Sharpness-Aware Machine Unlearning

Deze paper introduceert Sharp MinMax, een methode die Sharpness-Aware Minimization (SAM) combineert met scherpe maximalisatie om machine unlearning te verbeteren door het model te splitsen in een deel dat retain-signaals leert en een deel dat forget-signaals verwijdert, wat resulteert in superieure prestaties, verminderde feature-entanglement en sterkere weerstand tegen aanvallen vergeleken met bestaande methoden.

De kern

Stel je voor dat je een zeer slimme, maar ook wat koppige student hebt die een examen heeft gehaald. Deze student heeft alles uit het boekje geleerd, inclusief een paar rare, verkeerde feiten die per ongeluk in het boekje stonden. Nu wil je dat de student die specifieke, verkeerde feiten vergeet, maar wel alles over de rest van het boekje onthoudt.

In de wereld van kunstmatige intelligentie (AI) heet dit "Machine Unlearning" (machine-ontleren). Het probleem is: als je de AI dwingt om iets te vergeten, kan het zijn dat hij ook dingen vergeet die hij juist wel moest onthouden, of dat hij "in de war" raakt.

Deze paper, geschreven door onderzoekers van de Purdue Universiteit, introduceert een nieuwe manier om dit te doen, genaamd Sharpness-Aware Minimization (SAM), en een nog slimmere variant daarop: Sharp MinMax.

Hier is de uitleg in simpele taal, met een paar creatieve vergelijkingen:

1. Het Probleem: De Koppige Student

Stel je voor dat de AI een student is die een enorme berg informatie heeft opgeslagen.

• De "Retain" signalen: Dit zijn de feiten die hij moet onthouden (bijv. "Honden hebben vier poten").
• De "Forget" signalen: Dit zijn de feiten die hij moet vergeten (bijv. "Deze specifieke foto van mijn hond is privé").

Als je de student vraagt om die ene foto te vergeten, probeert hij vaak gewoon de hele les te herschrijven. Dat kost veel tijd en energie. Als je hem dwingt om die foto te vergeten door te zeggen "Dit is fout!", kan hij in paniek raken en ook de regels over honden vergeten.

2. De Oplossing: SAM (De Slimme Leraar)

De onderzoekers kijken naar een bestaande techniek genaamd SAM.

• Hoe werkt het normaal? SAM is als een leraar die de student niet alleen de juiste antwoorden leert, maar ook zorgt dat hij niet "op de neus" leert. De student moet de antwoorden begrijpen, niet alleen uit het hoofd leren. Dit zorgt ervoor dat de student minder snel "ruis" (verkeerde feiten) onthoudt.
• De verrassing: De onderzoekers ontdekten iets interessants. Als je SAM vraagt om iets te vergeten, doet hij precies het tegenovergestelde van wat hij normaal doet. Hij stopt met zijn "slimme, algemene" manier van leren en begint juist heel specifiek en koppig te oefenen op het vergeten. Hij "overleert" het vergeten, zodat het echt uit zijn hoofd verdwijnt.

De metafoor:
Stel je voor dat je een muur hebt met een vlekje verf dat je wilt verwijderen.

• Normale methoden (SGD): Je krabt voorzichtig, maar je krabt ook de goede verf eromheen weg.
• SAM: De onderzoekers ontdekten dat SAM de vlekje zo hard "aantrekt" dat het eruit springt, maar tegelijkertijd de rest van de muur heel strak en veilig houdt. Het is alsof SAM een magneet is die de vlek eruit trekt zonder de muur te beschadigen.

3. De Nieuwe Uitvinding: Sharp MinMax (De Tweeling)

Omdat SAM zo goed is in het "overleeren" van het vergeten (wat normaal gezien slecht is, maar hier juist nodig is), bedachten de onderzoekers een nog slimmere truc: Sharp MinMax.

Stel je voor dat je de student in tweeën deelt:

1. De "Onthouder" (Retain Model): Deze helft van de student leert met de slimme SAM-methode. Hij zorgt dat de goede kennis (honden, auto's, etc.) stevig en veilig blijft zitten. Hij wordt "vlot" en flexibel, zodat hij niet vastloopt op details.
2. De "Vergeter" (Forget Model): Deze andere helft doet precies het tegenovergestelde. Hij wordt opzettelijk "stug" en "koppig" gemaakt. Hij wordt gedwongen om zich te focussen op de dingen die vergeten moeten worden, tot ze eruit springen. Hij wordt "scherp" gericht op het vergeten.

De metafoor:
Het is alsof je een team hebt:

• De ene persoon is een diplomaat die zorgt dat de vriendschap (de goede kennis) intact blijft.
• De andere persoon is een sloopmachine die zich puur richt op het afbreken van één specifieke muur (de te vergeten data).
  Door ze samen te laten werken, maar ze hun eigen taak te geven, wordt de job veel beter gedaan dan wanneer één persoon alles probeert te doen.

4. Waarom is dit belangrijk?

• Privacy: Als iemand vraagt om zijn foto's uit een AI te verwijderen (bijv. vanwege privacywetgeving), kan deze nieuwe methode dat veel sneller en effectiever doen zonder dat de AI "dommer" wordt.
• Veiligheid: Het maakt het moeilijker voor hackers om te raden of een specifieke foto in de training zat (een aanval genaamd "Membership Inference").
• Efficiëntie: Je hoeft niet de hele AI opnieuw te trainen (wat maanden kan duren), maar kunt alleen die specifieke stukjes "loskoppelen".

Samenvattend

De onderzoekers hebben ontdekt dat je soms opzettelijk moet "overleren" om iets goed te vergeten. Door een slimme techniek (SAM) te gebruiken en deze te splitsen in een "onthouder" en een "vergeter", kunnen ze AI-systemen veel beter laten doen wat we willen: specifieke dingen vergeten, terwijl ze juist blijven weten wat ze moeten weten.

Het is alsof je een bibliotheek hebt die je wilt schoonmaken van één specifiek boekje, maar je wilt niet dat de rest van de boeken verplaatst of beschadigd raakt. Met Sharp MinMax haal je dat ene boekje eruit met een speciaal gereedschap, terwijl de rest van de bibliotheek perfect op zijn plek blijft staan.

Technische samenvatting

Probleemstelling

Machine unlearning (het verwijderen van de invloed van specifieke trainingsdata uit een model zonder het volledig opnieuw te trainen) staat voor een fundamenteel dilemma: het balanceren van twee tegenstrijdige signalen.

1. Retain-signaal: Het behouden van nauwkeurigheid op de data die niet moet worden vergeten.
2. Forget-signaal: Het effectief verwijderen van de kennis over de specifieke data die moet worden vergeten.

Bestaande methoden (zoals NegGrad of Random Labeling) lijden vaak onder interferentie tussen deze signalen tijdens het trainen, wat leidt tot onvoorspelbaar gedrag en suboptimale resultaten. Bovendien is er een gebrek aan theoretisch inzicht in hoe verschillende optimalisatiealgoritmen (zoals SGD versus Sharpness-Aware Minimization, SAM) zich gedragen wanneer ze worden geconfronteerd met deze conflicterende doelen. De vraag is of een optimizer die bekend staat om het voorkomen van overfitting (SAM) ook beter is in het "vergeten" van data, of dat dit mechanisme juist verstoord raakt.

Methodologie en Theoretisch Kader

De auteurs analyseren machine unlearning door een lens van signaal-ruis decompositie in combinatie met sharpness-aware optimalisatie. Ze gebruiken een theoretisch model gebaseerd op een tweelaags CNN met ReLU-activaties, waarbij trainingsdata bestaat uit een bruikbaar signaal ($\phi$) en ruis ($\xi$).

Kerninzichten in het gedrag van SAM:

1. Verlies van risonderdrukking bij vergeten: In standaard training onderdrukt SAM het memoriseren van ruis (wat leidt tot betere generalisatie). De auteurs bewijzen echter dat wanneer SAM wordt gebruikt voor unlearning (bijvoorbeeld met NegGrad, waar het forget-set wordt behandeld als "ruis" die moet worden genegeerd of omgedraaid), deze denoising-eigenschap verdwijnt. SAM is gedwongen om het forget-signaal te fiten en gedraagt zich op dit deel van de data bijna net als SGD (overfitting op het forget-set).
2. Signaal-overschot (Signal Surplus): Ondanks dat SAM het forget-set overfit, behoudt het zijn superioriteit op het retain-set. SAM leert het retain-signaal efficiënter dan SGD. Dit resulteert in een "signaal-overschot", wat betekent dat SAM een kleiner gewicht ($\alpha$) nodig heeft voor het retain-set om catastrofale vergetelheid te voorkomen. SAM kan dus sterker forget-signalen verdragen zonder de prestaties op de retain-data te verliezen.
3. Herdefiniëring van Overfitting: Een tegenintuïtief inzicht is dat overfitting op het forget-set (in een gecontroleerde setting) juist gunstig kan zijn voor het volledig verwijderen van specifieke samples. Terwijl overfitting normaal gesproken schadelijk is voor generalisatie, helpt het bij het "uitwissen" van specifieke data punten.

Nieuwe Algoritme: Sharp MinMax
Geïnspireerd door het feit dat scherpere minima (overfitting) helpen bij het vergeten, maar vlakke minima (SAM) helpen bij het onthouden, stellen de auteurs Sharp MinMax voor.

• Concept: Het model wordt opgesplitst in twee delen (via een masker op de parameters):
  • Retain-model ($W_R$): Getraind met SAM (Sharpness-Aware Minimization) om het retain-signaal te behouden en generalisatie te waarborgen.
  • Forget-model ($W_F$): Getraind met Sharpness Maximization (het tegenovergestelde van SAM) om het forget-signaal te overfitten en zo de invloed van de forget-data volledig te elimineren.
• Implementatie: De parameters worden gesplitst op basis van de grootte van de gradiënten op het forget-set. De "belangrijkste" parameters voor het forgeten worden geoptimaliseerd voor scherpte, de rest voor vlakheid.

Belangrijkste Resultaten

De auteurs hebben uitgebreide experimenten uitgevoerd op CIFAR-100 en ImageNet-1K met ResNet-50 en ViT-architecturen.

1. Verbetering van Bestaande Methoden: Het integreren van SAM in bestaande unlearning-methoden (zoals NegGrad, SalUn, SCRUB) leidt consistent tot betere resultaten. SAM verbetert de "Tug-of-War" (ToW) score, een metriek die het evenwicht meet tussen het behouden van retain-nauwkeurigheid, het vergeten van forget-data en de algemene testnauwkeurigheid.
2. Robuustheid: SAM-gebaseerde methoden vertonen minder variatie en zijn robuuster tegenover verschillende niveaus van memorisatie (van makkelijk te vergeten tot moeilijk te vergeten data).
3. Sharp Minmax Prestaties: De nieuwe Sharp MinMax-algoritme behaalt de state-of-the-art resultaten, vooral op moeilijk te vergeten datasets (high-memorization forget sets). Het slaagt erin om de invloed van de forget-data effectiever te verwijderen dan eerdere methoden, terwijl de retain-accuraatheid hoog blijft.
4. Privacy en Veiligheid:
   • MIA (Membership Inference Attacks): Modellen die met SAM of Sharp MinMax zijn unlearned, zijn minder kwetsbaar voor MIA's op het forget-set, wat aangeeft dat de data effectiever is verwijderd.
   • Entanglement: Er is minder "entanglement" (verstrengeling) tussen de kenmerken van retain- en forget-data in het feature space van SAM-modellen.
   • Loss Landscape: SAM behoudt een "vlakkere" loss landscape na unlearning, wat wijst op betere generalisatie en stabiliteit.

Significantie en Bijdragen

De paper levert een fundamentele bijdrage aan het theoretisch begrip van machine unlearning:

• Theoretisch Kader: Het biedt een rigoureuze analyse van hoe SAM zich gedraagt onder conflicterende objectieven, en onthult dat de "denoising" eigenschap van SAM specifiek wordt uitgeschakeld voor het forget-set.
• Paradigmaverschuiving: Het daagt de conventionele wijsheid uit dat overfitting altijd slecht is. Voor specifieke unlearning-scenario's kan gecontroleerd overfitten (via sharpness maximization) essentieel zijn om data volledig te verwijderen.
• Praktische Toepasbaarheid: De introductie van Sharp MinMax biedt een nieuwe, effectieve route voor machine unlearning die de grenzen van wat mogelijk is, verlegt, met name in strikte privacy- en copyrightscenario's waar exacte verwijdering vereist is.

Kortom, het paper toont aan dat het combineren van vlakke minima (voor behoud) en scherpe maxima (voor vergeten) via een gesplitst model de meest effectieve strategie is voor machine unlearning, en dat SAM een cruciale rol speelt in het balanceren van deze tegenstrijdige doelen.