Riepilogo Tecnico: Visual-Noise Guided In-Context Distillation per l'Unlearning di Modelli Linguistici Multimodali di Grandi Dimensioni

1. Definizione del Problema

I Modelli Linguistici Multimodali di Grandi Dimensioni (MLLM) hanno raggiunto progressi significativi nei compiti visione-linguaggio, ma pongono sostanziali rischi per la privacy e la sicurezza, avendo involontariamente memorizzato informazioni personali sensibili, contenuti protetti da copyright o conoscenze non sicure. Una volta codificate nei parametri del modello, queste conoscenze possono essere attivate da query visive o testuali durante l'inferenza.

I paradigmi di unlearning esistenti affrontano un compromesso critico:

• Metodi basati sull'addestramento (es. Gradient Ascent, Negative Preference Optimization) aggiornano i parametri del modello per rimuovere la conoscenza, ma spesso degradano l'utilità e le capacità generali del modello.
• Metodi privi di addestramento (es. In-Context Unlearning) preservano l'utilità evitando l'aggiornamento dei parametri, ma non riescono a rimuovere la conoscenza memorizzata a livello di parametro. Di conseguenza, rimangono vulnerabili ad attacchi di reverse-engineering e sono insufficienti in contesti multimodali dove input visivi forti possono sovrastare le istruzioni di sicurezza testuali.

La sfida principale è ottenere un unlearning efficace a livello di parametro negli MLLM, preservando al contempo l'utilità generale e la robustezza contro prompt avversari, senza fare affidamento su modelli teacher esterni o annotazioni esplicite di risposte indesiderate.

2. Metodologia: VGID

Gli autori propongono la Visual-Noise Guided In-Context Distillation (VGID), un framework teacher-student progettato per colmare il divario tra l'intervento training-free e l'unlearning a livello di parametro.

2.1 Intervento Duale-Modale

L'intuizione centrale di VGID è che le sole istruzioni in-context testuali sono insufficienti per sopprimere la fuga di privacy indotta da caratteristiche visive salienti. Per affrontare questo problema, VGID costruisce una distribuzione teacher orientata all'unlearning partendo da un modello base congelato tramite un intervento duale-modale:

1. Perturbazione Visiva: L'immagine in input viene perturbata (es. tramite rumore gaussiano, sostituzione con rumore casuale o sostituzione con un'immagine bianca) per indebolire le evidenze visive sensibili al target.
2. Istruzione In-Context Testuale: Un'istruzione di unlearning (es. "rifiuta di identificare la persona") viene anteposta alla query testuale.

Il modello base congelato elabora questo input multimodale perturbato per generare una distribuzione target "soft" ($\pi_T$). Questa distribuzione funge da segnale di supervisione che cattura il comportamento di unlearning desiderato (soppressione di token sensibili, incoraggiamento di risposte sicure) senza richiedere un modello teacher addestrato esternamente.

2.2 Framework di Distillazione

VGID impiega un modello student ($\pi_\theta$) addestrato a corrispondere alla distribuzione del teacher attraverso la distillazione della conoscenza:

• Obiettivo di Forget (Oblio): Per i campioni nel set di forget ($D_F$), lo student minimizza la divergenza di Kullback-Leibler (KL) tra il proprio output sull'input originale e l'output del teacher sull'input perturbato. Questo guida lo student a apprendere il comportamento di unlearning a livello di parametro.
• Obiettivo di Retain (Mantenimento): Per i campioni nel set di retain ($D_R$), lo student minimizza la divergenza KL tra il proprio output e l'output del modello base congelato sull'input originale. Ciò garantisce la preservazione delle capacità multimodali generali.

La funzione di perdita complessiva è una combinazione pesata:
$$L_{overall} = \alpha L_{forget} + \beta L_{retain}$$

Questo approccio consente a VGID di distillare il "comportamento di unlearning" indotto dall'intervento duale-modale direttamente nei parametri del modello, ottenendo robustezza senza dover riaddestrare da zero o utilizzare teacher esterni.

3. Contributi Chiave

• Identificazione del Gap Modale: Il documento dimostra che le sole istruzioni di in-context unlearning testuali sono insufficienti per gli MLLM perché gli input visivi agiscono come segnali di condizionamento dominanti che possono sovrastare il condizionamento di sicurezza basato sul testo.
• Strategia di Intervento Duale-Modale: Gli autori mostrano che la combinazione della perturbazione visiva con l'istruzione in-context di unlearning fornisce segnali complementari, sopprimendo efficacemente la conoscenza privata target più di quanto farebbe ciascuna modalità da sola.
• Framework VGID: Un nuovo framework di distillazione che costruisce dinamicamente una distribuzione teacher orientata all'unlearning da un modello base congelato. Raggiunge l'unlearning a livello di parametro senza modelli teacher esterni o annotazioni esplicite di rifiuto.
• Validazione Empirica: Esperimenti estesi su MLLMU-Bench su molteplici backbone (Qwen2.5-VL, LLaVA-1.5) dimostrano che VGID raggiunge un forte effetto di unlearning mantenendo al contempo un'utilità del modello competitiva e la robustezza contro attacchi di reverse-engineering.

4. Risultati Sperimentali

Gli esperimenti sono stati condotti su MLLMU-Bench con rapporti di forget del 5%, 10% e 15% su Qwen2.5-VL-3B, LLaVA-1.5-7B e LLaVA-1.5-13B.

• Efficacia dell'Unlearning: VGID ha ridotto significativamente la conoscenza privata target. In un setting rappresentativo (LLaVA-1.5-7B, rapporto di forget del 5%), VGID ha ridotto il punteggio ROUGE-L del forget set da 0.571 (Base) a 0.200, una riduzione di 0.371.
• Preservazione dell'Utilità: A differenza dei baseline basati sul gradiente che spesso degradano le prestazioni del retain-set, VGID ha mantenuto un'elevata utilità. Nello stesso setting, il ROUGE-L del retain set è sceso solo di 0.055 (da 0.496 a 0.441), e l'accuratezza cloze/classificazione è rimasta competitiva.
• Robustezza: VGID ha dimostrato una robustezza superiore contro gli attacchi di reverse-engineering. Mentre le prestazioni di In-Context Unlearning (ICU) sono recuperate significativamente quando vengono applicati prompt di reverse (il ROUGE-L del forget set è aumentato da 0.462 a 0.518), VGID è rimasto stabile (il ROUGE-L del forget set è aumentato solo da 0.200 a 0.220).
• Studi di Ablazione:
  • Costruzione del Teacher: L'intervento duale-modale (VGID) ha superato gli interventi a singola modalità (ICU-T o Noise-T), confermando la necessità di combinare gli indizi visivi e testuali.
  • Strategia di Perturbazione: La sostituzione con rumore casuale si è rivelata più efficace rispetto al rumore gaussiano o alla sostituzione con immagine bianca, suggerendo che il pattern di perturbazione è critico per rimuovere i segnali visivi mantenendo al contempo un input utilizzabile per il teacher.
  • Stile del Prompt: I prompt di "Strict Enforcement" (applicazione rigorosa) hanno fornito il bilanciamento più stabile tra forgetting e preservazione dell'utilità.

5. Significato e Rivendicazioni

Il documento afferma che VGID offre un compromesso superiore tra completezza dell'unlearning e utilità del modello rispetto agli esistenti metodi basati sull'addestramento e privi di addestramento. Distillando una distribuzione indotta dall'intervento, VGID trasferisce con successo la robustezza dell'intervento al tempo di inferenza nei parametri del modello, rendendo il comportamento di unlearning resistente agli attacchi di reverse-engineering.

Gli autori posizionano VGID come una soluzione pratica per l'implementazione di MLLM che preservano la privacy, evitando il costo computazionale del riaddestramento e la vulnerabilità delle strategie puramente basate sull'inferenza. Riconoscono i limiti, notando che l'attuale ambito si concentra sull'unlearning orientato alla privacy e che lo spazio di progettazione per le perturbazioni visive rimane inesplorato, suggerendo che il lavoro futuro potrebbe estendere questo paradigma alla protezione del copyright e alla rimozione di conoscenze non sicure.