🤖 machine learning

PURGE: Projected Unlearning via Retain-Guided Erasure

Het artikel introduceert PURGE, een machine unlearning-algoritme dat de dualiteit tussen continual learning en unlearning benut door gradiëntprojectiebeperkingen te combineren met multi-layer representatie-erasure en een retain-confusion target om effectief specifieke data te verwijderen terwijl de bruikbaarheid van het model behouden blijft en weerstand wordt geboden aan membership inference attacks.

Oorspronkelijke auteurs: Vedant Jawandhia, Daksh Ahuja, Ghufran Alam Siddiqui, Prashant Trivedi, Yash Sinha, Pratik Narang

Gepubliceerd 2026-06-03

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Vedant Jawandhia, Daksh Ahuja, Ghufran Alam Siddiqui, Prashant Trivedi, Yash Sinha, Pratik Narang

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een zeer intelligente student hebt die een enorme bibliotheek aan boeken heeft bestudeerd om een expert te worden. Stel je nu voor dat een specifiek persoon (laten we hem "Bob" noemen) de student vraat om alles over hem te vergeten vanwege privacywetgeving.

De oude, "naïeve" manier om dit aan te pakken is om de student te vertellen: "Ga terug naar de bibliotheek, gooi de boeken van Bob weg en begin opnieuw met studeren." Dit werkt perfect, maar het kost jaren en een fortuin.

PURGE is een nieuwe, slimme afkorting. Het is als een gum die de invloed van Bob uit het brein van de student wist zonder dat de student de rest van de geleerde zaken vergeet.

Hier is hoe het artikel dit proces uitlegt met behoud van eenvoudige analogieën:

1. Het Kernidee: Twee kanten van dezelfde munt

De auteurs merkten iets interessants op: Leren en Vergeten zijn eigenlijk tegenpolen van hetzelfde probleem.

Leren (Continual Learning): Je wilt een nieuwe vaardigheid leren (zoals gitaar spelen) zonder je oude vaardigheid (zoals piano spelen) te vergeten.
Vergeten (Machine Unlearning): Je wilt een specifieke herinnering (Bob) wissen zonder de rest van de bibliotheek te vergeten.

Het artikel zegt: "Laten we de wiskunde die wordt gebruikt om nieuwe dingen te leren lenen en deze omdraaien om ons te helpen dingen te vergeten."

2. De Magische Truc: De "Guardrail" (Gradient Projection)

Wanneer de student probeert de herinnering aan Bob uit te wissen, kan hij per ongeluk een vaas met bloemen omverwerpen (de "retain set" of andere data).

PURGE gebruikt een techniek genaamd Gradient Projection. Denk hierbij aan een guardrail (vangrail) of een uitsmijter.

Elke keer als de student een stap probeert te zetten om Bob te wissen, controleert de uitsmijter: "Zal deze stap de bloemen beschadigen?"
Als het antwoord "Ja" is, duwt de uitsmijter de voet van de student voorzichtig terug, zodat hij alleen in een richting beweegt die de bloemen niet beschadigt.
Dit garandeert dat terwijl ze Bob wissen, de rest van hun kennis veilig en accuraat blijft.

3. De "Fake Confusion" Strategie (Retain-Confusion Target)

Normaal gesproken, wanneer je een model probeert te laten vergeten, vertel je het om willekeurig te raden (zoals het gooien van een dobbelsteen). Het artikel vond een probleem met dit proces: Robots zijn te goed in het herkennen van valse willekeur. Als een model plotseling begint te gokken met willekeur, kan een hacker zeggen: "Aha! Dit model is gedwongen om iets te vergeten!"

In plaats daarvan gebruikt PURGE een Retain-Confusion Target.

Stel je voor dat de student naar de boeken kijkt die hij heeft behouden en ziet waar hij in de war raakt. Misschien verwart hij "Katten" en "Honden" soms.
Wanneer Bob wordt gewist, krijgt de student de instructie: "Gok niet willekeurig. Gok in plaats daarvan op precies dezelfde verwarde manier als je doet met de boeken die je hebt behouden."
Dit maakt het "gewiste" model identiek aan een student die Bob nooit heeft gezien. Voor een hacker is het onmogelijk om het verschil te zien.

4. Diepe Reiniging: Het wissen van het "Onderbuikgevoel"

Soms, zelfs als een model stopt met het geven van het juiste antwoord, voelt het nog steeds "het verkeerde antwoord" diep van binnen in zijn brein (in de middelste lagen).

Oude methoden vertellen het model alleen om aan het einde (de output) te stoppen met het geven van het verkeerde antwoord.
PURGE gaat dieper. Het wist het "onderbuikgevoel" (intermediaire representaties) schoon, waardoor de interne hersenactiviteit eruit gaat zien als de activiteit van iemand die Bob nooit heeft gekend.

5. De "Auto-Stop" Knop

Hoe weet de student wanneer hij moet stoppen met wissen?

Oude manier: Je moet minuten tellen of gokken hoeveel keer je moet oefenen.
PURGE-manier: Het heeft twee zelfregulerende stoptekens:
1. Het Budget: "Als we de bloemen (behoudende data) te veel beginnen te beschadigen, stop dan onmiddellijk."
2. Het Doel: "Als de herinnering aan Bob zo wazig is dat we hem niet beter kunnen raden dan door puur toeval, stop dan."
  Dit betekent dat het algoritme zelf beslist wanneer het klaar is, zodat mensen niet hoeven te gokken.

6. De "Frozen Statistic" Verrassing

Het artikel vond een verborgen valstrik: Wanneer je een hele klasse aan data wist (zoals alle foto's van "Katten"), raakt de interne rekenmachine van het model (BatchNorm) in de war omdat het alleen nog maar "Katten" ziet en vergeet hoe het met "Honden" moet omgaan.

De Oplossing: De auteurs realiseerden zich dat ze deze rekenmachine moesten bevriezen (frozen) zodat deze de statistieken niet bijwerkt met deze vreemde, eenzijdige data. Het is alsoals tegen de rekenmachine zeggen: "Verander je instellingen niet terwijl we deze operatie uitvoeren." Zonder dit zou het hele systeem crashen.

De Resultaten: Wat hebben ze gevonden?

De auteurs hebben dit getest op vijf verschillende soorten data (van handgeschreven cijfers tot medische afbeeldingen).

Privacy: Het "gewiste" model is zo goed in het verbergen dat hackers niet kunnen zien of Bob in de trainingsdata zat of niet (een score van 0,5, wat perfect is).
Utility (Bruikbaarheid): Het model herinnert zich nog steeds meer dan 96% van de rest.
Snelheid: Het is ongeveer 13 keer sneller dan het hele model opnieuw trainen vanaf nul.

Kortom: PURGE is een snelle, veilige en slimme manier om specifieke data uit het geheugen van een AI te verwijderen door trucs te lenen van hoe AI nieuwe dingen leert, waarbij wordt gegarandeerd dat de AI niet per ongeluk de rest van zijn kennis vergeet of ontdekt wordt door hackers.

Technische Samenvatting: PURGE (Projected Unlearning via Retain-Guided Erasure)

1. Probleemstelling

Machine unlearning (MU) beoogt de invloed van specifieke trainingsdata (de forget set, $D_f$ ) te verwijderen uit een getraind model zonder de verbijsterende computationele kosten van het volledig opnieuw trainen. Er bestaat een fundamentele spanning in MU: het model moet $D_f$ agressief vergeten om te voldoen aan privacy-audits (bijv. het "recht om vergeten te worden" onder de GDPR), terwijl het een hoge bruikbaarheid (utility) behoudt op de resterende data (de retain set, $D_r$ ).

Bestaande methoden kampen met specifieke faalmodi:

Gradient Ascent: Maximaliseert de loss op $D_f$ , maar verslechtert vaak de prestaties op $D_r$ catastrofaal.
Saliency-gebaseerde methoden (bijv. SalUn): Perturbeert selectief gewichten, maar mist formele garanties op de retain-prestaties.
Knowledge Distillation: Verankert de retain-distributie, maar slaagt er niet in om gradiëntrichtingen te beperken.
Fisher-gebaseerde methoden: Theoretisch onderbouwd, maar computationeel duur vanwege Hessian-benaderingen.

Cruciaal is dat veel bestaande benaderingen er niet in slagen te waarborgen dat het unlearned model statistisch ononderscheidbaar is van een model dat vanaf nul is hertraind op enkel $D_r$ . Dit onderscheid is essentieel voor het weerstaan van Membership Inference Attacks (MIA), waarbij een tegenstander probeert te bepalen of een specifieke sample deel uitmaakte van de trainingsset.

2. Methodologie

De kerninzicht van PURGE is de dualiteit tussen Continual Learning (CL) en Machine Unlearning. Waar CL nieuwe taken leert zonder oude taken te vergeten, moet MU specifieke data wissen zonder de retain-prestaties te schaden. PURGE past het A-GEM (Averaged Gradient Episodic Memory) algoritme uit CL aan, dat nieuwe-taak gradiënten projecteert om te voorkomen dat de loss op oude taken toeneemt.

2.1 Gradiëntprojectie voor Retain-veiligheid

PURGE behandelt het unlearning-proces als een geoptimaliseerd probleem onder restricties. Voor elke update-stap wordt de gradiënt voor de forget-richting ( $g_f$ ) geprojecteerd op een halfruimte gedefinieerd door de retain-gradiënt ( $g_r$ ).

Restrictie: De update mag de retain-loss ( $L_r$ ) niet verhogen.
Mechanisme: Als de forget-gradiënt conflicteert met de retain-gradiënt (d.w.z. $\langle g_f, g_r \rangle < 0$ ), wordt $g_f$ geprojecteerd op de grens van de halfruimte waar $\langle g, g_r \rangle \geq 0$ .
Theoretische Garantie: Dit biedt een per-stap constructieve garantie dat de retain-loss niet toeneemt (tot eerste-orde benadering), een kenmerk dat ontbreekt in eerdere benaderende unlearning-methoden.

2.2 Forget Objectives

PURGE introduceert een nieuw doel voor de forget set, wat verder gaat dan eenvoudige uniforme distributie-targets:

KL-Retain (Retain-Confusion Target): In plaats van de forget-outputs naar een uniforme distributie te duwen (wat gemakkelijk detecteerbaar is door MIA), richt PURGE zich op het natuurlijke verwaringspatroon van het model op de retain set. Het berekent vooraf een distributie $p_r$ door de softmax-outputs van het bevroren originele model op $D_r$ te middelen. De forget-objective minimaliseert de KL-divergentie tussen de forget-outputs en $p_r$ .
Rationale: Dit maakt de outputs van het unlearned model statistisch ononderscheidbaar van een model dat vanaf nul is hertraind, waardoor de MIA AUROC richting de ideale 0.5 wordt gedreven.

2.3 Multi-Layer Representatie-erasure

Output-onderdrukking alleen is onvoldoende, aangezien informatie in intermediaire lagen kan voortbestaan. PURGE berekent de Mean Squared Error (MSE) tussen de forget-set activaties en de gemiddelde activaties van de retain set (van het bevroren model) over meerdere intermediaire lagen. Dit dwingt de verwijdering van informatie uit de verborgen representaties af, en niet enkel uit de uiteindelijke output.

2.4 Stabiliteit en Stopmechanismen

KD-Anchored Stabiliteit: Een bevroren kopie van het pre-unlearning model fungeert als docent voor de retain set via Knowledge Distillation (KD), wat de representatie-drift vermindert.
Entropy Gating & Capping: Updates worden beperkt tot de retain-objective indien de output-entropie van de forget batch al nabij het maximum ligt, om overmatig vergeten of gradiëntexplosie te voorkomen.
Dual Self-Regulating Stopping: Het algoritme stopt automatisch op basis van twee criteria:
1. Retain-Loss Budget: Stopt als de retain-loss een vooraf bepaald budget overschrijdt ten opzichte van de initiële loss.
2. Forget-Accuracy (FA) Target: Stopt wanneer de FA daalt tot een niveau van willekeurige kans (bijv. $100/K\%$ ).
BatchNorm Freezing: Een cruciaal implementatiedetail geïdentificeerd door de auteurs: BatchNorm-lagen moeten in evaluation mode bevroren blijven tijdens het unlearning-proces. Class-homogene forget batches kunnen de running statistics corrumperen als BatchNorm in training mode blijft, wat leidt tot modelinstorting.

3. Belangrijkste Bijdragen

Algoritmische Instantiatie van de CL-MU Dualiteit: PURGE is het eerste werk dat de gradiëntprojectie-mechanisme van A-GEM (een CL-algoritme) direct aanpast als het primaire constructieve instrument voor machine unlearning, wat formele per-stap retain-veiligheidsgaranties biedt.
Retain-Confusion Target: Het voorstel van een KL-divergentie target gebaseerd op de natuurlijke verwarring van het model op de retain data, wat de MIA-weerstand aanzienlijk verbetert vergeleken met uniforme distributie-targets.
Multi-Layer Erasure: Het uitbreiden van unlearning naar intermediaire laag-activaties om diepe informatieverwijdering te garanderen.
Zelfregulerend Framework: Eliminatie van handmatige epoch-tuning via duale stopcriteria (retain-loss budget en FA target).
Empirische Ontdekking: Identificatie van de BatchNorm-faalmodus in class-level unlearning, een subtiel maar kritiek probleem dat de stabiliteit beïnvloedt.

4. Experimentele Resultaten

PURGE werd geëvalueerd op vijf datasets (CIFAR-10, MNIST, SVHN, STL10, PathMNIST) over 22 class-level forgetting taken met behulp van ResNet-18.

Privacy-Utility Trade-off: PURGE behoudt consistent een Retain Accuracy (RA) boven de 96% over alle datasets.
Privacy (MIA Weerstand): PURGE bereikt een MIA AUROC dicht bij 0.5 (de ideale ononderscheidbaarheidsscore) op vier van de vijf datasets. Op CIFAR-10 bereikt het bijvoorbeeld een AUROC van 0.496.
Vergelijking met Baselines:
- In tegenstelling tot Gradient Ascent (die de retain accuracy naar ~38% brengt op CIFAR-10) of SalUn (die een gebrek heeft aan formele MIA-garanties), balanceert PURGE een hoge retain utility met echte lidmaatschapsprivacy.
- Hoewel de Test Accuracy (TA) van PURGE op CIFAR-10 (84.5%) lager is dan die van SalUn (93.5%), stellen de auteurs dat dit een bewuste afweging is om echte privacy (MIA $\approx$ 0.5) te bereiken in plaats van slechts een lage forget accuracy.
Efficiëntie: PURGE convergeert in ongeveer 1.75 epochs (minder dan 200 seconden op CIFAR-10), wat een versnelling van $\sim$ 13 $\times$ biedt ten opzichte van volledige hertraining.
Representatie-erasure: Feature-space Fréchet distance (FIDfeat) en cosine similarity metrieken bevestigen dat PURGE de intermediaire representaties effectief wijzigt, waardoor ze dichter bij die van een model komen dat vanaf nul is hertraind.

5. Betekenis en Claims

Het artikel beweert dat PURGE een geprincipleerd framework biedt voor machine unlearning door gebruik te maken van de dualiteit met continual learning. De betekenis ligt in:

Formele Garanties: Het bieden van een per-stap garantie dat de retain-loss niet toeneemt, een kenmerk dat ontbreekt bij heuristische unlearning-methoden.
Robuuste Privacy: Het aantonen dat het targeten van de "natuurlijke verwarring" van het model superieur is aan kunstmatige uniforme targets voor het verslaan van Membership Inference Attacks.
Praktische Richtlijnen: Het bieden van cruciale implementatie-inzichten, zoals de noodzaak om BatchNorm-lagen te bevriezen, die vaak over het hoofd worden gezien in de unlearning-literatuur.

De auteurs erkennen beperkingen, waaronder een gap in test accuracy vergeleken met sommige baselines, het gebrek aan formele $(\epsilon, \delta)$ -differential privacy garanties, en de huidige evaluatieomvang (ResNet-18, single-class forgetting). Ze stellen echter dat het CL-MU dualiteitsperspectief een bredere ontwerpruimte opent voor toekomstige unlearning-algoritmen.