RUB: Evaluating Residual Knowledge in Unlearned Models

技術要約：RUB：学習解除されたモデルにおける残留知識の評価

問題提起
機械学習におけるアンラーニング（Machine Unlearning: MUL）は、プライバシー保護（例：GDPR、CCPAへの準拠）やコンテンツ規制のための重要なメカニズムとして台頭しており、訓練済みモデルから特定のデータの影響を選択的に除去することを目指している。既存の手法は、アンラーニングの「実行」の検証（モデルが保持セットを用いてゼロから再学習したものと同様の挙動を示すことの確認）に焦点を当てているが、極めて重要なセキュリティ上の欠陥を見落としている。それは、**敵対的な回復に対する堅牢性（robustness against adversarial recovery）**である。現在の手法は、情報の完全な削除を保証できないことが多く、敵対者が悪用可能な「残留知識（residual knowledge）」を残してしまう可能性がある。先行研究では、アンラーニングされたモデル、特に拡散モデル（DM）や大規模言語モデル（LLM）において、巧妙に作られた入力（例：敵対的プロンプトやノイズ）を通じて、忘れられたデータが再浮上させられる可能性があることが示されている。多様なコンピュータビジョン・タスクにおいて、この脆弱性を体系的に評価するための統一されたフレームワークが不足している。

手法：RUBフレームワーク
このギャップに対処するため、著者らは、アンラーニング後の敵対的な情報の再浮上に対するアンラーニングアルゴリズムの堅牢性を評価するために設計された、統一フレームワークであるRUB (Robust Unlearning Benchmark) を提案する。

1. 核となる原則（Robust Unlearning）： 本論文では、「ロバスト・アンラーニング」を、アンラーニングされたモデルが保持セットに対して再学習されたモデルと区別がつかないだけでなく、忘れられた情報を回復しようとする敵対的な試みに対しても耐性を持つプロセスであると定義する。形式的には、忘却セット $D_u$ 内の任意のデータ点 $x$ と、任意の敵対的摂動 $\delta_x$ に対して、アンラーニングされたモデル $f_u$ は、攻撃下においても、対象となる $x$ に関する元のモデルの出力から有意な乖離を維持しなければならない。
2. Unlearning Mapping Attack (UMA)： 著者らは、汎用可能でモジュール式の敵対的プロービングツールとして、UMAを導入する。UMAは、モデルへの入力を修正することで、削除されるべき情報を開示または近似させるようにモデルの出力を変化させる攻撃戦略として定義される。
   • 定式化： ホワイトボックス設定（元のモデルとアンラーニングされたモデルの両方にフルアクセスできると仮定）において、UMAは、摂動を加えた入力に対するアンラーニングされたモデルの出力と、元の忘却データに対する元のモデルの出力との間の距離を最小化する最適な摂動 $\delta_i$ を探索する：$\arg \min_{\delta_i} D[f_u(\delta_i, \theta_u), f(x_i, \theta)]$。
   • タスク固有のインスタンス化：
     • 識別タスク（Discriminative Tasks）： ロジットに対するKLダイバージェンスを使用する。
     • 画像間変換（Image-to-Image: I2I）： 再構成のための平均二乗誤差（MSE）を使用する。
     • テキストからの画像生成（Text-to-Image: T2I）： 拡散過程のノイズレベル推定を活用し、ターゲットとなる概念を復元するために拡散ステップにわたって最適化を行う。
3. ベンチマークの範囲： RUBは、3つの異なるコンピュータビジョン・タスクにわたる15の最先端アンラーニングアルゴリズムを評価する。
   • 画像分類： データセットにはCIFAR10、CIFAR100、Tiny-ImageNetが含まれる。
   • 画像間再構成（I2I）： Masked AutoEncoder (MAE) 設定を用いたImageNet-1kを使用する。
   • テキストからの画像生成（T2I）： UnlearnDiffAtkコードベースを用い、「教会」、「ゴミ収集車」、「裸」などの概念を用いて拡散モデルを評価する。
4. 評価指標： ベンチマークはタスク固有の指標を採用する：
   • 分類： アンラーニング精度（UA、忘却セットに対する生の精度として定義され、低いほど良い）、メンバーシップ推論攻撃（MIA）成功率、およびユーティリティのトレードオフを測定するためのテスト精度（TA）。
   • I2I： インセプションスコア（IS）およびフレシェ・インセプション距離（FID）。
   • T2I： 攻撃成功率（ASR）および、攻撃を成功させるために必要な最適化ステップ数。

主な結果
15のアンラーニング手法にわたる広範な実験により、重大な脆弱性が明らかになった：

• 識別タスク： 再学習（ゴールドスタンダード）は強力な堅牢性を達成するが、既存のアンラーニング手法（例：FT, RL, IU, SalUn）は様々な程度の脆弱性を示す。データセットの複雑さが増すにつれて（CIFAR10からTiny-ImageNetへ）、アンラーニングの有効性と堅牢性の両方が劇的に低下する。標準的な検証指標をパスする多くの手法が、敵対的なプロービングの下では完全に失敗し、攻撃下で高いUAおよびMIAスコアを示す。
• I2Iタスク： アンラーニングされたモデルは、通常の状態では忘却セットの画像を再構成できないことが多いが、敵対的な入力が提供されると、忘れられたコンテンツの高精度な再構成を行うよう強制される。小さなノイズの摂動だけで、アンラーニングメカニズムを回避するのに十分な場合が多い。
• T2Iタスク： 強力な初期のアンラーニング有効性を示しているにもかかわらず、ほとんどの拡散ベースのアンラーニング手法（例：AdvUnlearn, EraseDiff, ESD）は限定的な堅牢性しか示さない。敵対的攻撃は、様々な難易度（攻撃ステップによって測定）で、忘れられた概念を正常に復元することに成功しており、これは残留知識が存続していることを示している。
• 共通の知見： 「アンラーニングの有効性」（標準的な指標による性能）と「アンラーニングの堅牢性」の間には、一貫したギャップが存在する。現在の手法のほとんどは、敵対的な回復戦略に対して耐性がない。

意義と主張
本論文は、**堅牢性（Robustness）**を機械学習アンラーニングを評価するための中心的な基準として位置づけ、標準的な検証をパスしたとしても、モデルが敵対的な回復に対して脆弱なままであれば不十分であると主張している。

• 初の包括的なベンチマーク： RUBは、多様なビジョン・タスクにおいて、アンラーニング・アルゴリズムが事後の敵対的な回復に対してどのように機能するかを体系的に評価する初のフレームワークとして提示されている。
• 統一されたプロトコル： アンラーニング手法が本当に残留知識を排除しているかどうかを経験的に検証するための、標準化され拡張可能なプロトコル（UMA）を提供する。
• 研究の方向性： 著者らは、彼らの知見が現在のアンラーニング手法における根本的な弱点を浮き彫りにしていると主張し、コミュニティが単なる有効性を超えて、将来のアンラーニングアルゴリズムの設計に明示的に堅牢性の考慮を取り入れるよう促している。目標は、忘れられた情報を復元しようとする悪意のある試みに耐えうる、より信頼性の高い安全なアンラーニングの実践への道を開くことである。

本論文は、現在の手法は出発点に過ぎないものの、高リスクのプライバシー保護やコンテンツ規制のシナリオに対してはまだ十分に堅牢ではないと結論付けており、RUBは真にレジリエントなアンラーニング技術の開発を推進するために必要なツールとして機能する。