🤖 machine learning

LoTUS: Large-Scale Machine Unlearning with a Taste of Uncertainty

이 논문은 사전 학습된 모델로부터 훈련 샘플의 영향을 제거하기 위해 예측 확률을 정보 이론적 경계치로 평활화함으로써, 재학습 없이도 표준 및 대규모 데이터셋 모두에서 최신 베이스라인 모델들을 능가하는 새롭고 효율적인 머신 언러닝 방법인 LoTUS를 소개한다.

원저자: Christoforos N. Spartalis, Theodoros Semertzidis, Petros Daras, Efstratios Gavves

게시일 2026-06-09

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Christoforos N. Spartalis, Theodoros Semertzidis, Petros Daras, Efstratios Gavves

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

당신에게 방대한 교과서를 통째로 암기한 매우 똑똑한 학생이 있다고 상상해 보세요. 이 학생은 너무나 뛰어나서 모든 페이지의 구체적인 사실들을 암송할 수 있습니다. 하지만 이제, 그 교과서의 몇몇 페이지가 익명을 원하는 누군가에 의해 쓰였거나, 혹은 삭제해야 할 민감한 정보를 포함하고 있는 상황을 상상해 보세요.

당신은 이 학생이 전체 책을 처음부터 다시 읽기 위해 학교로 돌려보내지 않고도, 마치 그 특정 페이지들을 본 적이 없는 것처럼 완전히 "망각"하기를 원합니다. 이것이 바로 **머신 언러닝(Machine Unlearning)**의 문제입니다.

이 논문은 이 문제를 해결하기 위한 새로운 방법인 LoTUS(Logits Tempering Unlearning Strategy)를 소개합니다. 이 방법이 어떻게 작동하는지 쉬운 비유를 통해 설명하겠습니다.

문제점: "과잉 확신"에 빠진 학생

딥러닝 모델(학생과 같은)은 학습 데이터의 특정 세부 사항을 "암기"하는 경우가 많습니다. 만약 당신이 독특한 흉터가 있는 고양이 사진을 보여준다면, 모델은 단순히 "고양이"를 배우는 것이 아니라 "그 특정 흉터를 가진 고양이"를 배웁니다.

이러한 암기 때문에 모델은 과잉 확신(over-confident) 상태가 됩니다. 모델은 "이것은 저 특정 고양이가 99.9% 확실하다!"라고 말합니다. 이는 위험합니다. 왜냐하면 이는 모델이 해당 특정 이미지를 이전에 보았음을 드러내기 때문입니다. 해커들은 이러한 과잉 확신을 이용해 특정 인물의 사진이 학습 데이터에 포함되었는지 알아내는 프라이버시 공격을 가할 수 있습니다.

해결책: LoTUS (The "Cool-Down" Strategy)

모델을 처음부터 다시 학습시키는 것(학생에게 도서관 전체를 다시 읽게 하는 것과 같은) 대신, LoTUS는 잊어야 할 특정 이미지에 대한 모델의 확신을 부드럽게 "식혀줍니다(cool down)".

모델의 출력을 뜨겁고 날카로운 레이저 빔이라고 생각해 보세요. LoTUS는 이 레이저를 부드럽고 퍼지는 스포트라이트로 바꿉니다.

확률의 평활화(Smoothing the Probabilities): 이 방법은 "망각"할 이미지에 대한 모델의 예측을 가져와서 그 확신을 줄입니다. 확신을 분산시켜 모델이 더 이상 그 특정 세부 사항에 대해 확신하지 못하게 만듭니다.
"골드 스탠다드(Gold Standard)" 목표: 목표는 모델이 "망각"할 이미지에 대해, 마치 그 이미지를 본 적이 없었을 때처럼 행동하게 만드는 것입니다. 만약 모델이 "흉터 있는 고양이"를 본 적이 없다면, 모델은 그에 대해 덜 확신했을 것입니다. LoTUS는 모델이 덜 확신하도록 강제하여, "본 적이 없는" 상태를 모사합니다.
온도 조절 노브(The Temperature Knob): 이 방법은 "온도(temperature)" 설정(온도 조절기 같은 것)을 사용합니다.
- 만약 모델이 여전히 너무 확신한다면(너무 뜨겁다면), 시스템은 온도를 높여 예측을 더 무작위적이고 불확실하게 만듭니다.
- 만약 모델이 너무 혼란스러워진다면(너무 차갑다면), 온도를 낮추어 다시 초점을 날카롭게 맞춥니다.
- 시스템은 모델의 행동이 해당 이미지를 본 적이 없는 모델의 행동과 일치할 때까지 이 노브를 끊임없이 조절합니다.

새로운 도구: "재시험 없는" 성적표

보통, 당신이 학생에게 무언가를 성공적으로 잊게 만들었다는 것을 증명하려면, 학생을 다시 학교로 보내서 나쁜 페이지들을 제외하고 모든 것을 다시 가르친 뒤 두 버전을 비교해야 합니다. 이는 비용이 많이 들고 느립니다.

저자들은 작업의 성과를 확인하기 위한 RF-JSD(Retrain-Free Jensen-Shannon Divergence)라는 새로운 측정 방법을 발명했습니다.

비유: 학생을 다시 가르치고 두 버전을 비교하는 대신, 당신은 단지 학생의 현재 답변을 보고 "미지의 상자" 안에 있는 새로운 질문들과 비교하기만 하면 됩니다.
만약 학생의 "망각" 질문에 대한 답변이 "새로운" 질문(학습한 적이 없는 질문)에 대한 답변과 유사하다면, 당신은 학생이 성공적으로 망각했음을 알 수 있습니다.
이를 통해 모델을 재학습시키지 않고도 프라이버시 유출 여부를 확인할 수 있으며, 이는 재학습이 불가능한 ImageNet과 같은 거대 데이터셋에서 매우 중요합니다.

연구 결과

연구진은 다양한 모델(Vision Transformer, ResNet 등)과 데이터셋(CIFAR와 같은 작은 데이터셋부터 ImageNet과 같은 거대한 데이터셋까지)에 대해 LoTUS를 테스트했습니다.

다른 방식보다 우수함: LoTUS는 비교 대상이 된 모든 다른 방법들보다 더 빠르고 효과적이었습니다.
대규모 데이터에서도 작동함: 연구진은 재학습이 사실상 불가능한 시나리오인 ImageNet(100만 개 이상의 이미지)에서도 이를 성공적으로 사용했습니다.
"스트라이샌드 효과(Streisand Effect)"를 방지함: 때때로 무언가를 숨기려 할 때 오히려 그것을 더 눈에 띄게 만들기도 합니다. LoTUS는 이를 피합니다. 단순히 모델이 틀린 답을 내도록 만드는 것(이는 명백히 드러남)이 아니라, 모델을 진정으로 불확실하게 만듭니다. 이는 '모르는 상태'의 자연스러운 모습입니다.

요약

LoTUS는 AI를 위한 영리한 "지우개"입니다. 책 전체를 지우는 것이 아니라, 잊어야 할 특정 페이지들을 부드럽게 흐릿하게 만들어 AI가 그 내용에 대해 너무 확신하지 않도록 하며, 이 과정에서 엄청난 시간과 컴퓨터 자원을 절약합니다. 또한, 그들은 기계를 다시 구축하지 않고도 지우기 작업이 얼마나 잘 되었는지 측정할 수 있는 새로운 자(RF-JSD)를 만들었습니다.

기술 요약: LoTUS – 불확실성을 가미한 대규모 머신 언러닝 (Large-Scale Machine Unlearning with a Taste of Uncertainty)

1. 문제 정의

머신 언러닝(Machine Unlearning, MU)은 사전 학습된 모델을 처음부터 다시 학습시키지 않고도 특정 학습 샘플(이하 "망각 집합(forget set)")의 영향을 제거하는 것을 목표로 합니다. 이는 개인정보 보호, 저작권 준수, 편향 완화를 위해 매우 중요합니다. 그러나 기존 방식들은 세 가지 주요 과제에 직면해 있습니다:

효율성: 처음부터 다시 학습시키는 것("골드 스탠다드")은 ImageNet1k와 같은 대규모 데이터셋의 경우 계산 비용이 너무 많이 들어 실행 불가능합니다.
데이터 접근성: 실제 환경에서는 개인정보 보호 정책이나 저장 공간의 제한으로 인해 원래 학습 데이터 전체에 대한 접근이 제한되는 경우가 많으며, 이로 인해 재학습이 불가능해집니다.
효과성 vs. 유지력: 방법론은 남겨진 데이터에 대한 모델의 유용성을 보존하면서 망각 샘플의 영향을 효과적으로 제거해야 합니다. 기존 접근 방식들은 종종 이러한 상충하는 목표 사이의 균형을 맞추는 데 어려움을 겪거나 골드 스탠다드의 성능을 정확하게 근사하는 데 실패합니다.

현재의 언러닝 기술은 일반적으로 정확한 언러닝(통계적으로 재학습된 것과 구별할 수 없으나 종종 실행 불가능함) 또는 근사적 언러닝(골드 스탠다드와의 근접성을 측정하기 위해 다양한 지표를 사용함)으로 분류됩니다. 대규모 모델에서 현실적인 데이터 제약 조건 하에 효율적으로 작동하면서도, 재학습된 골드 스탠다드 모델을 필요로 하지 않는 강력한 평가 지표를 제공하는 방법론에는 큰 격차가 존재합니다.

2. 방법론: LoTUS

저자들은 정보 이론적 프레임워크를 사용하여 모델의 출력 공간에서 직접 작동하는 새로운 접근 방식인 LoTUS(Logits Tempering Unlearning Strategy)를 제안합니다.

핵심 개념: 엔트로피와 불확실성

LoT는 딥 뉴럴 네트워크(DNN)가 샘플 특유의 특징을 암기하여 학습 데이터에 대해 과도하게 확신하는 예측(over-confident predictions)을 하는 경향을 다룹니다. 이러한 과도한 확신은 멤버십 추론 공격(MIA)에 악용되는 취약점입니다. LoTUS는 망각 샘플의 예측 확률을 평활화(smoothing)하여 엔트로피를 높임으로써, 모델의 응답이 미학습 데이터에 대한 응답과 유사해지도록 유도합니다.

이론적 프레임워크

이 방법은 전역 정보(클래스 전반에 걸쳐 공유되는 특징, 예: 일반적인 고양이 형태)와 서브셋 특유의 정보(특정 샘플만의 고유한 특징, 예: 고유한 털 패턴)의 분리에 기초합니다.

목표: 서브셋 특유의 정보( $I(f_{orig}(X_f); X_f | X)$ )를 제거하는 동시에 전역 정보( $I(f_{orig}(X_f); X)$ )를 유지하는 것입니다.
근사: 상호 정보량(mutual information)을 직접 추정하는 것은 계산 집약적이므로, LoTUS는 망각 집합( $D_f$ )에 대한 언러닝된 모델의 정확도를 미학습 세트( $D_u$ )에 대한 원래 사전 학습 모델의 정확도와 동일하게 만듦으로써 언러닝 목표를 근사합니다:
$Acc(f_{un}, D_f) = Acc(f_{orig}, D_u)$
여기서 $D_u$ 는 검증 세트나 합성 데이터가 될 수 있습니다. 이는 언러닝된 모델이 $D_f$ 에 대해 가졌던 "암기된" 확신을 보유하지 않도록 보장합니다.

구현: 동적 온도 조절 및 Gumbel 노이즈

LoTUS는 학생 모델( $f_{un}$ )이 교사 모델( $f_{orig}$ )로부터 학습하는 지식 증류(knowledge distillation) 프레 framework를 채택합니다.

Gumbel-Softmax 섭동(Perturbation): 교사의 로짓(logits)은 Gumbel-Softmax 함수를 통해 Gumbel 노이즈( $g \sim \text{Gumbel}(0,1)$ )와 온도 파라미터( $\tau$ )를 사용하여 섭동됩니다. 이는 무작위성을 도입하고 미분 가능한 샘플링을 가능하게 합니다.
동적 온도 조절: 온도 $\tau_d$ $τ_{d}$ 는 학생 모델의 망각 집합에 대한 정확도와 교사 모델의 미학습 세트에 대한 정확도 차이에 따라 매 에포크(epoch)마다 동적으로 조정됩니다:
$\tau_d = \exp(\alpha \cdot (Acc(f_{un}, D_f) - Acc(f_{orig}, D_u)))$
- 만약 학생 모델이 $D_f$ 에 대해 너무 정확하다면(암기를 나타냄), $\tau_d > 1$ 이 되어 확률을 평활화하고 엔트로피를 높입니다.
- 만약 학생 모델이 너무 부정확하다면(과도한 언러닝), $\tau_d < 1$ 이 되어 확률을 날카롭게 만들어 유용성을 복구합니다.
손실 함수: 손실 함수는 "망각(forget)" 항(동적 $\tau_d$ 를 적용한 섭동된 교사 출력 사용)과 "유지(retain)" 항(유용성 보존을 위해 $\tau \to 0$ 을 사용하여 예측을 날카롭게 만든 교사 출력 사용)을 결합합니다.

3. 주요 기여

LoTUS 알고리즘: 정보 이론적 경계(information-theoretic bound)를 사용하여 출력 공간에서 직접 작동하는 최초의 언러닝 방법입니다. 이는 무차별적인 엔트로피 극대화를 피하면서 동적 온도 파라미터를 통해 불확실성을 제어합니다.
RF-JSD 지표: **재학습이 필요 없는 젠슨-샤논 발산(Retrain-Free Jensen-Shannon Divergence, RF-JSD)**을 도입했습니다. 이 지표는 망각 집합에 대한 언러닝된 모델의 출력과 미학습 세트에 대한 원래 모델의 출력을 비교하여 언러닝의 효과를 평가합니다. 이는 골드 스탠다드 모델을 재학습할 필요를 없애주어, 실제 대규모 시나리오에 적합하게 만듭니다. RF-JSD는 기존의 JSD 점수와 높은 피어슨 상관관계( $0.92 \pm 0.04$ )를 보입니다.
대규모 실험 설정: 재학습이 불가능한 상황을 시뮬레이션하기 위해 데이터 접근이 제한된 ImageNet1k(1.2M 샘플) 데이터셋을 활용한 새로운 평가 프레임워크를 구축했습니다.

4. 실험 결과

저자들은 다섯 가지 데이터셋(CIFAR-10, CIFAR-100, MUFAC, TinyImageNet, ImageNet1k)에 대해 Vision Transformer(ViT) 및 ResNet18 아키텍처를 사용하여 LoTUS를 평가했습니다.

효과성: LoTUS는 망각과 유지의 균형을 측정하는 Avg Gap 지표와 골드 스탠다드와의 분포 유사성 및 스트라이샌드 효과(Streisand effect)에 대한 탄력성을 측정하는 JSD 측면에서 8개의 최신(SOTA) 베이스라인(Finetuning, NegGrad+, SalUn, SCRUB 포함)을 일관되게 능가했습니다.
효율성: LoTUS는 종종 베이스라인보다 적은 시간을 요구하며 우수한 계산 효율성을 입증했습니다. 이는 단 30%의 유지 샘플만을 사용할 수 있는 능력과 보조 계산에서의 선형 복잡도 덕분입니다.
대규모 성능: 재학습이 불가능한 ImageNet1k에서 LoTUS는 가장 낮은 RF-JSD 점수(원래 모델의 1.22 대비 1.11, 베이스라인들은 이보다 높음)를 기록하여 효과적인 언러닝을 입증했습니다. 또한 멤버십 추론 공격(MIA) 정확도를 크게 낮추면서도 유지 정확도(Retain Accuracy)를 독보적으로 보존했습니다.
강건성: 미학습 세트가 합성 AI 생성 데이터(CIFAKE)로 구성된 경우에도 방법론이 효과적으로 유지되어, 분포 유사성 가정의 완화 가능성을 검증했습니다.

5. 의의 및 주장

본 논문은 LoTUS가 다음과 같은 점에서 머신 언러닝의 중요한 진전임을 주장합니다:

격차 해소: 재학습이 비현실적인 대규모 모델에서도 효과적이고 효율적인 방법을 제공합니다.
실제 적용 가능성: RF-JSD 지표의 도입은 골드 스탠다드가 존재하지 않는 시나리오(개인정보 보호가 민감한 산업계의 흔한 제약 조건)에서도 엄격한 평가를 가능하게 합니다.
이론적 엄밀성: 단순한 휴리스틱 접근을 넘어, 정보 이론에 기반하여 전역적 유용성을 보존하면서 서브셋 특유의 정보를 제거하는 것을 목표로 함으로써 언러닝 과정을 정립했습니다.
우월성: 특정 데이터를 잊는 것과 모델 성능을 유지하는 것 사이의 트레이드오프를 조절하는 데 있어 기존 SOTA 방법들을 능가하며, 언러닝이 오히려 데이터를 더 식별 가능하게 만드는 스트라이샌드 효과를 완화함을 입증했습니다.

저자들은 LoTUS 프레임워크가 클래스 단위 언러닝으로 확장될 수 있으나, 본 실험적 검증은 주로 인스턴스 단위(instance-wise) 언러닝에 집중하고 있음을 명시했습니다. 이 연구는 제약된 환경에서의 확장 가능하고 개인정보를 보호하는 머신 러닝을 향한 단계로 제시되었습니다.