🤖 machine learning

Sequential Subspace Noise Injection Prevents Accuracy Collapse in Certified Unlearning

이 논문은 엄격한 차분 프라이버시 보장을 유지하면서 인증된 언러닝(certified unlearning)의 정확도를 크게 향면시키기 위해 직교하는 파라미터 부공간에 노이즈를 분산시키는 방법인 순차적 부공간 노이즈 주입(sequential subspace noise injection)을 소개한다.

원저자: Polina Dolgova, Sebastian U. Stich

게시일 2026-06-01

📖 3 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Polina Dolgova, Sebastian U. Stich

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

큰 문제: 모든 것을 지워버리는 "지우개"

당신에게 아주 숙련된 화가(머신러닝 모델)가 있고, 이 화가는 특정 사진 세트를 바탕으로 걸작을 그려냈다고 상상해 보세요. 그런데 갑자기 한 고객이 와서 이렇게 말합니다. "내가 준 그 특정 사진 하나를 잊어버려 주세요."

법적 세계(GDPR 등)에서는 단순히 잊은 척하는 것만으로는 부족합니다. 그 사진이 정말로 사라졌다는 것을 수학적으로 증려해야 합니다. 현재 이 작업을 수행하는 표준 방식은 **인증된 망각(Certified Unlearning)**이라 불립니다. 이것은 매우 공격적인 지우개처럼 작동합니다. 사진이 사라졌음을 증명하기 위해, 알고리즘은 화가의 기억에 엄청난 양의 "정적 노이즈(static noise)"를 추가한 다음 그림을 다시 그리려고 시도합니다.

문제점: 현재의 방식은 너무 공격적이어서 특정 사진만 지우는 것이 아니라 캔버스 전체를 문질러 버립니다. 화가는 그 사진뿐만 아니라 모든 것을 잊어버리게 됩니다. 그림을 다시 그리려고 할 때쯤이면 색들이 너무 탁해져서 그림을 망쳐버리게 됩니다(이를 "정확도 붕괴(accuracy collapse)"라고 합니다).

해결책: "한 번에 한 블록씩" 전략

저자들은 **블록 단위 노이즈 미세 조정(Block-wise Noisy Fine-Tuning)**이라는 새로운 방법을 제안합니다. 캔버스 전체를 한꺼번에 문지르는 대신, 그림을 작은 별개의 블록들(마치 타일 격자처럼)로 나눕니다.

이들의 방법이 어떻게 작동하는지 쉬운 비유를 통해 설명하겠습니다:

기존 방식 (대형 해머): 거대한 태피스트리에서 특정 얼룩을 제거하려고 하는데, 태피스트리 전체를 대형 해머로 내리치는 상황을 상상해 보세요. 얼룩은 지울 수 있겠지만, 전체에 구멍이 뚫릴 것입니다.
새로운 방식 (메스): 저자들은 태피스트리를 퍼즐처럼 다루라고 제안합니다. 전체를 격자로 덮습니다.
- 그들은 단 하나의 타일(모델의 메모리 중 한 블록)을 선택합니다.
- 그 하나의 타일에만 "노이즈"(지우개)를 적용합니다.
- 나머지 모든 타일은 고정된 상태로 건드리지 않고 그대로 둡니다.
- 그런 다음, 다음 타일로 이동하여 이 과정을 반복합니다.

이것이 도움이 되는 이유: 한 번에 모델의 아주 작은 부분만 흔들기 때문에 나머지 모델은 안정적으로 유지됩니다. "노이즈"가 전체 시스템을 압도하지 않습니다. 이는 방 안의 물건을 찾으려고 가구 전체를 창밖으로 던져버리는 것이 아니라, 서랍 하나씩 차례대로 정리하는 것과 같습니다.

두 번째 문제: "최악의 경우"에 대한 공포

논문은 기존 방식의 두 번째 문제점도 지적합니다. 기존 규칙들은 화가가 완전히 빈 캔버스(무작위 상태)에서 시작하더라도 작동하도록 설계되었습니다. 이로 인해 알고리즘은 가장 안전하기 위해 최악의 시나리오를 가정해야 했고, 결과적으로 더 많은 노이즈를 요구하게 되었습니다.

저자들은 현실에서 화가는 아무것도 없는 상태에서 시작하는 것이 아니라, 완성된 그림에서 약간의 수정만 하면 된다는 점을 깨달았습니다. 그들은 원래의 그림과 문제가 되는 사진이 빠진 그림 사이의 "거리"를 측정하는 새로운 방법을 도입했습니다. "최악의 경우"를 가정하는 대신 이 현실적인 측정법을 사용함으로써, 더 적은 노이즈를 사용하여 그림을 더 선명하게 유지할 수 있었습니다.

결과: 예술을 망치지 않고 깨끗하게 비우기

연구진은 이미지 인식 작업(사진 속 고양이와 강아지를 식별하는 것 등)에 대해 이 방법을 테스트했습니다.

기존 방식: 데이터를 제거하려고 시도했을 때, 모델의 정확도가 88%에서 20% 미만으로 떨어졌습니다. 재앙이었습니다.
새로운 방식: "한 번에 한 블록씩" 접근하는 방식을 사용함으로써, 모델은 원치 않는 데이터를 성공적으로 제거하면서도(데이터가 사라졌음을 증명함), 처음부터 다시 학습시킨 것과 거의 비슷한 수준으로 이미지를 인식하는 능력을 유지했습니다.

핵심 요약

이 논문은 단순히 "우리가 더 빠르게 만들었다"고 말하는 것이 아닙니다. 이는 안전 보장(데이터가 사라졌음을 증명하는 것)이 AI의 유용성을 파괴해 버리는 근본적인 결함을 해결합니다.

그들은 "안전 노이즈"를 스마트하고 순차적인 패턴(블록 단위)으로 적용하고, 더 현실적인 시작점을 찾는 방법을 찾아냈습니다. 이를 통해 엄격한 법적 안전성과 실용적인 작동 기술 사이의 간극을 메울 수 있게 되었습니다.

기술 요약: 인증된 언러닝을 위한 순차적 부분 공간 노이즈 주입 (Sequential Subspace Noise Injection for Certified Unlearning)

문제 정의

머신 언러닝(Machine unlearning)은 GDPR과 같은 규정을 준수하거나 민감한 정보를 제거하기 위해 훈련된 모델에서 특정 훈련 데이터의 영향력을 제거하는 것을 목표로 합니다. 처음부터 다시 훈련하는 것이 가장 확실한 방법이지만, 이는 계산 비용 측면에서 매우 비효리적일 수 있습니다. 차분 프라이버시(Differential Privacy, DP)에 기반한 인증된 언러닝(Certified unlearning) 방식은 데이터 제거에 대한 공식적인 보증을 제공하지만, 결정적인 실무적 한계인 정확도 붕괴(accuracy collapse) 문제를 겪습니다.

그래디언트 클리핑(gradient clipping)을 사용하는 노이지 파인튜닝(Noisy Fine-Tuning, NFT)과 같은 기존 방식은 $(\epsilon, \delta)$ -언러닝 보증을 충족하기 위해 가우시안 노이즈를 주입합니다. 그러나 과잉 매개변수화된 딥 네트워크에서 언러닝을 인증하는 데 필요한 노이즈는 모든 매개변수에 걸쳐 그래디언트 신호를 압도할 만큼 커질 수 있습니다. 실험 결과에 따르면, 표준 NFT는 테스트 정확도를 급격히 떨어뜨리며(예: CIFAR-10에서 88%에서 20% 미만으로 하락), 이후의 파인튜닝을 통해서도 회복되지 못하는 경우가 많습니다. 이는 엄격한 공식적 보증을 유지하는 것과 모델의 유용성(utility)을 보존하는 것 사이에 긴장 관계를 형성합니다.

방법론

저자들은 정확도 붕괴를 완화하면서도 공식적인 인증 보증을 유지하도록 설계된 기존 NFT 프레임워크의 수정안인 **블록 단위 노이지 파인튜닝(Block-wise Noisy Fine-Tuning, Block-wise NFT)**을 제안합니다. 이 방법은 기존 인증된 언러닝 분석의 두 가지 구체적인 병목 현상을 해결합니다.

1. 순차적 부분 공간 노이즈 주입 (Sequential Subspace Noise Injection)

표준 NFT는 매 단계마다 전체 매개변수 공간에 노이즈를 주입합니다. 저자들은 고차원 모델의 경우 노이즈 벡터의 $\ell_2$ -노름( $\sigma\sqrt{d}$ )이 클리핑된 그래디언트 업데이트를 압도한다는 점을 관찰했습니다.

접근 방식: 매개변수 공간 $\mathbb{R}^d$ 를 $k$ 개의 상호 직교하는 부분 공간(blocks)으로 분할합니다.
메커니즘: 하나의 블록을 한 번에 하나씩 순차적으로 업데이트합니다. 특정 블록을 업데이트하는 동안에는 해당 부분 공간에만 노이즈가 주입되며, 나머지 모든 매개변수는 고정됩니다.
이점: 이를 통해 동일한 인증된 노이즈 예산을 시간과 저차원 부분 공간에 걸쳐 재분배할 수 있습니다. 한 단계당 좌표의 일부( $1/k$ )로 섭동(perturbation)을 제한함으로써, 단계별 왜곡을 크게 줄여 노이즈가 훈련 신호를 지배하는 것을 방지합니다.

2. 근접성 기반 캘리브레이션 ( $\Delta(\rho)$ )

표준 NFT 분석은 임의의 초기화를 처리하기 위해 최악의 경우 모델 클리핑 반경( $C_0$ )에 의존하는 경우가 많으며, 이는 지나치게 보수적인 노이즈 요구사항을 초래합니다.

접근 방식: 저자들은 최악의 경우의 초기화 가정을 대신하여 고확률 근접성 파라미터인 $\Delta(\rho)$ 를 도입합니다. 이 파라미터는 고정된 무작위성 결합(coupling of randomness) 하에서 완전히 훈련된 모델(전체 데이터셋 기반)과 재훈련된 모델(잔류 데이터셋 기반) 사이의 거리를 제한합니다.
메커니즘: 노이즈 분산과 클리핑을 최악의 경우의 직경이 아닌 실제 거리 $\Delta(\rho)$ 에 따라 캘리브레이션함으로써, 필요한 노이즈 분산을 줄입니다.
이점: 이는 특정 재훈련 비교에 맞춤화된 인증을 제공하여, 훈련 불가지론적인 최악의 경우 경계값(worst-case bounds)이 갖는 비관론을 피할 수 있게 합니다.

알고리즘 개요

Block-wise NFT 알고리즘은 다음과 같이 진행됩니다:

분할(Partitioning): 모델 가중치를 $k$ 개의 직교하는 블록으로 분해합니다.
순차적 업데이트(Sequential Updates): 각 블록 $i$ $i$ 에 대해:
- 블록 $i$ 를 제외한 모든 매개변수를 고정합니다.
- $\Delta(\rho)$ 로부터 도출된 캘리브레이션된 노이즈 분산 $\sigma^2$ 와 단계 수 $T$ 를 사용하여 블록 $i$ 에 노이지 파인튜닝을 적용합니다.
- 초기 최악의 경우 클리핑( $C_0$ )은 적용하지 않으며, 오직 근접성 기반 경계값만을 사용합니다.
최종화(Finalization): 모든 블록이 순차적으로 업데이트된 후, 전체 모델에 대해 표준 파인튜닝을 수행하여 유용성을 회복합니다.

주요 기여

방법론: 직교하는 매개변수 블록에 걸쳐 순차적으로 인증된 노이즈 업데이트를 적용하는 Block-wise NFT를 도입했습니다. 이는 언러닝 스케줄 동안 전체 매개변수 범위를 보장하면서도 단계별 왜곡을 줄입니다.
인증(Certification): NFT 인증 분석을 블록 단위 스케줄로 확장했습니다. 저자들은 동일한 $(\epsilon, \delta)$ 프라이버시 예산이 유지됨을 증명했습니다. 또한 최악의 경우 모델 클리핑을 근접성 파라미터 $\Delta(\rho)$ 로 대체하는 것을 정형화했습니다.
이론적 통찰: 훈련 불가지론적이고 최악의 경우를 가정하는 인증이 유용성-효율성 간의 긴장을 생성한다는 "공식적 병목 현상(Formal Bottleneck)"을 식별했습니다. 저자들은 초기화 불가지론적 구별 불가능성(initialization-agnostic indistinguishability) 하에서는 재훈련보다 적은 단계 내에서 높은 유용성을 유지하는 것이 불가능함을 입증하며, 근접성 기반 정식화로의 전환을 정당화했습니다.
실험적 검증: MNIST 및 CIFAR-10 벤치마크(ResNet-18 및 ViT-Tiny 사용)에서 무작위 및 클래스별 삭제 상황 모두에 대해 Block-wise NFT가 표준 NFT, 처음부터 재훈련, 그리고 다양한 경험적(비인증) 언러닝 베이스라인과 비교하여 성능을 입증했습니다.

실험 결과

본 논문은 Block-wise NFT를 표준 NFT, 처음부터 재훈련, 그리고 다양한 경험적(비인증) 언러닝 베이스라인과 비교 평가합니다.

정확도 회복: ViT-Tiny를 사용한 CIFAR-10 실험에서, 표준 NFT는 정확도를 20% 미만으로 떨어뜨리고 회복에 실패합니다. 반면, Block-wise NFT는 언러닝 단계 동안 훨씬 높은 정확도를 유지하며 파인튜닝 후 재훈련 수준에 근접하게 회복됩니다.
프라이버시 보증: 이 방법은 100% 언러닝 정확도(UA)와 100% MIA 점수(정보 누출 없음 의미)를 달려, 재훈련의 성능과 일치하는 결과를 보여줍니다.
효율성: Block-wise NFT는 계산 효율적이며, 실행 시간은 표준 NFT와 유사하고 처음부터 재훈련하는 것보다 훨씬 빠릅니다.
강건성: 이 방법은 다양한 블록 크기( $k$ )와 블록 구성 전략(무작위 vs 레이어별)에 대해서도 효과적이며, 파티셔닝 방식에 크게 민감하지 않음을 보여줍니다.

의의 및 주장

본 논문은 Block-wise NFT가 엄격한 공식적 보증과 실제적인 유용성 사이의 간극을 메운다고 주장합니다.

정확도 붕괴 완화: 주요 기여는 DP 기반 언러닝과 관련된 심각한 정확도 저하가 인증된 언러닝의 본질적인 한계가 아니라, 특정 설계 선택(전체 공간 노이즈 주입 및 최악의 경우 클리핑)의 결과임을 입증한 것입니다.
실용적 생존 가능성: 순차적 부분 공간 주입과 근접성 캘리브레이션을 활용함으로써, 연구된 영역에서 인증된 언러닝을 훨씬 덜 파괴적으로 만듭니다.
한계 및 범위: 저자들은 주장의 일반성에 대해 신중한 태도를 취합니다. $\Delta(\rho)$ 의 캘리브레이션은 경험적이며 특정 모델 클래스와 훈련 파이프라인에 종속적임을 언급합니다. 또한 이들의 보증은 명시된 인증 설정과 캘리브레이션 절차를 전제로 하며, 적절한 캘리브레이션 없이 모든 언러닝 시나리오에 대한 보편적인 해결책이라고 주장하지 않습니다.

요약하자면, 본 연구는 인증된 언러닝이 최악의 경우를 가정한 전역적 노이즈 주입에서 벗어나, 언러닝 과정에 참여하는 모델 간의 실제 근접성을 존중하는 구조화된 순차적 업데이트로 전환함으로써 대규모 모델에서도 실용적으로 만들어질 수 있다고 주장합니다.