🤖 AI

RULER: Representation-Level Verification of Machine Unlearning

本論文は、従来の出力レベルの評価では成功しているように見える機械的忘却手法において、顕著な残余記憶を明らかにする表現レベルの検証指標セット「RULER」を導入する。

原著者： Georgina Cosma, Axel Finke

公開日 2026-05-28

📖 1 分で読めます☕ さくっと読める

原著者： Georgina Cosma, Axel Finke

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

非常に優秀な学生を想像してください。その学生は、専門家になるために膨大な量の教科書を勉強しました。ある日、出版社がその学生に「第 5 章について学んだことをすべて忘れるように」と伝えます。学生は従いたいのですが、本を燃やして最初からやり直すことはできません。それは時間とエネルギーを必要としすぎます。そこで、学生は教科書の残りの部分の知識を維持したまま、特定のページを頭の中で消去することで、第 5 章を「学習し直す（unlearn）」試みます。

この論文 RULER は、学生が本当に上手に忘れたかどうかを検証するものです。

問題点：「偽りの忘却」

現在、教師（または監査人）は、学生が忘れたかどうかを確認するために、以下の 2 つの簡単な質問でチェックします。

クイズ： 学生は教科書の「残りの部分」に関する質問にまだ正しく答えられるでしょうか？（はい、答えられます。）
推測ゲーム： 第 5 章からの文章を学生に見せ、「これを勉強しましたか？」と尋ねた場合、学生は答えられるでしょうか？（理想的には、彼らはコインを投げるようにランダムに推測すべきです。）

著者らは、この抜け穴を発見しました。彼らは、学生がこれら 2 つのテストを完璧に合格しても、第 5 章の「亡霊」がまだ脳内に残っている可能性があることを突き止めました。これは、帽子からウサギを消し去ることに成功したマジシャン（出力）が、実はポケットにウサギの毛を隠し持っている（内部記憶）ようなものです。学生の「答え」はクリーンに見えますが、その「思考プロセス」は、禁忌の章をまだ記憶しています。

解決策：RULER（「X 線」メガネ）

著者らは、RULER（Representation-Level Verification）と呼ばれる新しいツールセットを作成しました。これは、単に学生の答えを聞くのではなく、学生の脳内に入り込み、思考がどのように組織化されているかを確認するものです。

彼らはこれを確認するために、主に 2 つの「レンズ」（指標）を使用します。

レンズ 1：「ゴールドスタンダード」比較（指標 M2）

最初から第 5 章を一度も見たことのない「ゴールドスタンダード」の学生がいると想像してください。

テスト： RULER は、第 5 章を忘れようとした学生の「思考パターン」と、ゴールドスタンダードの学生の思考パターンを比較します。
発見： 「忘却」を試みた学生はクイズに合格していますが、その脳はゴールドスタンダードの学生とは異なり、第 5 章を別様に扱っています。これは、特定の公園のない完璧な都市の地図と、公園を消そうとしたがうっすらとした亡霊のような輪郭が残った地図を比較するようなものです。輪郭は一致しません。
結果： 実験において、「学習し直す（unlearn）」ために使用されたほぼすべての手法が、これらの亡霊のような輪郭を残していました。学生たちはクイズには合格しましたが、脳スキャンでは不合格でした。

レンズ 2：「ノー・オラクル」探偵（指標 M4）

時には、比較対象となるゴールドスタンダードの学生が存在しないこともあります。そこで、RULER は学生自身の記憶のみを使用して学生の脳をチェックする方法を開発しました。

テスト： RULER は、忘却された章に関する「思考」を観察し、「これらの思考は教科書の残りの部分に属しているように見えるか、それとも目立って不自然に見えるか？」と問います。
比喩： 青いシャツを着た人々の群れ（保持されたデータ）を想像してください。学生に、赤いシャツを着た特定の人物（忘却データ）を忘れるよう求めます。
- 彼らが正常に忘却した場合、赤いシャツの人物は青いシャツとあまりにもよく馴染み、青いシャツと同じように見えるはずです。
- 失敗した場合、赤いシャツは依然として輝いていたり、あるいはもっと悪いことに、学生が赤いシャツを遠くへ押しやりすぎて、それが宇宙空間に浮遊している状態（過剰な移動）になります。
発見： RULER は、多くの場合、「忘却された」データが馴染んでいないことを発見しました。それは記憶として目立っていたり、遠くへ押しやりすぎて学生の脳内に奇妙な歪みを生じさせたりしていました。

彼らがテストしたもの

研究者らは、4 つの異なる「学習し直す（unlearning）」手法（記憶を消そうとする異なる方法）でこれをテストしました。

勾配上昇（Gradient Ascent）： 記憶を積極的に押しやる試み。
NegGrad+： 押しやりと残りの部分の強化を組み合わせた手法。
ファインチューニング： 単に教科書の残りの部分を再勉強し、古い記憶が自然に薄れることを願う手法。
SCRUB： 「教師」を用いて忘却を導く複雑な手法。

判決： 4 つの手法すべてが、標準的な「クイズ」と「推測ゲーム」のテストを合格しました。しかし、RULER が彼らの脳内を覗き込んだとき、4 つの手法すべてが不合格でした。 彼らはすべて、忘却されたデータの顕著な痕跡を残していました。

特別なケース：顔認識

この論文は、顔認識システム（セキュリティカメラなど）でもこれをテストしました。

シナリオ： システムは人を認識するように訓練されましたが、その後、特定の人物を「忘れる」よう求められました（GDPR の「忘れられる権利」の要請）。
結果： 学習し直した後でも、システムはその特定の人物の顔の構造をまだ認識していました。まるで友人の顔を「認識しない」ようにしようとしたかのようです。システムは「この人が誰だかわからない」と言うことができましたが、内部の「顔の地図」には、その人物の完璧なスケッチが残っていました。テストされたどの手法も、このアイデンティティレベルの記憶を完全に消去できませんでした。

大きな教訓

この論文は、現在の「機械的忘却（machine unlearning）」の手法は、私たちが思っていたほど徹底したものではないと結論付けています。それらはモデルが与える「答え」を整理するには優れていますが、それらの答えを生み出す「内部記憶」を整理するには劣っています。

RULER は真実を語る者として機能し、モデルが「忘れた」と言っているからといって、実際に「忘れた」わけではないことを示しています。プライバシーを真に保護するためには、モデルの最終的な出力だけでなく、AI の内部の「思考」をチェックする必要があります。

技術的サマリー：RULER – マシンアーンリングの表現レベル検証

問題定義

マシンアーンリングは、ゼロから再学習する計算コストを伴わずに、展開済みモデルから特定のトレーニング記録（忘れるべきセット）の影響を除去し、残りのデータ（保持セット）におけるモデルの性能を維持することを目的としています。現在の評価プロトコルは、出力レベルの基準に依存しています：

メンバーシップ推論攻撃（MIA）精度：0.50（偶然の水準）に近い値であるべきです。
保持セット精度：維持されるべきです。
忘却セット精度：再学習オラクル（保持セットのみでゼロから学習したモデル）と一致すべきです。

著者らは、これらのプロトコルに重大な限界を特定しました：モデルがこれら 3 つの出力レベル基準のすべてを満たしつつも、中間表現に忘却された記録に関する情報を符号化している可能性があります。既存の指標は、モデルが個々の記録に関する情報をどのように内部的に組織化しているかを検討しないため、モデルは出力上で正しく振る舞う一方で、忘却すべきデータの構造的痕跡を保持するという「誤ったプライバシー感覚」が残存する可能性があります。

手法：RULER

本論文は、** penultimate-layer（最終層の直前の層）の cos 類似性**に基づく 2 つの検証メトリクスレンズからなるフレームワーク、RULER（マシンアーンリングの表現レベル検証）を導入します。このフレームワークは、タスク固有の出力ヘッドの直前の埋め込み $h_\theta(x)$ 上で動作します。

レンズ 1：オラクル比較メトリクス（再学習オラクルが必要）

これらのメトリクスは、忘却されたモデル（ $\theta_u$ ）を、保持セットのみでゼロから学習した再学習オラクル（ $\theta_r$ ）と比較します。表現の違いがランダム初期化ではなく忘却処理を反映していることを保証するため、元のモデル（ $\theta_o$ ）とオラクル（ $\theta_r$ ）は同じランダムシードを共有します。

M1（オラクル比較類似性）： $\theta_u$ と $\theta_r$ における忘却セット記録間の平均 cos 類似性。高い類似性が望ましいものの、M1 は有意性検定のための固定された Null 値を持ちません。
M2（符号付き較正ギャップ）：主要なレンズ 1 メトリクスです。忘却セット記録の平均類似性と、 $\theta_u$ $θ_{u}$ と $\theta_r$ $θ_{r}$ 間の保持セット記録の中央値類似性の差を計算します。
- 帰無仮説： $M2 = 0$ 。
- 解釈：負の値は残留記憶（忘却セット記録が保持セット記録よりもオラクルと類似度が低い）を示します。正の値は過剰な修正を示します。右に歪んだ分布からの過大評価を避けるため、保持セットの基準には中央値が使用されます。
M3（表現シフト）：忘却の前後におけるオラクルとの類似性の変化を測定します。正の値は忘却処理が表現をオラクルに近づけたことを示し、負の値は遠ざけたことを示します。

レンズ 2：オラクルフリーメトリクス（再学習オラクル不要）

M4（パーセンタイルランク）：このメトリクスは、忘却されたモデル $\theta_u$ $θ_{u}$ の内部幾何学構造のみに作用します。各忘却記録について、保持セット内の最隣接近傍を見つけ、それらの cos 類似性を測定します。その後、この類似性は、保持記録同士の間（leave-one-out）の最隣接近傍類似性の分布に対してランク付けされます。
- 帰無仮説： $M4 = 0.50$ 。
- 解釈：0.50 の値は、忘却記録が保持記録と幾何学的に区別できないことを意味します。0.50 より大きい値は残留記憶（忘却記録が保持セットと過度に類似している）を示します。0.50 より小さい値は過剰な移動（記録が保持分布から過度に押しやられている）を示します。

実験設定

データセット：10 種類の表形式分類データセット（例：Adult Income, Breast Cancer, German Credit）を主要な設定として使用しました。また、大規模な表形式データ、画像分類（CIFAR-10, SVHN, CIFAR-100）、臨床テキスト（Bio_ClinicalBERT を用いた MT Samples）、および顔アイデンティティ忘却（LFW）にもフレームワークを適用しました。
モデル：表形式データには固定の 2 隠れ層 MLP（TabularMLP）を、画像には CNN および ResNet-18 を、テキストには BERT ベースのモデルを使用しました。
忘却手法：4 つの近似手法が評価されました：勾配上昇法、NegGrad+、ファインチューニング、および SCRUB（蒸留ベース）。5 つ目の手法として、構造的な不一致と手法固有の不一致をテストするためにBad Teacherが含まれました。
プロトコル：実験では 10 のデータセット、10 の学習シード、3 つの忘却割合（1%, 5%, 10%）を使用しました。統計分析には、データセットをランダム切片とした線形混合効果モデル（LMM）と、ウィルコクソンの符号付き順位和検定が用いられました。

主要な結果

1. 出力レベルと表現レベルの不一致

4 つの近似忘却手法のすべてが、標準的な出力レベル評価（MIA 精度が 0.50 の $\pm 0.05$ 以内、保持精度の維持）を合格しました。しかし、M2 は 12 の条件の 10 で統計的に有意な残留を検出しました（ $p < 0.05$ ）。

方向性：M2 はすべての手法と忘却割合で一貫して負であり、忘却セット記録が保持セット記録よりもオラクルの表現からさらに離れていることを示しています。
効果量：効果量（ $r_{rb}$ ）は忘却割合の増加に伴って増大し、10% の忘却割合では大きな大きさ（0.90 - 0.96）に達しました。
手法非依存性：事後検定により、M2、M4、MIA において 4 つの手法間に有意な差は見られませんでした。この不一致は、特定のアルゴリズムではなく、忘却タスク自体の性質です。

2. Bad Teacher による検証

忘却記録においてランダムに初期化された教師に学生を一致させるように学習するという、根本的に異なるメカニズムを使用するBad Teacher手法も、出力レベルのチェックを合格しましたが、有意な負の M2 値を示しました。これは、中間表現の消去に失敗することが、特定の勾配ベースまたは蒸留技術のアーティファクトではなく、現在の近似忘却アプローチの構造的限界であることを確認します。

3. M4 の診断的有用性

表形式/一般データ：M4 は、検出可能な記憶を持つデータセット（例：Breast Cancer, Heart Disease）に駆動され、平均ランクが 0.50 よりわずかに高い値を示しました。
顔アイデンティティ（LFW）：モデルが性別分類のために学習されたが、副次的にアイデンティティを符号化していた顔アイデンティティ設定において、忘却前の M4 値は極めて高かった（0.73 - 0.94）ため、強力なアイデンティティレベルの記憶が確認されました。忘却後、どの手法もこの信号を完全に消去しませんでした。勾配上昇法とファインチューニングはこれをほぼそのまま残し、SCRUB は低い忘却割合で過剰な移動を引き起こしました。
大規模/弱い記憶：元のモデルで M4 $\approx 0.50$ （検出可能な記憶なし）を示した大規模な表形式および画像データセットでは、忘却手法がときにアーティファクト（過剰な移動または移動）を導入し、厳密に必要とされない場合でも忘却が表現の質を低下させる可能性を示唆しました。

意義と主張

本論文は、マシンアーンリングを検証するために出力レベルの評価では不十分であると主張しています。モデルは、すべての標準的なプライバシーおよび有用性の基準を満たしつつも、内部表現に忘却されたデータの測定可能な痕跡を保持し得ます。

検証ツールとしての RULER：著者らは、M2 と M4 を評価プロトコルへの必須の追加として提案しています。M2 はオラクルに対する残留記憶のための集団レベルのテストを提供し、M4 は忘却前（忘却の必要性を評価するため）および忘却後（不完全な消去または過剰な移動を検出するため）の両方に対するオラクルフリーの診断として機能します。
現在の手法の限界：多様な手法とアーキテクチャにわたる一貫した負の M2 は、現在の近似忘却の目的関数が出力振る舞いの最適化には成功しているものの、中間表現の制約には失敗していることを示唆しています。
限定的な範囲：著者らは明示的に、これらのメトリクスは GDPR 第 17 条の法的適合性テストではなく、技術的検証ツールであると述べています。これらは表現レベルの残留を特徴付けるものの、規制上の十分性を定義するとは主張していません。さらに、これらのメトリクスは回転不変ではない cos 類似性に依存しているため、M2 にはペア化されたシード設計が必要です。

結論として、本論文は、多くの近似手法において機械学習における「忘却」は現在、出力レベルの幻想に過ぎず、真の消去には表現レベルでの検証が必要であることを実証しています。