技術要約：認証されたアンラーニングのための逐次的サブスペース・ノイズ注入

問題提起

機械学習におけるアンラーニング（Unlearning）は、GDPRなどの規制への準拠や機密情報の削除を目的として、学習済みモデルから特定の学習データの影響を取り除くことを目的としている。ゼロから再学習することがゴールドスタンダードであるが、これは計算コストが非常に高い場合が多い。差分プライバシー（Differential Privacy, DP）に基づく手法、特に認証付きアンラーニングは、データの削除に関する形式的な保証を提供する一方で、決定的な実用的限界、すなわち**精度の崩壊（accuracy collapse）**という問題を抱えている。

勾配クリッピングを用いたNoisy Fine-Tuning (NFT) のような既存のアプローチは、$(\epsilon, \delta)$-アンラーニングの保証を満たすためにガウスノイズを注入する。しかし、過剰パラメータ化された深層ネットワークにおいては、アンラーニングを認証するために必要なノイズが、全パラメータにわたって勾配信号を圧倒してしまうほど大きくなることがある。実験結果によれば、標準的なNFTはテスト精度を急激に低下させ（例：CIFAR-10において88%から20%以下へ）、その後のファインチューニングによる回復も失敗することが示されている。これは、厳格な形式的保証を維持することと、モデルの有用性を保持することの間の緊張関係を生み出している。

手法

著者らは、形式的な認証保証を維持しつつ、精度の崩壊を軽減するために設計された、標準的なNFTフレームワークの修正版であるBlock-wise Noisy Fine-Tuning (Block-wise NFT) を提案する。この手法は、既存の認証付きアンラーニング分析における2つの具体的なボトルネックに対処するものである。

1. 逐次的サブスペース・ノイズ注入

標準的なNFTは、すべてのステップで全パラメータ空間にノイズを注入する。著者らは、高次元モデルの場合、ノイズベクトルの $\ell_2$ ノルム ($\sigma\sqrt{d}$) がクリップされた勾配更新を圧倒することを観察している。

• アプローチ: パラメータ空間 $\mathbb{R}^d$ を、$k$ 個の互いに直交するサブスペース（ブロック）に分割する。
• メカニズム: 特定のブロックを更新する間、そのブロックにのみノイズを注入し、他のすべてのパラメータは凍結（freeze）することで、ブロックごとに逐次的に更新を行う。
• 利点: これにより、認証されたノイズ予算を時間経過および低次元のサブスペースにわたって再分配できる。更新を各ステップの座標の一定割合 ($1/k$) に制限することで、ステップごとの歪みが大幅に減少し、ノイズが学習信号を支配することを防ぐことができる。

2. 近接性に基づくキャリブレーション ($\Delta(\rho)$)

標準的なNFTの分析では、任意の初期化に対処するために、最悪のケースのモデルクリッピング半径 ($C_0$) に依存することが多く、これが過度に保守的なノイズ要件を招いている。

• アプローチ: 著者らは、最悪のケースの初期化仮定を、高確率近接パラメータ $\Delta(\rho)$ に置き換える。このパラメータは、固定されたランダム性の結合の下での、全データセットで完全に学習されたモデルと、保持されたデータセットで再学習されたモデルとの間の距離をバウンドする。
• メカニズム: ノイズとクリッピングを、最悪のケースの直径ではなく、実際の距離 $\Delta(\rho)$ に基づいてキャリブレーションすることで、必要なノイズ分散が減少する。
• 利点: これにより、学習に依存しない最悪のケースの境界による悲観的な推定を避け、特定の再学習比較に適合した認証が可能となる。

アルゴリズムの概要

Block-wise NFTアルゴリズムは以下の手順で進行する：

1. 分割: モデルの重みを $k$ 個の直交するブロックに分解する。
2. 逐次的更新: 各ブロック $i$ について：
   • ブロック $i$ 以外のすべてのパラメータを凍結する。
   • $\Delta(\rho)$ から導出されたキャリブレーション済みノイズ分散 $\sigma^2$ とステップ数 $T$ を用いて、ブロック $i$ に対してNoisy Fine-Tuningを適用する。
   • 初期の最悪ケースのクリッピング ($C_0$) は適用せず、近接性ベースの境界のみを使用する。
3. 最終化: すべてのブロックが逐次的に更新された後、モデル全体の標準的なファインチューニングを行い、有用性を回復させる。

主な貢献

1. 手法: 直交するパラメータブロックに対して逐次的に認証付きノイズ更新を適用する、Block-wise NFTの導入。これにより、アンラーニング・スケジュール全体にわたって完全なパラメータのカバレッジを確保しつつ、ステップごとの歪みを軽減する。
2. 認証: NFTの認証分析をブロック単位のスケジュールへと拡張した。これにより、同じ $(\epsilon, \delta)$ プライバシー予算が維持されることを証明している。また、最悪のケースのモデルクリッピングを近接パラメータ $\Delta(\rho)$ で置き換えることを定式化した。
3. 理論的洞察: 学習に依存しない最悪のケースの認証が、有用性と効率性の間の緊張関係を生み出すという「形式的ボトルネック」を特定した。著者らは、初期化に依存しない不可識別性（indistinguishability）の下では、再学習よりも少ないステップ数で高い有用性を維持することは不可能であることを示し、近接性ベースの定式化への移行を動機づけている。
4. 実証的検証: ランダムな削除およびクラス単位の削除の両方において、MNISTおよびCIFAR-10のベンチマーク（ResNet-18およびViT-Tinyを使用）を用い、Block-wise NFTが標準的なNFTよりも優れた性能を示し、メンバーシップ推論攻撃（MIA）に対しても堅牢であることを示した。

実験結果

本論文では、Block-wise NFTを、標準的なNFT、ゼロからの再学習、および様々な経験的（非認証）アンラーニング・ベースラインと比較評価している。

• 精度の回復: ViT-Tinyを用いたCIFAR-10において、標準的なNFTは精度を20%以下に低下させ、回復にも失敗する。対照的に、Block-wise NFTはアンラーニングフェーズ中に有意に高い精度を維持し、ファインチューニング後に再学習に近いレベルまで回復する。
• プライバシー保証: 本手法は、再学習から得られる性能と一致する100%のUnlearned Accuracy (UA) および100%のMIAスコア（リークがないことを示す）を達成している。
• 効率性: Block-wise NFTは計算効率が高く、実行時間は標準的なNFTと同等であり、ゼロからの再学習よりも大幅に短い。
• 堅牢性: 本手法は、異なるブロックサイズ ($k$) やブロック構成戦略（ランダム vs レイヤー単位）においても効果的であり、その利点が特定の分割方法に強く依存しないことを示している。

意義と主張

本論文は、Block-wise NFTが、厳格な形式的保証と実用的な有用性の間の溝を埋めるものであると主張している。

• 精度の崩壊の軽減: 主要な貢献は、DPに触発されたアンラーニングに伴う深刻な精度低下が、認証付きアンラーニング固有の限界ではなく、特定の設計上の選択（全空間へのノイズ注入および最悪のケースのクリッピング）の結果であることを示した点にある。
• 実用的な生存可能性: 逐次的なサブスペース注入と近接性キャリブレーションを利用することで、本手法は調査された領域において、認証付きアンラーニングを大幅に破壊的でないものにしている。
• 限界と範囲: 著者らは、自らの主張の一般性について慎重である。$\Delta(\rho)$ のキャリブレーションは経験的であり、モデルクラスや学習パイプラインに固有のものであると述べている。彼らの保証は、指定された認証設定とキャリブレーション手順を条件としており、本手法が適切なキャリブレーションなしにすべてのアンラーニングシナリオに対する普遍的な解決策になると主張しているわけではない。

要約すると、本研究は、認証付きアンラーニングを、最悪のケースのグローバルなノイズ注入から、アンラーニングプロセスに関与するモデルの実際の近接性を尊重した構造化された逐次的更新へと移行させることで、大規模モデルにおいて実用的なものにできると論じている。