Riepilogo Tecnico: Iniezione di Rumore in Sottospazi Sequenziali per l'Unlearning Certificato

Definizione del Problema

L'unlearning delle macchine mira a rimuovere l'influenza di specifici dati di addestramento da un modello addestrato per conformarsi a normative come il GDPR o per rimuovere informazioni sensibili. Sebbene il riaddestramento da zero sia il gold standard, esso è spesso computazionalmente proibitivo. I metodi di unlearning certificato, in particolare quelli basati sulla Privacy Differenziale (DP), offrono garanzie formali di rimozione dei dati ma soffrono di un limite pratico critico: il collasso dell'accuratezza.

Gli approcci attuali, come il Noisy Fine-Tuning (NFT) con clipping del gradiente, iniettano rumore Gaussiano per soddisfare le garanzie di $(\epsilon, \delta)$-unlearning. Tuttavia, nelle reti profonde sovra-parametrizzate, il rumore necessario per certificare l'unlearning è spesso sufficientemente grande da dominare il segnale del gradiente su tutti i parametri simultaneamente. I risultati empirici mostrano che l'NFT standard può causare un calo drastico dell'accuratezza del test (ad esempio, dall'88% a meno del 20% su CIFAR-10) e non riesce a recuperare nemmeno dopo un successivo fine-tuning. Ciò crea una tensione tra il mantenimento di rigorose garanzie formali e la preservazione dell'utilità del modello.

Metodologia

Gli autori propongono il Block-wise Noisy Fine-Tuning (Block-wise NFT), una modifica al framework NFT standard progettata per mitigare il collasso dell'accuratezza pur mantenendo le garanzie formali certificate. Il metodo affronta due colli di bottiglia specifici nelle analisi dell'unlearning certificato esistenti:

1. Iniezione di Rumore in Sottospazi Sequenziali

L'NFT standard inietta rumore nell'intero spazio dei parametri ad ogni step. Gli autori osservano che per modelli ad alta dimensionalità, la norma $\ell_2$ del vettore del rumore ($\sigma\sqrt{d}$) sovrasta gli aggiornamenti del gradiente con clipping.

• Approccio: Lo spazio dei parametri $\mathbb{R}^d$ è partizionato in $k$ sottospazi mutuamente ortogonali (blocchi).
• Meccanismo: Inveve di aggiornare tutti i parametri, l'algoritmo aggiorna sequenzialmente un blocco alla volta. Durante l'aggiornamento di un determinato blocco, il rumore viene iniettato solo in quel sottospazio, mentre tutti gli altri parametri sono congelati.
• Beneficio: Questo ridistribuisce lo stesso budget di rumore certificato nel tempo e attraverso sottospazi a dimensionalità inferiore. Limitando le perturbazioni a una frazione ($1/k$) delle coordinate per step, la distorsione per singolo step è significativamente ridotta, impedendo al rumore di dominare il segnale di addestramento.

2. Calibrazione Basata sulla Prossimità ($\Delta(\rho)$)

Le analisi NFT standard spesso si affidano a raggi di clipping del modello ($C_0$) nel caso peggiore per gestire inizializzazioni arbitrarie, il che porta a requisiti di rumore eccessivamente conservativi.

• Approccio: Gli autori sostituiscono l'assunzione di inizializzazione nel caso peggiore con un parametro di prossimità ad alta probabilità, $\Delta(\rho)$. Questo parametro limita la distanza tra il modello completamente addestrato (sul dataset completo) e il modello riaddestrato (sul dataset trattenuto) sotto un accoppiamento di casualità fissato.
• Meccanismo: Calibrando il rumore e il clipping sulla base della distanza effettiva $\Delta(\rho)$ piuttosto che su un diametro del caso peggiore, la varianza del rumore richiesta viene ridotta.
• Beneficio: Ciò produce un certificato su misura per il confronto di riaddestramento specifico, evitando il pessimismo dei limiti agnostici rispetto all'addestramento del caso peggiore.

Panoramica dell'Algoritmo

L'algoritmo Block-wise NFT procede come segue:

1. Partizionamento: Decompone i pesi del modello in $k$ blocchi ortogonali.
2. Aggiornamenti Sequenziali: Per ogni blocco $i$:
   • Congela tutti i parametri eccetto il blocco $i$.
   • Applica il noisy fine-tuning al blocco $i$ utilizzando la varianza del rumore calibrata $\sigma^2$ e il numero di step $T$ derivati da $\Delta(\rho)$.
   • Non viene applicato alcun clipping iniziale nel caso peggiore ($C_0$); viene utilizzato solo il limite basato sulla prossimità.
3. Finalizzazione: Dopo che tutti i blocchi sono stati aggiornati sequenzialmente, esegue il fine-tuning standard sull'intero modello per recuperare l'utilità.

Contributi Chiave

1. Metodo: Introduzione del Block-wise NFT, che applica aggiornamenti rumorosi certificati sequenzialmente attraverso blocchi di parametri ortogonali. Ciò riduce la distorsione per step garantendo al contempo la copertura completa dei parametri durante lo schema di unlearning.
2. Certificazione: Estensione dell'analisi di certificazione NFT allo schema block-wise. Gli autori dimostrano che lo stesso budget di privacy $(\epsilon, \delta)$ viene mantenuto. Hanno inoltre formalizzato la sostituzione del clipping del modello nel caso peggiore con il parametro di prossimità $\Delta(\rho)$.
3. Insight Teorico: Identificazione di un "Collo di Bottiglia Formale" dove la certificazione agnostica rispetto all'addestramento e basata sul caso peggiore crea una tensione tra utilità ed efficienza. Gli autori dimostrano che mantenere un'alta utilità in meno step rispetto al riaddestramento è impossibile sotto l'indistinguibilità agnostica rispetto all'inizializzazione, motivando il passaggio a formulazioni basate sulla prossimità.
4. Validazione Empirica: Dimostrazione che il Block-wise NFT previene il collasso dell'accuratezza su benchmark MNIST e CIFAR-10 (usando ResNet-18 e ViT-Tiny) sia in caso di cancellazioni casuali che per classe, rimanendo robusto agli attacchi di inferenza sull'appartenenza (MIA).

Risultati Sperimentali

Il paper valuta il Block-wise NFT rispetto all'NFT standard, al riaddestramento da zero e a vari baseline di unlearning empiriche (non certificate).

• Recupero dell'Accuratezza: Su CIFAR-10 con ViT-Tiny, l'NFT standard fa scendere l'accuratezza sotto il 20% e non riesce a recuperare. Al contrario, il Block-wise NFT mantiene un'accuratezza significativamente più alta durante la fase di unlearning e recupera livelli vicini al riaddestramento dopo il fine-tuning.
• Garanzie di Privacy: Il metodo raggiunge il 100% di Unlearned Accuracy (UA) e il 100% di punteggi MIA (indicando assenza di leakage), eguagliando le prestazioni del riaddestramento da zero su queste metriche.
• Efficienza: Il Block-wise NFT è computazionalmente efficiente, con tempi di esecuzione comparabili all'NFT standard e significativamente inferiori rispetto al riaddestramento da zero.
• Robustezza: Il metodo rimane efficace attraverso diverse dimensioni dei blocchi ($k$) e strategie di costruzione dei blocchi (casuale vs layer-wise), dimostrando che i guadagni non sono altamente sensibili alla specifica partizione.

Significato e Rivendicazioni

Il paper sostiene che il Block-wise NFT colma il divario tra rigorose garanzie formali e utilità pratica nell'unlearning certificato.

• Mitigazione del Collasso dell'Accuratezza: Il contributo principale è dimostrare che il grave degrado dell'accuratezza associato all'unlearning ispirato alla DP non è un limite intrinseco dell'unlearning certificato, ma una conseguenza di scelte di progettazione specifiche (iniezione di rumore nello spazio totale e clipping del caso peggiore).
• Viabilità Pratica: Utilizzando l'iniezione di sottospazio sequenziale e la calibrazione della prossimità, il metodo rende l'unlearning certificato sostanzialmente meno distruttivo nei regimi studiati.
• Limitazioni e Ambito: Gli autori sono modesti riguardo alla generalità delle loro affermazioni. Notano che la calibrazione di $\Delta(\rho)$ è empirica e specifica per la classe di modello e la pipeline di addestramento. Sottolineano che le loro garanzie sono condizionate al setting di certificazione dichiarato e alla procedura di calibrazione, e che il metodo non pretende di essere una soluzione universale per tutti gli scenari di unlearning senza una corretta calibrazione.

In sintesi, il lavoro sostiene che l'unlearning certificato può diventare pratico per i grandi modelli passando dall'iniezione di rumore globale e del caso peggiore verso aggiornamenti strutturati e sequenziali che rispettano la reale prossimità dei modelli coinvolti nel processo di unlearning.