기술 요약: DurableUn - 기계적 망각에서의 양자화 유도 복구 공격

1. 문제 제기

기계적 망각 (Machine Unlearning) 은 GDPR 과 같은 개인정보 보호 규정을 준수하기 위해 모델에서 특정 학습 데이터를 제거하는 것을 목표로 합니다. 그러나 현재 평가 프로토콜은 치명적인 '배포 간극 (deployment gap)'으로 고통받고 있습니다. 표준 평가는 망각 감사 (unlearning audit) 시 사용되는 정밀도 (일반적으로 bfloat16 또는 BF16) 가 실제 생산 환경에서 사용되는 정밀도와 일치한다고 가정합니다. 하지만 현실에서 대규모 언어 모델 (LLM) 은 메모리 풋프린트를 줄이고 추론 속도를 높이기 위해 저비트 정밀도 (INT4 또는 INT8) 로 자주 배포됩니다.

저자들은 이 정밀도 불일치가 체계적인 취약점을 생성한다고 지적합니다. 즉, 모델은 BF16 에서 데이터를 성공적으로 '잊어버려' (거의 0 에 가까운 망각 정확도, FA $\approx$ 0 으로 개인정보 보호 감사를 통과) 도, 배포를 위해 INT4 로 양자화되면 잊혀진 정보가 모델 출력에서 체계적으로 재등장합니다. 저자들은 이 현상을 **양자화 복구 공격 (Quantization Recovery Attack, QRA)**이라고 명명했습니다. 이는 단순한 새로운 공격 변종이 아니라, 표준 배포 변환 하에서 개인정보 보호를 명백히 위반하는 것으로 증명되는 모델이 규제 준수 인증을 받는 현재의 평가 프로토콜에서의 근본적인 유효성 실패입니다.

2. 방법론 및 설정

실험 체계

본 연구는 모델이 NormalFloat4 (NF4) 정밀도로 로드되고 저랭크 적응 (LoRA) 어댑터가 BF16 으로 학습되는 NF4+LoRA 배포 패러다임에 초점을 맞춥니다. 이는 효율적인 파인튜닝 및 배포를 위한 일반적인 설정입니다.

• 모델: LLaMA-3-8B-Instruct (주요) 및 Mistral-7B-Instruct (일반화용).
• 데이터셋: TOFU (가상 저자), MUSE-News (실제 뉴스), WikiBio-WPU (역사적 인물).
• 베이스라인: Gradient Ascent (GA), Negative Preference Optimization (NPO), SCRUB, SalUn, Representation Manipulation Unlearning (RMU), AlphaEdit, GradDiff 등 7 가지 확립된 망각 방법이 평가되었습니다.
• 양자화 시뮬레이션: 저자들은 행 단위 대칭 양자화 방식을 사용하여 LoRA 어댑터 가중치에 INT4 및 INT8 양자화를 시뮬레이션했습니다. 또한 병합된 모델에 대한 실제 bitsandbytes 사후 학습 양자화 (PTQ) 를 통해 이 시뮬레이터를 검증했습니다.

제안된 솔루션: DURABLEUN-SAF

이 취약점을 해결하기 위해 저자들은 DURABLEUN-SAF(Sharpness-Aware Forgetting) 를 제안합니다.

• 핵심 통찰: 표준 경사 상승 (Gradient Ascent, GA) 은 망각 목적 함수에 대해 '날카로운 (sharp)' 손실 지형을 생성합니다. 모델이 전체 정밀도에서 망각을 달성하더라도 손실 지형이 가파르므로, INT4 양자화 잡음과 같은 작은 교란이 모델을 다시 '기억'하는 상태로 쉽게 밀어넣습니다.
• 메커니즘: DURABLEUN-SAF 는 INT4 반올림 연산을 통한 그래디언트 계산을 위해 **Straight-Through Estimator (STE)**를 사용하는 양자화 인지 목적 함수를 도입합니다. 목적 함수는 세 가지 항을 결합합니다:
  1. 표준 망각 손실 ($L_f$).
  2. 양자화 인지 망각 손실 ($L_f(Q_{STE}(\theta))$): 시뮬레이션된 INT4 교란 하에서도 모델이 망각하도록 강제합니다.
  3. 유지 손실 ($L_r$): 유용성을 보존합니다.
• 학습 전략: 이 방법은 양자화 인지 항에 대한 워밍업 스케줄을 적용하고, 양자화 가중치 ($\alpha$) 에 따라 유지 균형 ($\lambda$) 을 동적으로 조정합니다.

3. 주요 발견 및 결과

FA–RA–Q-INT4 삼각형 (Trilemma)

본 연구는 FA–RA–Q-INT4 삼각형이라는 구조적 제약을 식별했습니다. 평가된 모든 구성이 다음을 동시에 달성하지 못합니다:

1. 강력한 망각 (FA $\le$ 0.05).
2. 높은 유용성 (유지 정확도, RA $\ge$ 0.50).
3. 양자화 견고성 (Q-INT4 $\le$ 0.05).

밀집된 파레토 스윕 (dense Pareto sweep) 을 통해 저자들은 **급격한 위상 전이 (sharp phase transition)**를 관찰했습니다. 견고성 (Q-INT4 < 0.05) 을 달성하기 위해 양자화 압력 ($\alpha$) 이 증가함에 따라 유지 정확도 (RA) 는 급격히 붕괴 (예: 약 0.52 에서 약 0.045 로) 하며 추가 튜닝으로 복구될 수 없습니다. 이는 삼각형이 NF4+LoRA 체계 내 공유 가중치 공간의 결과이며, 하이퍼파라미터 인공물이 아님을 시사합니다.

양자화 복구 공격 (QRA)

• INT8 은 무해함: 7 가지 베이스라인 전반에 걸쳐 INT8 양자화는 Q-INT4 = 0.000 을 기록하여 8 비트 정밀도가 복구를 유발할 만큼 정밀하지 않음을 나타냈습니다.
• INT4 는 치명적임: INT4 양자화는 잊혀진 콘텐츠를 체계적으로 복원했습니다. BF16 에서 좋은 망각 (FA < 0.05) 을 달성한 방법들의 경우 복구 정도가 심각했습니다:
  • GradDiff: FA 0.008 $\to$ Q-INT4 0.151 (18.9 배 복구).
  • GA: FA 0.028 $\to$ Q-INT4 0.262 (9.4 배 복구).
  • SalUn: FA 0.011 $\to$ Q-INT4 0.051 (4.6 배 복구).
• 데이터셋 난이도: 공격의 심각성은 데이터셋 난이도에 따라 비례합니다. 더 어려운 MUSE-News 데이터셋에서는 표준 방법들이 전혀 망각하지 못했으나, 더 간단한 WPU 데이터셋에서는 일부 베이스라인이 DURABLEUN-SAF 없이도 인증을 통과했습니다.

DURABLEUN-SAF 성능

DURABLEUN-SAF 는 안정적인 **실증적 내구성 인증 (empirical durability certificate)**을 달성한 유일한 방법입니다.

• 인증 정의: 모델이 $P$ 집합 (BF16, INT8, INT4) 내의 모든 정밀도에서 망각 정확도가 $\le \epsilon$으로 유지되면 $(\epsilon, P)$-내구성을 가진 것으로 정의됩니다.
• 결과: DURABLEUN-SAF ($\alpha=3$) 은 세 가지 무작위 시드에서 Q-INT4 가 $0.043 \pm 0.002$인 3/3 인증률을 달성했습니다.
• 비교: 반면, SalUn (자신의 공개된 하이퍼파라미터에서도) 은 더 높은 분산과 함께 1/3 의 인증률만 달성했습니다.
• 트레이드오프: DURABLEUN-SAF 는 인증을 달성하지만, 삼각형에서 관찰된 동일한 RA 붕괴 (RA $\approx$ 0.045) 를 겪습니다. 이는 이 방법이 트레이드오프를 성공적으로 탐색하지만, 현재로서는 INT4 견고성을 보장하면서 높은 유용성을 유지하는 구조적 한계를 극복하지 못함을 확인시켜 줍니다.

4. 의의 및 주장

본 논문은 다음과 같은 기여를 주장합니다:

1. 배포 간극의 식별: 표준적인 INT4 배포 관행을 무시함으로써 현재 망각 평가가 근본적으로 결함이 있으며, 이로 인해 개인정보 보호 준수에 대한 위양성 (false positives) 이 발생함을 입증합니다.
2. 삼각형의 확립: NF4+LoRA 체계에서 FA–RA–Q-INT4 삼각형이 매끄러운 트레이드오프가 아닌 급격한 위상 전이를 특징으로 하는 구조적 제약임을 확립합니다.
3. 최초의 내구성 인증: 여러 시드와 데이터셋에서 검증된, 양자화 하의 기계적 망각을 위한 최초의 공식 실증적 내구성 인증을 도입합니다.
4. 실행 가능한 솔루션: DURABLEUN-SAF 를 제안합니다. 이는 일관되게 이 인증을 달성하는 첫 번째 방법으로, 양자화 인지 망각이 가능함을 입증합니다 (비록 현재 유지 정확도 손실이라는 대가가 따르더라도).
5. 행동 촉구: 저자들은 FA 및 RA 와 함께 표준 평가 지표로 Q-INT4(INT4 양자화 하의 망각 정확도) 채택을 옹호합니다. 양자화는 하류 사용자가 훈련 데이터 없이 잊혀진 정보를 복구할 수 있는 '한 줄' 작업이므로, GDPR 준수를 주장하는 모든 망각 방법은 INT4 에서의 견고성을 입증해야 한다고 주장합니다.

본 논문은 DURABLEUN-SAF 가 인증으로 가는 경로를 제공하지만, 유지 정확도의 붕괴는 여전히 해결되지 않은 문제임을 결론지으며, 향후 연구는 공유 가중치 공간에서 강력한 양자화 견고성과 높은 유용성 간의 기하학적 불일치를 해결해야 함을 시사합니다.