RUB: Evaluating Residual Knowledge in Unlearned Models

기술 요약: RUB: 언러닝된 모델에서의 잔류 지식 평가

문제 정의
기계 언러닝(Machine Unlearning, MUL)은 특정 데이터의 영향을 학습된 모델에서 선택적으로 제거하는 것을 목표로 하며, 개인정보 보호(예: GDPR, CCPA 준수) 및 콘텐츠 규제를 위한 핵심 메커니즘으로 부상했습니다. 기존 기술들은 언러닝의 실행을 검증하는 것(즉, 모델이 잔류 데이터셋에 대해 처음부터 다시 학습된 모델과 유사하게 동작하는지 확인하는 것)에 초점을 맞추고 있지만, 중요한 보안 격자인 **적대적 복구에 대한 강건성(robustness against adversarial recovery)**은 간과하고 있습니다. 현재의 방법들은 민감한 정보의 완전한 제거를 보장하지 못하는 경우가 많으며, 이로 인해 공격자가 악용할 수 있는 "잔류 지식(residual knowledge)"이 남게 됩니다. 선행 연구에 따르면, 특히 확산 모델(Diffusion Models, DMs)과 대규모 언어 모델(LLMs)에서 언러닝된 모델은 정교하게 설계된 입력(예: 적대적 프롬프트 또는 노이즈)을 통해 잊혀진 데이터를 재현하도록 조작될 수 있으며, 이는 언러닝 과정을 사실상 무효화합니다. 다양한 컴퓨터 비전 작업 전반에 걸쳐 이러한 취약성을 체계적으로 평가하기 위한 통합된 프레임워크가 부족한 실정입니다.

방법론: RUB 프레임워크
이러-격차를 해결하기 위해 저자들은 포스트 언러닝 적대적 정보 재현(post-unlearning adversarial information resurfacing)에 대한 언러닝 알고리즘의 강건성을 평가하기 위해 설계된 통합 프레임워크인 **RUB (Robust Unlearning Benchmark)**를 제안합니다.

1. 핵심 원칙 (강건한 언러닝): 본 논문은 "강건한 언러닝(Robust Unlearning)"을 언러닝된 모델이 잔류 데이터셋에 대해 재학습된 대응 모델과 구별 불가능할 뿐만 아니라, 잊혀진 정보를 복구하려는 적대적 시도에 대해서도 탄력성을 갖는 과정으로 정의합니다. 형식적으로, 잊혀진 데이터 집합 $D_u$의 임의의 데이터 포인트 $x$와 임의의 적대적 섭동(perturbation) $\delta_x$에 대하여, 언러닝된 모델 $f_u$는 공격 상황에서도 $x$에 대한 원래 모델의 출력과 유의미한 발산(divergence)을 유지해야 합니다.
2. 언러닝 매핑 공격 (Unlearning Mapping Attack, UMA): 저자들은 일반화 가능하고 모듈화된 적대적 탐사 도구로서 UMA를 도입합니다. UMA는 모델의 입력을 수정하여 출력이 제거 의도가 있는 정보를 드러내거나 근사하도록 만드는 공격 전략으로 정의됩니다.
   • 정식화: 화이트박스 설정(원래 모델과 언러닝된 모델 모두에 대한 전체 접근 권한을 가정)에서, UMA는 언러닝된 모델의 변형된 입력에 대한 출력이 원래의 잊혀진 데이터에 대한 원래 모델의 출력과 거리를 최소화하는 최적의 섭동 $\delta_i$를 찾는 것을 목표로 합니다: $\arg \min_{\delta_i} D[f_u(\delta_i, \theta_u), f(x_i, \theta)]$.
   • 태스크별 인스턴스화:
     • 판별 태스크 (Discriminative Tasks): 로짓(logits)에 대한 KL 발산(KL Divergence)을 사용합니다.
     • 이미지-투-이미지 (I2I): 재구성을 위해 평균 제곱 오차(MSE)를 사용합니다.
     • 텍스트-투-이미지 (T2I): 확산 프로세스의 노이즈 레벨 추정을 활용하여, 타겟 개념을 복구하기 위해 확산 단계를 최적화합니다.
3. 벤치마크 범위: RUB는 세 가지 뚜렷한 컴퓨터 비전 작업에 걸쳐 15개의 최첨단 언러닝 알고리즘을 평가합니다.
   • 이미지 분류 (Image Classification): CIFAR10, CIFAR100, Tiny-ImageNet 데이터셋을 포함합니다.
   • 이미지-투-이미지 재구성 (Image-to-Image Reconstruction): 마스크드 오토인코더(MAE) 설정을 갖춘 ImageNet-1k를 사용합니다.
   • 텍스트-투-이미지 합성 (Text-to-Image Synthesis): UnlearnDiffAtk 코드베이스를 사용하여 "Church", "Garbage Truck", "Nudity" 등의 개념에 대해 확산 모델을 평가합니다.
4. 평가 지표: 벤치마크는 태스크별 지표를 채택합니다.
   • 분류: 언러닝 정확도(UA, 잊혀진 데이터셋에 대한 생(raw) 정확도로 정의되며, 낮을수록 좋음), 멤버십 추론 공격(MIA) 성공률, 그리고 유틸리티 트레이드오프를 측정하기 위한 테스트 정확도(TA).
   • I2I: Inception Score (IS) 및 Fréchet Inception Distance (FID).
   • T2I: 공격 성공률(ASR) 및 성공적인 공격을 달성하는 데 필요한 최적화 단계 수.

주요 결과
15개 언러닝 방법에 대한 광범에한 실험은 심각한 취약성을 드러냅니다.

• 판별 태스크: 재학습(골드 스탠다드)은 강력한 강건성을 달성하는 반면, 기존 언러닝 방법들(예: FT, RL, IU, SalUn)은 다양한 정도의 취약성을 보입니다. 데이터셋의 복잡성이 증가함에 따라(CIFAR10에서 Tiny-ImageNet으로), 언러닝 효능과 강건성 모두 급격히 떨어집니다. 표준 검증 지표를 통과한 많은 방법들이 적대적 탐사 하에서는 완전히 실패하며, 공격 시 높은 UA 및 MIA 점수를 기록합니다.
• I2I 태스크: 언러닝된 모델은 일반적인 조건에서는 잊혀진 이미지를 재구성하지 못하는 경우가 많지만, 적대적 입력을 제공받으면 잊혀진 콘텐츠의 고품질 재구성을 생성하도록 강제될 수 있습니다. 작은 노이즈 섭동만으로도 언러닝 메커니즘을 우회하기에 충분합니다.
• T2I 태스크: 초기 언러닝 효능은 강력하게 입증되었음에도 불구하고, 대부분의 확산 기반 언러닝 방법들(예: AdvUnlearn, EraseDiff, ESD)은 제한된 강건성을 보입니다. 적대적 공격은 다양한 난이도(공격 단계로 측정됨)로 잊혀진 개념을 성공적으로 복구하며, 이는 잔류 지식이 지속되고 있음을 나타냅니다.
• 일반적 발견: "언러닝 효능"(표준 지표 상의 성능)과 "언러닝 강건성" 사이에는 일관된 격차가 존재합니다. 대부분의 현재 방법들은 적대적 복구 전략에 대해 탄력적이지 않습니다.

의의 및 주장
본 논문은 **강건성(Robustness)**을 언러닝 알고리즘을 평가하는 중심 기준으로 설정하며, 표준 검증을 통과하는 것만으로는 모델이 적대적 복구에 취약한 상태로 남아 있다면 불충분하다고 주장합니다.

• 최초의 종합 벤치마크: RUB는 다양한 비전 작업 전반에서 언러닝 알고리즘을 포스트 언러닝 적대적 복구에 대해 체계적으로 평가하는 최초의 프레임워크로 제시됩니다.
• 통합 프로토콜: 언러닝 방법이 실제로 잔류 지식을 제거하는지 경험적으로 검증하기 위한 표준화되고 확장 가능한 프로토콜(UMA)을 제공합니다.
• 연구 방향: 저자들은 자신들의 발견이 현재 언러닝 방법들의 근본적인 약점을 강조하며, 커뮤니티가 단순한 효능을 넘어 미래의 언러닝 알고리즘 설계에 명시적으로 강건성 고려 사항을 포함하도록 촉구한다고 주장합니다. 목표는 잊혀진 정보를 복구하려는 악의적인 시도를 견뎌낼 수 있는 더 신뢰할 수 있고 안전한 언러닝 관행을 위한 길을 닦는 것입니다.

본 논문은 현재의 방법들이 시작점은 될 수 있으나, 고위험 개인정보 보호 및 콘텐츠 규제 시나리오에 사용되기에는 아직 충분히 강건하지 않다고 결론지으며, RUB가 진정으로 탄력적인 언러닝 기술의 발전을 이끌기 위한 필수적인 도구 역할을 한다고 밝힙니다.