技術要約：アンラーニング・アルゴリズムの監査

問題提起

機械学習におけるアンラーニング（Unlearning）は、訓練済みモデルから特定の訓練サンプルの影響を取り除くことを目的としており、理想的には、残されたデータのみを用いてゼロから再学習させたモデルと区別がつかない状態を目指すものである。厳密なアンラーニング（Exact unlearning）は強力な保証を提供するが、ディープネットワークにおいては計算コストが極めて高い場合が多い。その結果、勾配上昇法（forget setに対する勾配上昇）やヘッセ行列に基づくスクラビング（Hessian-based scrubbing）といったヒューリスティックな手法から、$(\varepsilon, \delta)$-不可識別性（indistinguishability）の保証を与える証明付きの手法まで、様々な近似アンラーニング手法が登場している。

現在、重要な未解決の課題は、これらの主張を経験的に評価することである。既存の理論的境界は、（凸性などの）仮定に依存していることが多く、それらは実用上成立しない可能性がある。また、主張されたアンラーニングの保証が実際に成立しているかどうかを検証するための実用的なツールも不足している。本論文は、経験的な証拠を用いてアンラーニングの保証をテストする、すなわち、アンラーニング・パラメータ $\varepsilon$ が特定の閾値 $\varepsilon_{LB}$ を下回る（$\varepsilon < \varepsilon_{LB}$）という仮説を棄却することを目的とした**監査器（Auditor）**の必要性に取り組むものである。

手法

脅威モデル

著者らは、強力なブラックボックス・アドバーサリ（敵対者）モデルを採用している。アドバーサリは以下の知識を持つ：

1. 学習アルゴリズム ($A$) および アンラーニング・アルゴリズム ($U$)。
2. データ・ローディング・シャッファー（ランダムな置換 $\pi$）。
3. 訓練開始時の初期モデル重み ($x_0$)。
   アドバーサリは、訓練中またはアンラーニング中の特定のランダムな実現値（例：勾配ノイズ）を観測できず、またアルゴリズムの内部状態へのアクセスも持たない。このモデルは、標準的な定義よりもアドバーサリを強化しているが、Model ClippingやRewind-to-Delete (R2D) といった証明付きアルゴリズムの保証とは整合している。

監査器フレームワーク

提案される監査器は、真のアンラーニング・パラメータ $\varepsilon$ に関するデータ依存の低位境界 $\varepsilon_{LB}$ を算出するために設計された仮説検定フレームワークである。

1. セットアップ: 訓練データセットを保持セット ($D_r$) と忘却セット ($D_f$) に分割する。$D_f$ はさらに $m$ 個の候補バッチに分割される。
2. 符号ベクトル: 監査器は、バランスの取れた符号ベクトル $S \in \{\pm 1\}^m$ をサンプリングする。ここで $+1$ はバッチが訓練セットに含まれていること（したがってアンラーニングの対象であること）を示し、$-1$ は含まれていないことを示す。
3. 実行: 各実行 $\ell$ において：
   • 符号ベクトル $S$ に基づいて訓練セット $D(S^{(\ell)})$ を構築する。
   • モデルを訓練し、その後アンラーニングを行って $f_u^{(\ell)}$ を生成する。
   • 監査器は、$f_u^{(\ell)}$ から符号ベクトル $S^{(\ell)}$ を予測しようと試みる。
4. スコアリング: 監査器は、オーバーラップ・スコア $V^{(\ell)}$ を計算し、正しい非ゼロの推測（予測された符号が真の符号と一致するもの）の数をカウントする。
5. LDPへの帰着: 監査は局所差分プライバシー（LDP）問題へと帰着される。もしアンラーニング・アルゴリズムが $(\varepsilon, 0)$-証明付きであれば、監査器のメカニズムは $(2\varepsilon, 0)$-LDPであることが示される。
6. 仮説検定: 複数の独立した実行におけるオーバーラップ・スコアの分布を用いて、監査器は下位境界 $\varepsilon_{LB}$ を計算する。観測されたオーバーラップがランダムな推測を大幅に上回る場合、帰無仮説 ($H_0: \varepsilon \le \varepsilon_{LB}$) は棄却され、アンラーニングが不十分であることを示す。
7. 監査器の実装形態: 監査器のメカニズム $M$ として、以下の2つの具体的な実装が提案されている：
   • 実装 I (バッチ単位): $m$ が大きい場合に適している。LiRAに着想を得て、各バッチに対してロジット・スコアにガウス分布を適合させ、包含/除外を予測する。
   • 実装 II (結合符号ベクトル): $m$ が小さい（列挙可能である）場合に適している。符号ベクトル全体を一つの仮説として扱い、バッチ間の相関を捉え、累積尤度が最も高いベクトルを選択する。

主な貢献

1. 実用的な監査器の設計: 本論文は、差分プライバシーの監査技術を、単一の点レベルの近傍ではなく、サブセットレベルの忘却セットに特化した形でアンラーニングの設定へと拡張するメタ・アルゴリズムを導入している。
2. 理論的境界: 著者らは、経験的なオーバーラップ・スコアを、$\delta=0$ の場合において、制御された Type I Error を持つ $\varepsilon$ の有効な下位境界へと変換する新しい理論的境界（定理 4.2）を導出した。
3. 経験的な反証: 本フレームワークは、アンラーニングの主張を経験的に反証するためのツールを提供する。これは、厳格な理論的保証を持つアルゴリズムと、単なるヒューリスティックなアルゴリズムを区別するものである。

結果

監査器は、CIFAR-100（TinyNetモデルを使用）および Shakespeare テキストデータセット（LSTMを使用）を用いて評価された。実験は、証明付きおよび非証明のアンラーニング・アルゴリズムの両方を対象としている。

証明付き手法と非証明手法の明確な分離

• 証明付きアルゴリズム: Model Clipping (Koloskova et al., 2025) や Rewind-to-Delete (R2D) のような形式的な保証を持つ手法は、一貫して非常に小さな $\varepsilon_{LB}$ 値（多くの場合 0 に近い）を示した。これは、経験的な証拠が彼らの理論的保証を覆さないことを示している。
• 非証明/ヒューリスティック・アルゴリズム: Hessian-based unlearning、Interleaved Ascent-Descent (IDA)、Ascent on the Forget Set、および Pure Fine-tuning on the Retain Set を含む、形式的な保証を持たない手法は、大きな $\varepsilon_{LB}$ 値を示した。
  • 特に、凸性を前提として証明を謳っているヘッセ行列ベースの手法（Zhang et al., 2025）は、CIFAR-100（非凸領域）において 142.5 という $\varepsilon_{LB}$ を示した。これは、監査器が当該手法の前提条件の失敗を正しく検知したことを示している。
  • 純粋なファインチューニングや忘却セットへの漸増（ascent）も同様に高い境界を示し、アンラーニング性能の低さを露呈した。

データ分割の影響

研究では、一様分割（忘却セットと保持セットが特徴量のサポートを共有する場合）は、敵対的分割（ラベルクラスが互いに素である場合）と比較して、一般に高い $\varepsilon_{LB}$ 値をもたらすことが観察された。これは、一様分割における残留した記憶や意味的な隣接性が、アンラーニングの有効な達成をより困難にすることを示唆している。

凸領域 vs 非凸領域

凸損失（三次およびロジスティック）における実験では、証明された $\varepsilon$ と経験的な $\varepsilon_{LB}$ の差は、非凸なディープラーニングの設定よりもはるかに小さかった。これは、監査器が解析的に扱いやすい設定においてよりタイトであることを裏付けており、ディープラーニングで見られた大きな境界値は、監査器の緩さによるものではなく、ヒューリスティックな手法における真のアンラーニングの失敗に起因していることを示している。

意義および主張

本論文は、仮説検定フレームワークを通じて、アンラーニングの保証を経験的に反証するための最初の実用的なツールを提供すると主張している。その主な意義は、監査器の診断的価値にある：

• ヒューリスティックな手法は、効率性のために実用でよく使われるが、データの性質を削除することに頻繁に失敗していることを、高い $\varepsilon_{LB}$ 値によって明らかにしている。
• 証明付きの手法が（その前提条件が満たされている場合に）、強力なアドバーサリに対してもその保証を維持していることを検証している。
• 実世界のディープラーニングにおいて成立しない可能性のある前提（凸性など）に依存した、証明の主張の脆弱性を浮き彫りにしている。

著者らは、現在の分析は $\delta=0$ に限定されているものの、提案された監査器は、機械アンラーニング・アルゴリズムの有効性を評価するための厳格な基準を提供し、真の保証を持つものと、単に忘れたように見えるだけのものを区別するものであると結論付けている。