🤖 machine learning

Sequential Subspace Noise Injection Prevents Accuracy Collapse in Certified Unlearning

Dit artikel introduceert sequentiële subspace-ruisinjectie, een methode die ruis verdeelt over orthogonale parametersubspaces om de nauwkeurigheid van gecertificeerd onleren aanzienlijk te verbeteren terwijl strikte differential privacy-garanties worden behouden.

Oorspronkelijke auteurs: Polina Dolgova, Sebastian U. Stich

Gepubliceerd 2026-06-01

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Polina Dolgova, Sebastian U. Stich

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Het Grote Probleem: De "Gum" die Alles Wegveegt

Stel je voor dat je een zeer bekwame kunstenaar hebt (een machine learning-model) die een meesterwerk heeft geschilderd op basis van een specifieke set foto's. Plotseling zegt een klant: "Ik wil dat je die ene specifieke foto die ik je gaf, vergeet."

In de juridische wereld (zoals de AVG/GDPR) kun je niet simpelweg doen alsof je het vergeten bent; je moet wiskundig kunnen bewijzen dat de foto weg is. De huidige standaardmethode om dit te doen, wordt Certified Unlearning genoemd. Dit werkt als een zeer agressieve gum. Om te bewijzen dat de foto weg is, voegt het algoritme een enorme hoeveelheid "statische ruis" toe aan het geheugen van de kunstenaar en probeert vervolgens het schilderij opnieuw te schilderen.

De Catch: De huidige methode is zo agressief dat het niet alleen de slechte foto wist, maar ook het hele canvas besmeurt. De kunstenaar vergeet alles, inclusief de goede delen van het schilderij. Tegen de tijd dat de kunstenaar probeert het schilderij te herstellen, zijn de kleuren zo modderig dat het schilderij is verpest (dit wordt "accuracy collapse" genoemd).

De Oplossing: De "Eén-Blok-tegelijk-Strategie"

De auteurs stellen een nieuwe methode voor genaamd Block-wise Noisy Fine-Tuning. In plaats van het hele canvas in één keer te besmeren, breken ze het schilderij af in kleine, afzonderlijke blokken (zoals een raster van tegels).

Zo werkt hun methode, met behulp van een eenvoudige analogie:

De Oude Manier (De Sledgehammer): Stel je voor dat je een specifieke vlek wilt verwijderen uit een gigantisch wandtapijt door de gehele wandtapijt te raken met een sloophamer. Je krijgt de vlek er misschien uit, maar je hebt ook gaten in de hele wandtapijt geslagen.
De Nieuwe Manier (Het Scalpel): De auteurs suggereren de wandtapijt te behandelen als een puzzel. Ze bedekken het hele oppervlak met een raster.
- Zij kiezen één enkele tegel (een blok van het geheugen van het model).
- Zij passen de "ruis" (de gum) alleen toe op die ene tegel.
- Zij laten alle andere tegels bevroren en onaangetast.
- Daarna gaan ze naar de volgende tegel en herhalen het proces.

Waarom dit helpt: Omdat ze slechts een klein deel van het model tegelijkertijd opschudden, blijft de rest van het model stabiel. De "ruis" overweldigt het hele systeem niet. Het is alsof je een kamer schoonmaakt door één lade tegelijk op te ruimen, in plaats van al het meubilair uit het raam te gooien en te hopen dat je je sokken later nog vindt.

Het Tweede Probleem: De "Worst-Case" Angst

Het artikel wijst ook op een tweede probleem met de oude methode. De oude regels waren ontworpen om te werken zelfs als de kunstenaar met een volledig leeg, willekeurig canvas zou beginnen. Dit dwong het algoritme om uit te gaan van het slechtst mogelijke scenario, waardoor er nog meer ruis nodig was om veilig te zijn.

De auteurs realiseerden zich dat de kunstenaar in werkelijkheid niet vanaf nul begint; hij begint met een afgewerkt schilderij en moet het alleen bijsturen. Ze introduceerden een nieuwe manier om de "afstand" te meten tussen het originele schilderij en het schilderij zonder de slechte foto. Door deze realistische meting te gebruiken in plaats van een "worst-case" gok, kunnen ze minder ruis gebruiken, waardoor het schilderij helderder blijft.

De Resultaten: Een Schone Lei Zonder de Kunst te Verpesten

De onderzoekers hebben dit getest op taken voor beeldherkenning (zoals het identificeren van katten en honden in foto's).

De Oude Methode: Wanneer ze probeerden gegevens te verwijderen, daalde de nauwkeurigheid van het model van 88% naar onder de 20%. Het was een ramp.
De Nieuwe Methode: Door de "één-blok-tegelijk"-aanpak te gebruiken, slaagde het model erin om de ongewenste gegevens te verwijderen (bewijsend dat ze weg waren), maar behield het zijn vermogen om afbeeldingen te herkennen, bijna net zo goed als wanneer het vanaf nul opnieuw getraind zou zijn.

De Kernboodschap

Dit artikel zegt niet alleen "we hebben het sneller gemaakt." Het lost een fundamentele fout op waarbij de veiligheidsgarantie (bewijzen dat data weg is) de bruikbaarheid van de AI vernietigde.

Ze hebben een manier gevonden om de "veiligheidsruis" op een slimme, sequentiële manier (blok voor blok) en met een realistischer startpunt toe te passen. Hierdoor kunnen we juridisch en wiskundig specifieke gegevens "vergeten" zonder het brein van de AI in het proces te vernietigen. Het overbrugt de kloof tussen strikte juridische veiligheid en praktische, werkende technologie.

Technische Samenvatting: Sequentiële Subruisinjectie voor Gecertificeerd Unlearning

Probleemstelling

Machine unlearning heeft als doel de invloed van specifieke trainingsdata uit een getraind model te verwijderen om te voldoen aan regelgeving zoals de AVG (GDPR) of om gevoelige informatie te verwijderen. Hoewel hertrainen vanaf nul de gouden standaard is, is dit vaak computationeel onhaalbaar. Methoden voor gecertificeerd unlearning, met name die gebaseerd op Differential Privacy (DP), bieden formele garanties voor gegevensverwijdering, maar lijden aan een kritieke praktische beperking: accuratievecollaps.

Huidige benaderingen, zoals Noisy Fine-Tuning (NFT) met gradiëntclipping, injecteren Gaussische ruis om $(\epsilon, \delta)$ -unlearning garanties te waarborgen. Echter, in overgeparameteriseerde diepe netwerken is de ruis die nodig is om unlearning te certificeren vaak groot genoeg om het gradiëntsignaal over alle parameters tegelijkertijd te domineren. Empirische resultaten laten zien dat standaard NFT een scherpe daling in testaccuratesse kan veroorzaken (bijv. van 88% naar onder de 20% op CIFAR-10) en zelfs niet herstelt na daaropvolgende fine-tuning. Dit creëert een spanning tussen het behouden van strikte formele garanties en het behouden van de bruikbaarheid van het model.

Methodologie

De auteurs stellen Block-wise Noisy Fine-Tuning (Block-wise NFT) voor, een modificatie van het standaard NFT-framework die is ontworpen om accuratecollaps te mitigeren terwijl de formele gecertificeerde garanties behouden blijven. De methode pakt twee specifieke knelpunten aan in bestaande gecertificeerde unlearning-analyses:

1. Sequentiële Subruisinjectie

Standaard NFT injecteert ruis in de volledige parameterruimte bij elke stap. De auteurs observeren dat voor hoogdimensionale modellen de $\ell_2$ -norm van de ruisvector ( $\sigma\sqrt{d}$ ) de geclipte gradiëntupdates overstemt.

Benadering: De parameterruimte $\mathbb{R}^d$ wordt verdeeld in $k$ onderling orthogonale subruimtes (blokken).
Mechanisme: In plaats van alle parameters te updaten, werkt het algoritme één blok tegelijkertijd sequentieel bij. Tijdens de update van een specifiek blok wordt er alleen ruis geïnjecteerd in die specifieke subruimte, terwijl alle andere parameters bevroren blijven.
Voordeel: Dit herverdeelt hetzelfde gecertificeerde ruisbudget over de tijd en over lagerdimensionale subruimtes. Door verstoringen te beperken tot een fractie ( $1/k$ ) van de coördinaten per stap, wordt de verstoring per stap aanzienlijk verminderd, waardoor wordt voorkomen dat de ruis het trainingssignaal domineert.

2. Nabijheid-gebaseerde Kalibratie ( $\Delta(\rho)$ )

Standaard NFT-analyses vertrouwen vaak op worst-case model clipping-radii ( $C_0$ ) om willekeurige initialisaties af te handelen, wat leidt tot overdreven conservatieve ruiseisen.

Benadering: De auteurs vervangen de worst-case initialisatie-aanname door een waarschijnlijkheid-gebaseerde nabheidsparameter, $\Delta(\rho)$ . Deze parameter begrenst de afstand tussen het volledig getrainde model (op de volledige dataset) en het opnieuw getrainde model (op de behouden dataset) onder een vaste koppeling van willekeur.
Mechanisme: Door de ruisvariantie en clipping te kalibreren op basis van de werkelijke afstand $\Delta(\rho)$ in plaats van een worst-case diameter, wordt de vereiste ruisvariantie verminderd.
Voordeel: Dit levert een certificaat op dat op maat is gemaakt voor de specifieke hertrainingsvergelijking, waardoor de pessimistische aard van training-agnostische worst-case grenzen wordt vermeden.

Algoritme Overzicht

Het Block-wise NFT-algoritme verloopt als volgt:

Partitionering: Deel de modelgewichten op in $k$ orthogonale blokken.
Sequentiële Updates: Voor elk blok $i$ $i$ :
- Bevries alle parameters behalve blok $i$ .
- Pas noisy fine-tuning toe op blok $i$ met de gekalibreerde ruisvariantie $\sigma^2$ en het aantal stappen $T$ afgeleid van $\Delta(\rho)$ .
- Er wordt geen initiële worst-case clipping ( $C_0$ ) toegepast; alleen de nabheid-gebaseerde grens wordt gebruikt.
Finalisering: Nadat alle blokken sequentieel zijn bijgewerkt, wordt standaard fine-tuning uitgevoerd op het volledige model om de bruikbaarheid te herstellen.

Belangrijkste Bijdragen

Methode: Introductie van Block-wise NFT, die gecertificeerde ruisupdates sequentieel toepast over orthogonale parameterblokken. Dit vermindert de verstoring per stap terwijl volledige parameterdekking over het unlearning-schema wordt gegarandeerd.
Certificering: Uitbreiding van de NFT-certificeringsanalyse naar het blok-gewijze schema. De auteurs bewijzen dat hetzelfde $(\epsilon, \delta)$ privacybudget behouden blijft. Ze formaliseren ook de vervanging van worst-case model clipping door de nabheidsparameter $\Delta(\rho)$ .
Theoretisch Inzicht: Identificatie van een "Formele Bottleneck" waarbij training-agnostische, worst-case certificering zorgt voor een spanning tussen bruikbaarheid en efficiëntie. De auteurs laten zien dat het behouden van een hoge bruikbaarheid in minder stappen dan hertrainen onmogelijk is onder initialisatie-agnostische ononderscheidbaarheid, wat de verschuiving naar nabijheid-gebaseerde formuleringen motiveert.
Empirische Validatie: Demonstratie dat Block-wise NFT accuratecollaps voorkomt op MNIST- en CIFAR-10-benchmarks (met gebruik van ResNet-18 en ViT-Tiny) bij zowel willekeurige als klasse-gewijze verwijderingen, terwijl het robuust blijft tegen membership inference attacks (MIA).

Experimentele Resultaten

Het artikel evalueert Block-wise NFT tegenover standaard NFT, hertrainen vanaf nul, en diverse empirische (niet-gecertificeerde) unlearning-baselines.

Accuratesseherstel: Op CIFAR-10 met ViT-Tiny laat standaard NFT de accuratesse dalen tot onder de 20% en herstelt het niet meer. In contrast hiermee behoudt Block-wise NFT een aanzienlijk hogere accuratesse tijdens de unlearning-fase en herstelt het naar bijna het niveau van hertrainen na fine-tuning.
Privacygaranties: De methode bereikt 100% Unlearned Accuracy (UA) en 100% MIA-scores (wat duidt op geen lekkage), wat overeenkomt met de prestaties van hertrainen vanaf nul op deze metrieken.
Efficiëntie: Block-wise NFT is computationeel efficiënt, met looptijden vergelijkbaar met standaard NFT en aanzienlijk lager dan hertrainen vanaf nul.
Robuustheid: De methode blijft effectief over verschillende blokgroottes ( $k$ ) en blokconstructiestrategieën (random vs. laag-gewijs), wat aantoont dat de winst niet sterk gevoelig is voor de specifieke partitionering.

Betekenis en Claims

Het artikel beweert dat Block-wise NFT de kloof overbrugt tussen rigoureuze formele garanties en praktische bruikbaarheid in gecertificeerd unlearning.

Mitigatie van Accuratecollaps: De primaire bijdrage is het aantonen dat de ernstige degradatie van de accuratesse geassocieerd met DP-geïnspireerde unlearning niet een inherente beperking is van gecertificeerd unlearning, maar een gevolg is van specifieke ontwerpkeuzes (volledige ruimte ruisinjectie en worst-case clipping).
Praktische Levensvatbaarheid: Door gebruik te maken van sequentiële subruisinjectie en nabijheid-kalibratie, maakt de methode gecertificeerd unlearning aanzienlijk minder destructief in de bestudeerde regimes.
Beperkingen en Reikwijdte: De auteurs zijn bescheiden over de algemeenheid van hun claims. Ze merken op dat de kalibratie van $\Delta(\rho)$ empirisch is en specifiek voor de modelklasse en de trainingspipeline. Ze benadrukken dat hun garanties voorwaardelijk zijn aan de gestelde certificeringsinstelling en kalibratieprocedure, en dat de methode geen universele oplossing claimt te zijn voor alle unlearning-scenario's zonder de juiste kalibratie.

Samenvattend betogen de auteurs dat gecertificeerd unlearning praktisch kan worden gemaakt voor grote modellen door af te stappen van worst-case, globale ruisinjectie naar gestructureerde, sequentiële updates die de werkelijke nabijheid van de betrokken modellen respecteren.