🤖 machine learning

When Unlearning Fails: Reliable Data Deletion under Post-Training in Agent Networks

이 논문은 하향 영향력을 추정하고, 고위험 잔류 궤적을 격리하며, 작업 효용성을 보존하는 동시에 영향력 재생을 방지하기 위해 행동을 감사함으로써 잊혀진 데이터의 지속적인 "영향력 메아리(influence echo)"를 효과적으로 완화하는 자기 개선형 연합 에이전트 네트워크에서의 신뢰할 수 있는 데이터 삭제 방법인 MUTE를 소개한다.

원저자: Zihao Ding, Jun Huang, Liang Dong

게시일 2026-08-03

📖 5 분 읽기🧠 심층 분석

CC BY 4.0

원저자: Zihao Ding, Jun Huang, Liang Dong

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

작은 로봇들이 함께 집안일을 배우는 똑똑한 로봇 군집을 상상해 보세요. 하나의 거대한 클라우드 뇌가 있는 것이 아니라, 각 로봇은 자신의 경험으로부터 스스로 배우고 자신이 배운 것을 다른 로봇들과 공유합니다. 이것을 **연합 학습(Federated Learning)**이라고 부릅니다. 이는 마치 친구들이 시험 공부를 하는 것과 같습니다. 각자 서로 다른 책을 읽고 자신만의 노트를 작성한 뒤, 선생님에게 자신의 지저istic하고 사적인 노트를 보여주지 않고도 더 똑똑해지기 위해 요약본을 서로 교환하는 것과 같습니다.

이제 이 로봇들이 "자기 개선형(self-improving)"이라고 상상해 보세요. 이들은 단순히 시험이 끝났다고 학습을 멈추는 것이 아니라, 계속해서 일하며 무엇이 효과적이었고 무엇이 그렇지 않았는지에 대한 새로운 이야기들을 수집하고, 그 이야기들을 그룹에 다시 피드백하여 더욱 발전합니다. 이것이 **자기 개선 네트워크(Self-Improving Network)**입니다. 하지만 여기서 까다로운 문제가 있습니다. 만약 한 친구가 "저기, 나 잊혀지고 싶어! 내 노트를 모두 지워주고 내가 그룹의 최종 답변에 결코 영향을 미치지 않도록 해줘!"라고 말한다면 어떻게 될까요? 일반적인 교실이라면 그냥 페이지를 찢어버리면 됩니다. 하지만 이 로봇 군집에서는 그 친구의 옛날 노트가 다른 로봇들이 새로운 노트를 수집하는 방식에 이미 영향을 주었을 수도 있습니다. 단순히 그 친구의 노트를 삭제하더라도, 그 친구에게서 영감을 받은 새로운 노트들은 남아 있을 수 있습니다. 즉, 그 친구의 "유령"이 여전히 그룹의 뇌 속에 머물러 있을 수 있습니다. 이 논문은 시스템을 망가뜨리지 않으면서 어떻게 진정으로 그 유령을 지워낼 수 있는지 탐구합니다.

문제점: 죽지 않는 "메아리(Echo)"

연구진은 이러한 스마트 로봇 네트워크에서 데이터를 삭제할 때 발생하는 교묘한 문제를 발견했습니다. 보통 누군가가 잊혀지기를 요청하면, 시스템은 해당 사람의 데이터 없이 모델을 다시 학습시키는 방식으로 "학습 취소(unlearn)"를 시도합니다. 저자들은 이를 "재학습(retraining)" 접근 방식이라고 부릅니다.

하지만 자기 개선 네트워크에서는 이 간단한 해결책이 실패합니다. 이유는 다음과 같습니다. 로봇의 행동은 연못의 파동과 같습니다. 특정 로봇(이를 "로버(Rover)"라고 부릅시다)이 특정한 방식으로 행동하면, 그것은 다른 로봇들이 다음에 보고 배우는 것을 변화시킵니다. 만약 로버가 이미 그룹에 영향을 미친 후에 삭제된다면, 다른 로봇들은 이미 로버의 과거 행동에 기반하여 새로운 데이터를 수집했을 수도 있습니다.

논문에서는 이를 **"영향력 메아리(Influence Echo)"**라고 부릅니다. 로버의 원래 데이터를 삭제하더라도, 로버의 행동이 남긴 "메아리"는 다른 로봇들이 수집한 새로운 데이터 속에 살아남습니다. 만약 여러분이 로버의 데이터만 삭제하고 로버로부터 영감을 받은 새로운 데이터는 그대로 둔다면, 모델은 실수로 로버의 메아리로부터 다시 학습하게 됩니다. 잊혀진 행동이 좀비처럼 죽지 않고 다시 살아나는 것입니다. 저자들은 시뮬레이션을 통해, 삭제 전 다른 로봇들이 로버로부터 많이 배울수록 이 메아리가 강해지며, "좀비" 행동이 돌아올 가능성이 높아진다는 것을 보여주었습니다.

해결책: MUTE (Muting Unlearned Trajectories' Echoes)

이 문제를 해결하기 위해 팀은 MUTE라고 불리는 새로운 방법을 제안했습니다. MUTE를 단순한 지우개가 아니라, 탐정, 격리 요원, 그리고 보안 요원의 역할을 모두 수행하는 존재라고 생각하십시오.

1. 탐정 (메아리 추적하기):
먼저, MUTE는 메아리가 어디에 숨어 있는지 알아야 합니다. 로봇들이 모든 사적인 데이터를 중앙 서버로 보낼 수는 없으므로(그것은 프라이버시를 침해하는 일입니다), 서버는 가벼운 "장부(ledger)"를 유지합니다. 이는 어떤 로봇이 언제 어떤 버전의 뇌를 실행했는지를 기록한 간단한 로그북입니다. 삭제 요청이 들어오면, 서버는 이 로그북을 다시 재생하여 다른 로봇들이 수집한 모든 데이터에 대한 **"영향력 점수(Influence Score)"**를 계산합니다. 이는 "이 새로운 노트가 로버의 옛날 노트에 얼마나 의존하고 있는가?"라고 묻는 것과 같습니다. 만약 새로운 노트가 로버에 의해 크게 영향을 받았다면 높은 점수를 받게 됩니다.

2. 격리 (메아리 차단하기):
높은 점수를 받은 데이터가 식별되면, MUTE는 단순히 그것을 삭제하는 대신(이는 로봇의 업무 능력을 해칠 수 있습니다) 두 가지 공격 방식을 사용합니다.

모델 정화 (Model Cleaning): 데이터를 원래 소유했던 로봇은 자신의 "어댑터(adapter, 뇌의 작고 효율적인 부분)"를 업데이트하여 특정 원치 않는 행동을 구체적으로 잊도록 합니다. 이때 '부정적 선호 최적화(Negative Preference Optimization)'라는 기술을 사용합니다. 이는 로봇에게 "그 특정한 동작은 더 이상 하지 마"라고 말하는 것과 같습니다.
데이터 격리 (Data Quarantine): 다른 로봇들은 자신의 데이터를 살펴봅니다. 만약 높은 "영향력 점수"(즉, 삭제된 로봇에 의해 형성된 정도가 높음)를 가진 노트를 가지고 있다면, MUTE는 그 노트들을 격리합니다. 이 노트들은 삭제되지는 않지만, 향후 학습 과정에서 무시됩니다. 일부 노트는 낮은 가중치를 부여받기도 하는데, 이는 선생님에게 "이 노트를 읽되, 다른 노트만큼 중요하게 취급하지 마세요"라고 말하는 것과 같습니다.

3. 보안 요원 (감사 및 스케줄링):
한 번의 청소로 작업이 끝나지 않습니다. 네트워크는 계속 학습하므로 메아리가 몰래 다시 들어올 수 있습니다. MUTE는 보안 요원으로서 시스템을 지속적으로 감사합니다. MUTE는 "좀비" 행동이 돌아오고 있는지(**영향력 재생률(Influence Regeneration Rate)**로 측정됨) 확인합니다. 만약 보안 요원이 그 행동이 다시 나타나는 것을 발견하면, 추가적인 청소 작업을 스케줄링합니다. 단, 로봇들이 데이터 트래픽으로 인해 과부하에 걸리지 않도록 "통신 예산(communication budget)" 범위 내에서 신중하게 수행합니다.

연구 결과

팀은 로봇이 언어 지침에 따라 물체를 조작하는 법을 배우는 LIBERO 벤치마크를 사용하여 MUTE를 테스트했습니다. 그들은 두 가지 종류의 로봇 "뇌"(MiniVLA 및 $\pi_0$ )를 사용했으며, 세 가지 수준의 삭제를 테스트했습니다: 하나의 경로(trajectory) 제거, 한 명의 클라이언트(client) 전체 데이터 제거, 또는 전체 작업(task) 유형 제거.

결과는 유망했습니다. 시뮬레이션과 Jetson 컴퓨터(로봇을 위한 강력한 미니 컴퓨터)를 이용한 물리적 테스트베드에서, MUTE는 "좀비" 행동이 돌아오는 것을 성공적으로 막았습니다.

낮은 유출 (Low Leakage): 삭제된 데이터를 "기억"하는 시스템의 능력이 거의 무작위 수준(0.5에 가까운 점수)으로 떨어졌으며, 이는 데이터가 효과적으로 잊혔음을 의미합니다.
재생 없음 (No Regeneration): 단순 재학습 방식에서는 잊혀진 행동이 다시 나타났던 것과 달리, MUTE는 **영향력 재생률(IRR)**을 매우 낮게 유지했습니다. 예를 들어, MiniVLA 뇌를 사용한 한 테스트에서 MUTE를 사용했을 때의 재생률은 0.085였던 반면, 표준 재학습 방식은 0.178이었습니다.
효율성 (Efficiency): MUTE는 통신 측면에서도 훨씬 경제적이었습니다. 표준 재학습 방식은 엄청난 양의 데이터(MiniVLA의 경우 약 234.6 단위의 트래픽)를 업로드해야 했지만, MUTE는 약 53.39 단위만을 필요로 했습니다. 이는 시스템 전체를 처음부터 다시 학습시키는 대신, 작고 표적화된 업데이트만을 보냄으로써 달성되었습니다.

이 논문은 단순한 재학습이 이러한 자기 개선 네트워크에서는 실패하는 반면, MUTE는 데이터를 진정으로 삭제할 수 있는 신뢰할 수 있는 방법을 제공한다고 제안합니다. MUTE는 네트워크의 새로운 학습 능력을 망가뜨리지 않으면서도 데이터의 "메아리"를 제거할 수 있음을 입증하며, 처음부터 다시 시작하는 것보다 훨씬 적은 대역폭을 사용합니다. 저자들은 이것이 시뮬레이션 및 물리적 테스트베드 결과이며, 이 방법이 실제 적용 가능하다는 것을 보여주지만, 여전히 이러한 특정 유형의 자기 개선 로봇 네트워크를 위한 전문화된 솔루션임을 밝히고 있습니다.

기술 요약: 언러닝(Unlearning)이 실패할 때: 사후 학습 중인 에이전트 네트워크에서의 신뢰할 수 있는 데이터 삭제

1. 문제 정의

본 논문은 자기 개선형 연합 에이전트 네트워크(self-improving federated agent networks) 내의 **연합 언러닝(Federated Unlearning, FU)**에서 발생하는 결정적인 공백을 다룹로다. 정적 데이터셋을 사용하는 전통적인 연합 학습과 달리, 자기 개선형 네트워크는 폐쇄 루프(closed loop) 내에서 작동합니다. 즉, 에이전트는 현재의 정책을 배포하고, 환경과 상호작용하여 새로운 검증된 궤적(trajectory)을 수집하며, 이 궤적들을 후속 학습 라운드에 다시 피드백합니다.

핵심 문제는 **"영향력의 메아리(influence echo)"**입니다. 데이터 소유자가 특정 데이터(삭제 집합, $D_f$ )의 삭제를 요청할 때, 표준 언러닝 방법은 $D_f$ 의 직접적인 영향을 제거하도록 모델을 업데이트합니다. 그러나 자기 개선 루프에서는 삭제 전 $D_f$ 에 의해 형성된 정책이 미래의 데이터(보존 집합, $D_r$ ) 수집에 이미 영향을 미쳤습니다. 결과적으로 다음과 같은 문제가 발생합니다:

재학습 실패: 보존된 데이터 $D_r$ 로 재학습하더라도 $D_f$ 의 흔적이 남아있는 행동을 완전히 제거할 수 없습니다. 왜냐하면 $D_r$ 자체가 $D_f$ 의 인과적 흔적을 포함하고 있기 때문입니다.
재생(Regeneration): 네트워크가 계속 작동하고 $D_r$ 로부터 학습함에 따라, 삭제되었던 행동이 다시 가시화됩니다(이는 영향력 재생률, IRR로 측정됨).
추적 가능성(Traceability): 이러한 영향력은 특징 공간(feature space)에서 항상 분리 가능한 것은 아니지만, 모델 배포 및 데이터 수집에 대한 서버 측 기록을 통해 추적될 수 있습니다.

기존의 FU 방법들은 고정된 보존 집합을 가정하며, 정책 기반 데이터 수집을 고려하지 못합니다. 이는 삭제를 일회성 수리가 아닌 지속적인 방어 체계로 만드는 데 실패하게 만듭니다.

2. 방법론: MUTE

저자들은 네트워크가 학습을 지속하는 동안에도 삭제의 유효성을 유지하도록 설계된 프레임워크인 MUTE(Muting Unlearned Trajectories' Echoes)를 제안합니다. MUTE는 세 가지 통합된 모듈을 통해 작동합니다.

A. 영향력 기원 추적 (Influence Provenance/Tracing)

클라이언트로부터 원시 데이터를 요구하는 대신(이는 프라이버시를 침해함), 서버는 배포된 모델 버전, 집계 가중치, 수집 윈도우를 기록하는 **경량 레저(lightweight ledger, $L$ )**를 유지합니다.

메커니즘: 삭제 요청 시, 서버는 레저를 재현(replay)하여 영향력이 집계 엣지(로컬 업데이트에서 글로벌 모델로)와 수집 엣지(글로벌 모델이 미래의 데이터 수집을 형성함)를 통해 어떻게 전파되었는지 추정합니다.
스코어링: 각 보존된 궤적은 해당 데이터가 수집될 당시의 모델 버전을 기준으로 영향력 점수 $\gamma(x)$ 를 할당받습니다. 이를 통해 시스템은 원시 궤적을 클라이언트 외부로 이동시키지 않고도 "고영향력" 보존 데이터를 식별할 수 있습니다.

B. 영향력 인지 기반 삭제 (Influence-Aware Erasure)

MUTE는 현재의 잔류물과 미래의 위험을 모두 제거하기 위해 양방향 삭제를 수행합니다.

모델 측 삭제 (Model-Side Erasure): $D_f$ 를 보유한 클라이언트는 Forget-Retain 목적 함수를 사용하여 어댑터를 업데이트합니다. 이는 **부정 선호 최적화(Negative Preference Optimization, NPO)**를 사용하여 $D_r$ 에 대한 효용은 보존하면서 $D_f$ 에 대한 행동은 억제합니다. 재학습을 방지하기 위해, 후속 업데이트는 지배적인 forget-gradient 부공간(subspace)으로부터 투영(projected away)됩니다.
데이터 측 격리 (Data-Side Containment): 클라이언트는 자신의 로컬 궤적을 영향력 점수에 따라 등급을 매깁니다.
- 격리(Quarantine): 고영향력 궤적( $\gamma(x) \ge \tau_q$ )은 훈련 스트림에서 제거됩니다.
- 가중치 감소(Down-weighting): 중영향력 궤적은 가중치가 낮아집니다.
- 교체(Replacement): 자원이 허용되는 경우, 클라이언트는 삭제된 모델 하에서 대체 궤적을 다시 수집할 수 있습니다.

C. 행동 감사 및 스케줄링 (Behavioral Audit and Scheduling)

삭제는 지속되어야 하므로, MUTE는 업링크 예산(uplink budget) 하에서 자원을 관리하기 위한 스케줄링 메커니즘을 포함합니다.

감사(Auditing): 시스템은 행동 누출 지수(Behavioral Leakage Index, BLI)(멤버십 추론을 통한 현재 누출)와 IRR(미래 재생)을 모니터링합니다.
스케줄링: 서버는 폐쇄 루프 전이 행렬이 안정성 조건( $\rho(M_\infty) < 1$ )을 만족하도록 하여, 영향력이 시간이 지남에 따라 재생되는 것이 아니라 감쇠하도록 클라이언트의 행동(정상 훈련, 언러닝, 격리 또는 감사)을 결정합니다.

3. 주요 기여

문제 공식화: 본 논문은 자기 개선형 연합 네트워크를 위한 신뢰할 수 있는 삭제를 공식적으로 정의하며, 보존 집합이 삭제 집합의 인과적 하위 단계에 있어 표준 재학습이 불충분함을 강조합니다.
경험적 관찰: 예비 실험을 통해 저자들은 다음을 입증했습니다:
- 재학습은 영향력의 메아리를 침묵시키는 데 실패하며, 네트워크가 작동함에 따라 삭제된 행동이 되살아납니다.
- 재생률(Regeneration rate)은 삭제 정책에 의해 형성된 보존 데이터의 비율에 따라 선형적으로 증가합니다.
- 영향력은 특징 공간에서의 분리가 실패하더라도 서버 측 기록을 통해 추적 가능합니다.
MUTE 프레임워크: 영향력 기원 추적(영향력의 메아리를 찾기 위함), 양방향 삭제(모델 및 데이터 측면), 그리고 자원 제한적 스케줄링을 결합한 통합된 방법론을 제안합니다.
검증: 두 가지 시각-언어-행동(VLA) 백본(MiniVLA 및 $\pi_0$ )과 물리적 Jetson 기반 엣지 테스트베드를 사용하여 LIBERO 벤치마크에서 광범-하게 평가되었습니다.

4. 실험 결과

평가는 세 가지 삭제 세분화 수준(궤적, 클라이언트, 태스크)에 대해 MUTE를 베이스라인인 Retrain(보존 데이터에 대한 전체 재학습) 방식과 비교합니다.

영향력 재생 (IRR): MUTE는 Retrain에 비해 IRR을 현저히 억제합니다. 예를 들어, MiniVLA 백본에서 Retrain은 약 0.178–0.338의 IRR 값을 보인 반면, MUTE는 세분화 정도에 따라 이를 0.085–0.248로 낮추었습니다.
행동 누출 (BLI): MUTE는 BLI를 우연 수준(0.5)에 가깝게 유지하여 멤버십 신호의 성공적인 제거를 나타내는 반면, Retrain은 종종 더 높은 누출을 보였습니다.
태스크 효용 (SR): MUTE는 태스크 성공률(SR)을 요청 전 베이스라인과 매우 좁은 차이(예: 0.04 이내)로 유지하여, 삭제가 성능을 심각하게 저하시키지 않음을 입증했습니다.
통신 비용: MUTE는 매우 효율적입니다. 전체 재학습에 비해 업링크 트래픽을 약 75–80% 감소시킵니다. 예를 들어, MiniVLA의 경우 통신량이 약 234.6 MB(Retrain)에서 ~54 MB(MUTE)로 줄었습니다.
물리적 테스트베드: Jetson 하드웨어에서의 검증을 통해 지연 시간, 대역폭 및 행동 재발 현상이 실제 환경에서도 동일한 경향을 보임을 확인했습니다.

5. 의의 및 주장

본 논문은 운영 중인 네트워크에서의 신뢰할 수 있는 데이터 삭제는 일회성 이벤트가 아니라 **지속적인 방어(standing defense)**가 되어야 한다고 주장합니다.

기존 방법의 한로: 저자들은 기존의 FU 방법들이 정책이 미래의 데이터를 형성하는 피드백 루프를 무시하기 때문에 자기 개선형 시스템에는 불충분하다고 단언합니다.
MUTE의 필요성: MUTE는 기원 추적(메아리를 찾기 위함), 격리(메아리 확산 방지), 스케줄링(방어 지속)을 결합한 필수적인 진화 모델로 제시됩니다.
범위의 제한: 본 논문은 모든 AI 프라이버시 문제를 해결한다고 주장하는 것이 아니라, 특히 자기 개선형 연합 에이전트 네트워크에서의 "영향력 메아리"를 타겟으로 합니다. 완벽한 반사실적 삭제(Counterfactual deletion, $D_f$ 가 존재하지 않았던 세계를 재현하는 것)가 라이브 네트워크에서는 불가능할지라도, MUTE는 자원 제약 내에서 누출을 우연 수준으로 낮추고 재생을 방지한다는 점을 강조합니다.

결론적으로, MUTE와 같은 메커니즘 없이는 자기 개선형 네트워크에서 "잊힐 권리"를 실질적으로 집행할 수 없습니다. 네트워크의 학습 루프가 삭제된 데이터의 영향력을 필연적으로 부활시킬 것이기 때문입니다.