BY 4.0

मूल लेखक: Sahasrajit Sarmasarkar, Anastasia Koloskova, Sanmi Koyejo

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

कल्पना कीजिए कि आपके पास एक विशाल, अत्यंत बुद्धिमान पुस्तकालय (एक मशीन लर्निंग मॉडल) है जिसने कहानियाँ लिखना सीखने के लिए लाखों किताबें पढ़ी हैं। एक दिन, एक विशिष्ट लेखक यह मांग करता है कि उनकी किताब को पुस्तकालय की स्मृति से हटा दिया जाए क्योंकि वे चाहते हैं कि उन्हें "भ भुला दिया जाए।"

समस्या:
सिर्फ किताब को शेल्फ से हटा देना काफी नहीं है। लाइब्रेरियन (AI) ने पहले ही लेखक की शैली, शब्दावली और कथानक के मोड़ों को याद कर लिया है। यदि आप लाइब्रेरियन को एक कहानी लिखने के लिए कहते हैं, तो वे अनजाने में उस लेखक के विशिष्ट वाक्यांशों का उपयोग कर सकते हैं। एक चतुर जासूस (एक एडवर्सरी) लाइब्रेरियन से विशिष्ट प्रश्न पूछकर पता लगा सकता है, "आह, इस लाइब्रेरियन ने निश्चित रूप से वह विशिष्ट पुस्तक पढ़ी थी!"

समाधान (अनलर्निंग/विस्मरण):
इसे ठीक करने के लिए, डेवलपर्स ने "अनलर्निंग एल्गोरिदम" बनाए हैं। ये विशेष प्रक्रियाएं हैं जिन्हें पुस्तकालय की स्मृति को इतनी अच्छी तरह से साफ करने के लिए डिज़ाइन किया गया है कि वह बिल्कुल वैसा व्यवहार करे जैसे वह लेखक की पुस्तक वहां कभी थी ही नहीं। इनमें से कुछ "प्रमाणित" (certified) होते हैं, जिसका अर्थ है कि वे एक गणितीय गारंटी (जैसे एक वारंटी) के साथ आते हैं कि स्मृति वास्तव में मिटा दी गई है। अन्य "ह्यूरिस्टिक" (heuristic) होते हैं, जिसका अर्थ है कि वे वास्तव में भूलने की पूरी कोशिश करते हैं, लेकिन उनके पास कोई औपचारिक गारंटी नहीं होती है।

बड़ा सवाल:
हमें कैसे पता चलेगा कि लाइब्रेरियन वास्तव में भूल गया है? यह शोध पत्र एक नया टूल पेश करता है जिसे ऑडिटर (Auditor) कहा जाता है। इसे AI की स्मृति के लिए एक "झूठ पकड़ने वाले टेस्ट" (Lie Detector Test) के रूप में समझें।

ऑडिटर कैसे काम करता है (जासूसी का खेल):
ऑडिटर, AI के साथ एक अनुमान लगाने वाला खेल खेलता है:

सेटअप: ऑडिटर किताबों का एक बड़ा ढेर लेता है और उन्हें कई छोटे समूहों में विभाजित करता है।
चाल: एक दौर में, ऑडिटर AI को कहता है कि "समूह A" को भूल जाओ। अगले दौर में, वह AI को कहता है कि "समूह B" को भूल जाओ। AI को यह नहीं पता होता कि वास्तव में कौन सा समूह हटाया गया है; वह बस इतना जानता है कि कुछ समूह हटाया गया है।
अनुमान: समूह को हटाने के बाद, ऑडिटर पूछता है: "आपने वास्तव में किस समूह को भुला दिया?"
स्कोर:
- यदि AI अनलर्निंग करने में अच्छा है, तो वह भ्रमित होना चाहिए। वह यह अंतर नहीं बता पाना चाहिए कि "समूह A हटाया गया था" और "समूह B हटाया गया था" के बीच क्या अंतर है। ऑडिटर के अनुमान यादृच्छिक (random) होंगे (जैसे सिक्का उछालना)।
- यदि AI अनलर्निंग करने में बुरा है, तो उसमें अभी भी जानकारी के "लीक" (leaks) मौजूद होंगे। ऑडिटर सही अनुमान लगाने में यादृच्छिक संयोग (random chance) से बेहतर प्रदर्शन करेगा।

"ε" (एप्सिलॉन) स्कोर:
यह शोध पत्र भूलने की स्थिति कितनी खराब है, इसे ε (एप्सिलॉन) नामक संख्या से मापता है।

कम ε: AI वास्तव में भूल रहा है। ऑडिटर यादृच्छिक संयोग से बेहतर अनुमान नहीं लगा सकता। "वारंटी" कायम है।
उच्च ε: AI झूठ बोल रहा है। ऑडिटर आसानी से अनुमान लगा सकता है कि कौन सा डेटा हटाया गया था। "वारंटी" टूट गई है।

शोध पत्र ने क्या पाया:
लेखकों ने इस ऑडिटर का दो प्रकार के पुस्तकालयों पर परीक्षण किया:

"प्रमाणित" (Certified) पुस्तकालय: ये कठोर, गणित-आधारित तरीकों (जैसे शोर जोड़ना या समय को पीछे ले जाना) का उपयोग करते हैं।
- परिणाम: ऑडिटर को लगभग कोई लीक नहीं मिला। ε स्कोर बहुत कम था। ये तरीके वास्तव में वादे के अनुसार काम करते हैं।
"ह्यूरिस्टिक" (Heuristic) पुस्तकालय: ये त्वरित और आसान तरीकों (जैसे शेष पुस्तकों पर फिर से प्रशिक्षण देना या डेटा को दूर धकेलकर "अनलर्न" करने की कोशिश करना) का उपयोग करते हैं।
- परिणाम: ऑडिटर को इसमें भारी लीक्स मिले। ε स्कोर बहुत अधिक था (कभी-कभी 50 या 60!)। इसका मतलब है कि ये तरीके वास्तव में डेटा को भूल नहीं रहे हैं, भले ही वे दावा करते हों कि वे कुशल हैं।

निष्कर्ष:
इस शोध पत्र ने "नकली" अनलर्निंग को उजागर करने के लिए एक व्यावहारिक उपकरण बनाया है। यह दिखाता है कि जहां कुछ जटिल, प्रमाणित तरीके वास्तव में डेटा को हटा देते हैं, वहीं कई लोकप्रिय, तेज़ तरीके केवल भूलने का नाटक कर रहे हैं। यदि आप गोपनीयता की रक्षा के लिए उन तेज़ तरीकों पर भरोसा करते हैं, तो आप मुसीबत में पड़ सकते हैं क्योंकि डेटा अभी भी वहीं है, जो सामने ही छिपा हुआ है।

संक्षेप में: यह शोध पत्र कहता है, "केवल AI पर भरोसा न करें जब वह कहता है कि वह भूल गया है। यह जांचने के लिए हमारे ऑडिटर का उपयोग करें कि क्या वह वास्तव में सच बोल रहा है।"

तकनीकी सारांश: अनलर्निंग एल्गोरिदम का ऑडिटिंग (Auditing of Unlearning Algorithms)

समस्या विवरण (Problem Statement)

मशीन अनलर्निंग (Machine unlearning) का लक्ष्य एक प्रशिक्षित मॉडल से विशिष्ट प्रशिक्षण नमूनों (training samples) के प्रभाव को हटाना है, जिसका आदर्श परिणाम एक ऐसा मॉडल होना चाहिए जो शेष डेटा पर स्क्रैच से पुन: प्रशिक्षित (retrained) किए गए मॉडल के समान ही हो। जबकि सटीक अनलर्निंग (exact unlearning) मजबूत गारंटी प्रदान करती है, यह गहरे नेटवर्क (deep networks) के लिए अक्सर गणनात्मक रूप से निषेधात्मक (computationally prohibitive) होती है। फलस्वरूप, अनुमानित अनलर्निंग विधियाँ (approximate unlearning methods) उभरी हैं, जो ह्यूरिस्टिक दृष्टिकोणों (जैसे कि फorget सेट पर ग्रेडिएंट एसेंट, हेसियन-आधारित स्क्रबिंग) से लेकर प्रमाणित विधियों (certified methods) तक विस्तृत हैं, जो $(\varepsilon, \delta)$ -indistinguishability गारंटी प्रदान करती हैं।

एक महत्वपूर्ण खुला चैलेंज इन दावों का अनुभवजन्य मूल्यांकन (empirical evaluation) करना है। मौजूदा सैद्धांतिक सीमाएँ अक्सर ऐसी धारणाओं (जैसे कि अभिलक्षणता/convexity) पर निर्भर करती हैं जो व्यवहार में लागू नहीं हो सकती हैं, और ऐसे व्यावहारिक उपकरणों की कमी है जो यह सत्यापित कर सकें कि दावा की गई अनलर्निंग गारंटी वास्तव में लागू होती है या नहीं। यह शोध पत्र एक ऑडिटर (auditor) की आवश्यकता को संबोधित करता है जो अनुभवजन्य साक्ष्य का उपयोग करके अनलर्निंग गारंटी का परीक्षण करने के लिए बनाया गया है, जिसका विशेष लक्ष्य इस परिकल्पना को खारिज करना है कि अनलर्निंग पैरामीटर $\varepsilon$ एक निश्चित निचली सीमा ( $\varepsilon < \varepsilon_{LB}$ ) से नीचे है।

कार्यप्रणाली (Methodology)

थ्रेट मॉडल (Threat Model)

लेखक एक मजबूत ब्लैक-बॉक्स एडवरसरी मॉडल (black-box adversary model) अपनाते हैं। एडवरसरी के पास निम्नलिखित का ज्ञान है:

लर्निंग एल्गोरिदम ( $A$ ) और अनलर्निंग एल्गोरिदम ( $U$ )।
डेटा-लोडिंग शफ़लर (रैंडम परम्यूटेशन $\pi$ )।
प्रशिक्षण की शुरुआत में प्रारंभिक मॉडल वेट्स ( $x_0$ )।
एडवरसरी प्रशिक्षण या अनलर्निंग के दौरान विशिष्ट रैंडम रियलाइजेशन (जैसे कि ग्रेडिएंट नॉइज़) को नहीं देख सकता है, और न ही उनके पास एल्गोरिदम की आंतरिक स्थिति (internal state) तक पहुंच है। यह मॉडल मानक परिभाषाओं के सापेक्ष एडवरसरी को मजबूत बनाता है लेकिन 'मॉडल क्लिपिंग' और 'रिवाइंड-टू-डिलीट' (R2D) जैसे प्रमाणित एल्गोरिदम की गारंटियों के अनुरूप है।

ऑडिटर फ्रेमवर्क (The Auditor Framework)

प्रस्तावित ऑडिटर एक हाइपोथेसिस-टेस्टिंग फ्रेमवर्क है जिसे वास्तविक अनलर्निंग पैरामीटर $\varepsilon$ पर एक डेटा-डिपेंडेंट लोअर बाउंड $\varepsilon_{LB}$ की गणना करने के लिए डिज़ाइन किया गया है।

सेटअप: प्रशिक्षण डेटासेट को रिटेन सेट ( $D_r$ ) और फorget सेट ( $D_f$ ) में विभाजित किया जाता है। $D_f$ को $m$ कैंडिडेट बैचों में विभाजित किया गया है।
साइन वेक्टर्स (Sign Vectors): ऑडिटर एक संतुलित साइन वेक्टर $S \in \{\pm 1\}^m$ का नमूना लेता है, जहाँ $+1$ इंगित करता है कि एक बैच प्रशिक्षण सेट में शामिल है (और इस प्रकार अनलर्निंग के अधीन है), और $-1$ इंगित करता है कि इसे बाहर रखा गया है।
निष्पादन (Execution): प्रत्येक रन $\ell$ $ℓ$ के लिए:
- साइन वेक्टर के आधार पर एक ट्रेनिंग सेट $D(S^{(\ell)})$ बनाया जाता है।
- मॉडल को प्रशिक्षित किया जाता है और फिर $f_u^{(\ell)}$ उत्पन्न करने के लिए अनलर्न किया जाता है।
- ऑडिटर $f_u^{(\ell)}$ से साइन वेक्टर $S^{(\ell)}$ की भविष्यवाणी करने का प्रयास करता है।
स्कोरिंग: ऑडिटर एक ओवरलैप स्कोर $V^{(\ell)}$ की गणना करता है, जो सही नॉन-जीरो गेस (जहाँ अनुमानित साइन वास्तविक साइन से मेल खाता है) की संख्या गिनता है।
LDP में रिडक्शन: ऑडिट को लोकल डिफरेंशियल प्राइवेसी (LDP) समस्या में बदला जाता है। यदि अनलर्निंग एल्गोरिदम $(\varepsilon, 0)$ -सर्टिफाइड है, तो ऑडिटर का मैकेनिज्म $(2\varepsilon, 0)$ -LDP सिद्ध होता है।
हाइपोथेसिस टेस्टिंग: कई स्वतंत्र रन में ओवरलैप स्कोर के वितरण का उपयोग करके, ऑडिटर एक लोअर बाउंड $\varepsilon_{LB}$ की गणना करता है। यदि देखा गया ओवरलैप रैंडम गेसिंग से काफी अधिक है, तो शून्य परिकल्पना ( $H_0: \varepsilon \le \varepsilon_{LB}$ ) को खारिज कर दिया जाता है, जो कमजोर अनलर्निंग का संकेत देता है।

ऑडिटर इंस्टेंशिएशंस (Auditor Instantiations)

ऑडिटर मैकेनिज्म $M$ के दो विशिष्ट इंस्टेंशिएशंस प्रस्तावित हैं:

इंस्टेंशिएशन I (बैचवाइज): उपयुक्त जब $m$ बड़ा हो। यह प्रत्येक बैच के लिए लॉगिट स्कोर पर गाऊसी वितरण (Gaussian distributions) को स्वतंत्र रूप से फिट करता है (LiRA से प्रेरित) ताकि समावेश/अपवर्जन की भविष्यवाणी की जा सके।
इंस्टेंशिएशन II (जॉइंट साइन-वेक्टर): उपयुक्त जब $m$ छोटा (गणनीय) हो। यह पूरे साइन वेक्टर को एक हाइपोथिसिस के रूप में मानता है, क्रॉस-बैच सहसंबंधों (cross-batch correlations) को कैप्चर करता है, और उच्चतम संचयी संभावना (cumulative likelihood) वाले वेक्टर का चयन करता है।

मुख्य योगदान (Key Contributions)

व्यावहारिक ऑडिटर डिजाइन: यह शोध पत्र एक मेटा-एल्गोरिदम पेश करता है जो डिफरेंशियल प्राइवेसी ऑडिटिंग तकनीकों को अनलर्निंग सेटिंग में विस्तारित करता है, जो विशेष रूप रूप से सिंगल-पॉइंट नेबर्स के बजाय सबसेट-लेवल फorget सेट्स के लिए अनुकूलित है।
सैद्धांतिक सीमाएँ: लेखक नए सैद्धांतिक बाउंड्स (थ्योरम 4.2) प्राप्त करते हैं जो अनुभवजन्य ओवरलैप स्कोर को नियंत्रित टाइप I एरर के साथ $\varepsilon$ के एक वैध लोअर बाउंड में परिवर्तित करते हैं, विशेष रूप से $\delta=0$ के मामले के लिए।
अनुभवजन्य फाल्सिफिकेशन (Empirical Falsification): फ्रेमवर्क अनलर्निंग गारंटियों को अनुभवजन्य रूप से गलत सिद्ध करने के लिए एक उपकरण प्रदान करता है। यह उन एल्गोरिदम के बीच अंतर करता है जिनमें कठोर सैद्धांतिक गारंटी है और जो केवल ह्यूरिस्टिक हैं।

परिणाम (Results)

ऑ ऑडिटर का मूल्यांकन CIFAR-100 (TinyNet मॉडल का उपयोग करके) और Shakespeare टेक्स्ट डेटासेट (LSTM का उपयोग करके) पर किया गया। प्रयोगों में सर्टिफाइड और अनसर्टिफाइड दोनों प्रकार के अनलर्निंग एल्गोरिदम शामिल थे।

सर्टिफाइड और अनसर्टिफाइड विधियों के बीच स्पष्ट अलगाव

सर्टिफाइड एल्गोरिदम: औपचारिक गारंटी वाली विधियाँ, जैसे कि मॉडल क्लिपिंग (Koloskova et al., 2025) और रिवाइंड-टू-डिलीट (R2D), लगातार बहुत कम $\varepsilon_{LB}$ मान प्रदर्शित करती हैं (अक्सर 0 के करीब)। यह इंगित करता है कि अनुभवजन्य साक्ष्य उनकी सैद्धांतिक गारंटियों को गलत सिद्ध नहीं करते हैं।
अनसर्टिफाइड/ह्यूरिस्टिक एल्गोरिदम: औपचारिक गारंटी की कमी वाली विधियाँ, जिनमें हेसियन-आधारित अनलर्निंग, इंटरलीव्ड एसेंट-डेसेंट (IDA), असेंट ऑन द फorget सेट, और प्योर फाइन-ट्यूनिंग ऑन द रिटेन सेट शामिल हैं, बड़े $\varepsilon_{LB}$ $ε_{L B}$ मान प्रदर्शित करती हैं, जो अक्सर 50–60 से अधिक होते हैं।
- विशेष रूप से, हेसियन-आधारित विधि (Zhang et al., 2025), जो अभिलक्षणता (convexity) के तहत सर्टिफिकेशन का दावा करती है, ने CIFAR-100 (एक नॉन-कॉन्वेक्स रिजीम) पर 142.5 का $\varepsilon_{LB}$ दिया, जो दर्शाता है कि ऑडिटर ने विधि की प्री-कंडीशन की विफलता को सफलतापूर्वक फ्लैग किया है।
- प्योर फाइन-ट्यूनिंग और फorget-सेट एसेंट ने समान रूप से उच्च बाउंड दिखाए, जो खराब अनलर्निंग प्रदर्शन का संकेत देते हैं।

डेटा स्प्लिट्स का प्रभाव

अध्ययन ने देखा कि यूनिफॉर्म स्प्लिट्स (जहाँ फorget और रिटेन सेट्स फीचर सपोर्ट साझा करते हैं) आमतौर पर एडवर्सरियल स्प्लिट्स (विभिन्न लेबल क्लासेस) की तुलना में उच्च $\varepsilon_{LB}$ मानों का परिणाम देते हैं। यह सुझाव देता है कि यूनिफॉर्म स्प्लिट्स में अवशिष्ट मेमोराइजेशन (residual memorization) और सिमेंटिक एडजसेंसी प्रभावी अनलर्निंग को कठिन बनाती है।

कॉनवेक्स बनाम नॉन-कॉन्वेक्स रिजीम

कॉन्वेक्स लॉस (क्यूबिक और लॉजिस्टिक) पर प्रयोगों में, सर्टिफाइड $\varepsilon$ और अनुभवजन्य $\varepsilon_{LB}$ के बीच का अंतर नॉन-कॉन्वेक्स डीप लर्निंग सेटिंग की तुलना में बहुत कम था। यह पुष्टि करता है कि ऑडिटर विश्लेषणात्मक रूप से सुलभ सेटिंग्स में अधिक टाइट है और डीप लर्निंग में देखे गए बड़े बाउंड संभवतः ह्यूरिस्टिक विधियों में वास्तविक अनलर्निंग विफलताओं के कारण हैं, न कि केवल ऑडिटर के ढीलेपन (slack) के कारण।

महत्व और दावे (Significance and Claims)

यह शोध पत्र हाइपोथेसिस-टेस्टिंग फ्रेमवर्क के माध्यम से अनलर्निंग गारंटियों को अनुभवजन्य रूप से गलत सिद्ध करने (empirically falsifying) के लिए पहला व्यावहारिक उपकरण प्रदान करने का दावा करता है। इसका प्राथमिक महत्व ऑडिटर के डायग्नोस्टिक मूल्य में निहित है:

यह उन ह्यूरिस्टिक विधियों को उजागर करता, जिनका उपयोग अक्सर दक्षता के लिए किया जाता है, जो अक्सर डेटा के प्रभाव को हटाने में विफल रहती हैं, जैसा कि उच्च $\varepsilon_{LB}$ मानों से सिद्ध होता है।
यह प्रमाणित करता है कि सर्टिफाइड विधियाँ (जब उनकी धारणाएँ लागू होती हैं) एक मजबूत एडवरसरी के तहत भी अपनी गारंटियों को बनाए रखती हैं।
यह उन सर्टिफिकेशन दावों की नाजुकता को उजागर करता जो ऐसी धारणाओं (जैसे कि अभिलक्षणता/convexity) पर निर्भर करते हैं जो वास्तविक दुनिया के डीप लर्निंग परिदृश्यों में लागू नहीं हो सकती हैं।

लेखक निष्कर्ष निकालते हैं कि हालांकि उनका विश्लेषण वर्तमान में $\delta=0$ तक सीमित है, प्रस्तावित ऑडिटर अनलर्निंग एल्गोरिदम की प्रभावकारिता का मूल्यांकन करने के लिए एक कठोर मानक प्रदान करता है, जो उन एल्गोरिदम को अलग करता है जिनके पास वास्तविक गारंटी है और उन्हें जो केवल भूलने का आभास देते हैं।