Sintesi Tecnica: Audit di Algoritmi di Unlearning

Definizione del Problema

L'unlearning (disimparamento) delle macchine mira a rimuovere l'influenza di specifici campioni di addestramento da un modello addestrato, ottenendo idealmente un modello indistinguibile da uno riaddestrato da zero sui dati rimanenti. Sebbene l'unlearning esatto offra garanzie forti, è spesso computazionalmente proibitivo per le reti profonde. Di conseguenza, sono emersi metodi di unlearning approssimativo, che spaziano da approcci euristici (ad esempio, gradiente ascendente sul set da dimenticare, scrubbing basato sull'Hessiana) a metodi certificati che forniscono garanzie di $(\varepsilon, \delta)$-indistinguibilità.

Una sfida aperta critica è la valutazione empirica di tali affermazioni. I vincoli teorici esistenti spesso si basano su assunzioni (ad esempio, la convessità) che potrebbero non valere nella pratica, e vi è una mancanza di strumenti pratici per verificare se una dichiarata garanzia di unlearning sia effettivamente valida. Questo articolo affronta la necessità di un auditor (revisore) che utilizzi prove empiriche per testare le garanzie di unlearning, con l'obiettivo specifico di rigettare l'ipotesi che il parametro di unlearning $\varepsilon$ sia inferiore a un certo limite inferiore ($\varepsilon < \varepsilon_{LB}$).

Metodologia

Modello di Minaccia

Gli autori adottano un modello di avversario black-box forte. L'avversario ha conoscenza di:

1. L'algoritmo di apprendimento ($A$) e l'algoritmo di unlearning ($U$).
2. Lo shaker dei dati (permutazione casuale $\pi$).
3. I pesi iniziali del modello ($x_0$) all'inizio dell'addestramento.
   L'avversario non osserva le specifiche realizzazioni casuali (ad esempio, il rumore del gradiente) durante l'addestramento o l'unlearning, né ha accesso allo stato interno degli algoritmi. Questo modello rafforza l'avversario rispetto alle definizioni standard, ma è coerente con le garanzie degli algoritmi certificati come Model Clipping e Rewind-to-Delete (R2D).

Il Framework dell'Auditor

L'auditor proposto è un framework di test d'ipotesi progettato per calcolare un limite inferiore data-dipendente $\varepsilon_{LB}$ sul vero parametro di unlearning $\varepsilon$.

1. Setup: Il dataset di addestramento è partizionato in un set di mantenimento ($D_r$) e un set da dimenticare ($D_f$). $D_f$ è ulteriormente diviso in $m$ batch candidati.
2. Vettori di Segno: L'auditor campiona un vettore di segno bilanciato $S \in \{\pm 1\}^m$, dove $+1$ indica che un batch è incluso nel set di addestramento (e quindi soggetto a unlearning), e $-1$ indica che è escluso.
3. Esecuzione: Per ogni run $\ell$:
   • Viene costruito un set di addestramento $D(S^{(\ell)})$ basato sul vettore di segno.
   • Il modello viene addestrato e poi "unlearned" per produrre $f_u^{(\ell)}$.
   • L'auditor tenta di predire il vettore di segno $S^{(\ell)}$ a partire da $f_u^{(\ell)}$.
4. Scoring: L'auditor calcola un punteggio di sovrapposizione $V^{(\ell)}$, contando il numero di indovini non nulli corretti (dove il segno predetto corrisponde al segno reale).
5. Riduzione a LDP: L'audit è ridotto a un problema di Local Differential Privacy (LDP). Se l'algoritmo di unlearning è $(\varepsilon, 0)$-certificato, il meccanismo dell'auditor è dimostrato essere $(2\varepsilon, 0)$-LDP.
6. Test d'Ipotesi: Utilizzando la distribuzione dei punteggi di sovrapposizione attraverso molteplici run indipendenti, l'auditor calcola un limite inferiore $\varepsilon_{LB}$. Se la sovrapposizione osservata supera significativamente il caso del tentativo casuale, l'ipotesi nulla ($H_0: \varepsilon \le \varepsilon_{LB}$) viene rigettata, indicando un unlearning debole.

Istanze dell'Auditor

Sono proposte due istanze specifiche del meccanismo dell'auditor $M$:

• Istanza I (Per Batch): Adatta quando $m$ è grande. Adatta distribuzioni gaussiane ai punteggi dei logit per ogni batch indipendentemente (ispirata a LiRA) per predire l'inclusione/esclusione.
• Istanza II (Vettore di Segno Congiunto): Adatta quando $m$ è piccolo (enumerabile). Tratta l'intero vettore di segno come un'ipotesi, catturando le correlazioni tra i batch, e seleziona il vettore con la massima verosimiglianza cumulativa.

Contributi Chiave

1. Design Pratico dell'Auditor: Il documento introduce un meta-algoritmo che estende le tecniche di auditing della differential privacy all'ambito dell'unlearning, specificamente adattato per set da dimenticare a livello di sottoinsieme piuttosto che per singoli vicini puntuali.
2. Limiti Teorici: Gli autori derivano nuovi limiti teorici (Teorema 4.2) che convertono i punteggi di sovrapposizione empirici in un limite inferiore valido su $\varepsilon$ con errore di Tipo I controllato, specificamente per il caso $\delta=0$.
3. Falsificazione Empirica: Il framework fornisce uno strumento per falsificare empiricamente le garanzie di unlearning. Distingue tra algoritmi con garanzie rigorose e quelli che sono puramente euristici.

Risultati

L'auditor è stato valutato su CIFAR-100 (utilizzando un modello TinyNet) e sul dataset di testo Shakespeare (utilizzando un LSTM). Gli esperimenti hanno coperto sia algoritmi di unlearning certificati che non certificati.

Separazione Netta tra Metodi Certificati e Non Certificati

• Algoritmi Certificati: Metodi con garanzie formali, come Model Clipping (Koloskova et al., 2025) e Rewind-to-Delete (R2D), hanno costantemente prodotto valori di $\varepsilon_{LB}$ molto piccoli (spesso vicini a 0). Ciò indica che l'evidenza empirica non falsifica le loro garanzie teoriche.
• Algoritmi Non Certificati/Euristici: Metodi privi di garanzie formali, inclusi l'unlearning basato su Hessiana, l'Interleaved Ascent-Descent (IDA), l'Ascent sul Forget Set e il Pure Fine-tuning sul Retain Set, hanno mostrato valori di $\varepsilon_{LB}$ elevati, spesso superiori a 50–60.
  • In particolare, il metodo basato su Hessiana (Zhang et al., 2025), che rivendica la certificazione sotto convessità, ha prodotto un $\varepsilon_{LB}$ di 142.5 su CIFAR-100 (un regime non convesso), dimostrando che l'auditor ha identificato con successo il fallimento della precondizione del metodo.
  • Il pure fine-tuning e l'ascent sul forget set hanno mostrato limiti similmente alti, indicando scarse prestazioni di unlearning.

Impatto delle Divisioni dei Dati

Lo studio ha osservato che le divisioni uniformi (dove i set di forget e retain condividono il supporto delle feature) hanno generalmente prodotto valori di $\varepsilon_{LB}$ più elevati rispetto alle divisioni avversarie (classi di etichette disgiunte). Ciò suggerisce che la memorizzazione residua e l'adiacenza semantica nelle divisioni uniformi rendono l'unlearning più difficile da raggiungere efficacemente.

Regimi Convessi vs. Non Convessi

Negli esperimenti su perdite convesse (cubiche e logistiche), il divario tra l' $\varepsilon$ certificato e l' $\varepsilon_{LB}$ empirico era molto più piccolo rispetto al setting non convesso del deep learning. Ciò conferma che l'auditor è più preciso in contesti analiticamente trattabili e che i grandi limiti osservati nel deep learning sono probabilmente dovuti a veri fallimenti di unlearning nei metodi euristici piuttosto che a un semplice slancio dell'auditor.

Significato e Rivendicazioni

Il documento sostiene di fornire il primo strumento pratico per falsificare empiricamente le garanzie di unlearning attraverso un framework di test d'ipotesi. Il suo significato primario risiede nel valore diagnostico dell'auditor:

• Rivela che i metodi euristici, spesso usati nella pratica per efficienza, frequentemente falliscono nel rimuovere l'influenza dei dati, come dimostrato dagli elevati valori di $\varepsilon_{LB}$.
• Valida i metodi certificati (quando le loro assunzioni sono rispettate) confermando le loro garanzie anche sotto un avversario forte.
• Evidenzia la fragilità delle rivendicazioni di certificazione che si basano su assunzioni (come la convessità) che potrebbero non valere nei reali scenari di deep learning.

Gli autori concludono che, sebbene la loro analisi sia attualmente limitata a $\delta=0$, l'auditor proposto offre uno standard rigoroso per valutare l'efficacia degli algoritmi di machine unlearning, distinguendo quelli con garanzie genuine da quelli che sembrano solo aver dimenticato.