Resumo Técnico: Injeção de Ruído em Subespaços Sequenciais para Desaprendizado Certificado

Declaração do Problema

O desaprendizado de máquina (machine unlearning) visa remover a influência de dados de treinamento específicos de um modelo treinado para cumprir regulamentações como o GDPR ou para remover informações sensíveis. Embora o retreinamento do zero seja o padrão ouro, ele é frequentemente computacionalmente proibitivo. Métodos de desaprendizado certificado, particularmente aqueles baseados em Privacidade Diferencial (DP), oferecem garantias formais de remoção de dados, mas sofrem de uma limitação prática crítica: o colapso de acurácia.

Abordagens atuais, como o Ajuste Fino Ruidoso (NFT - Noisy Fine-Tuning) com recorte de gradiente (gradient clipping), injetam ruído Gaussiano para satisfazer garantias de desaprendizado $(\epsilon, \delta)$. No entanto, em redes profundas superparametrizadas, o ruído necessário para certificar o desaprendizado é frequentemente grande o suficiente para dominar o sinal do gradiente em todos os parâmetros simultaneamente. Resultados empíricos mostram que o NFT padrão pode causar uma queda brusca na acurácia de teste (por exemplo, de 88% para abaixo de 20% no CIFAR-10) e falhar em se recuperar mesmo após o ajuste fino subsequente. Isso cria uma tensão entre manter garantias formais rigorosas e preservar a utilidade do modelo.

Metodologia

Os autores propõem o Ajuste Fino Ruidoso por Blocos (Block-wise NFT), uma modificação ao framework NFT padrão projetada para mitigar o colapso de acurácia enquanto retém garantias formais certificadas. O método aborda dois gargalos específicos nas análises de desaprendizado certificado existentes:

1. Injeção de Ruído em Subespaços Sequenciais

O NFT padrão injeta ruído em todo o espaço de parâmetros em cada etapa. Os autores observam que, para modelos de alta dimensão, a norma $\ell_2$ do vetor de ruído ($\sigma\sqrt{d}$) sobrecarrega as atualizações de gradiente recortadas.

• Abordagem: O espaço de parâmetros $\mathbb{R}^d$ é particionado em $k$ subespaços mutuamente ortogonais (blocos).
• Mecanismo: Em vez de atualizar todos os parâmetros, o algoritmo atualiza sequencialmente um bloco de cada vez. Durante a atualização de um bloco específico, o ruído é injetado apenas nesse subespaço, enquanto todos os outros parâmetros permanecem congelados.
• Benefício: Isso redistribui o mesmo orçamento de ruído certificado ao longo do tempo e através de subespaços de menor dimensão. Ao restringir as perturbações a uma fração ($1/k$) das coordenadas por etapa, a distorção por etapa é significativamente reduzida, impedindo que o ruído domine o sinal de treinamento.

2. Calibração Baseada em Proximidade ($\Delta(\rho)$)

As análises do NFT padrão frequentemente dependem de raios de recorte de modelo de pior caso ($C_0$) para lidar com inicializações arbitrárias, o que leva a requisitos de ruído excessivamente conservadores.

• Abordagem: Os autores substituem a suposição de inicialização de pior caso por um parâmetro de proximidade de alta probabilidade, $\Delta(\rho)$. Este parâmetro limita a distância entre o modelo totalmente treinado (no conjunto de dados completo) e o modelo retreinado (no conjunto de dados retido) sob um acoplamento fixo de aleatoriedade.
• Mecanismo: Ao calibrar o ruído e o recorte com base na distância real $\Delta(\rho)$ em vez de um diâmetro de pior caso, a variância do ruído necessária é reduzida.
• Benefício: Isso gera um certificado adaptado à comparação de retreinamento específica, evitando o pessimismo dos limites agnósticos ao treinamento de pior caso.

Visão Geral do Algoritmo

O algoritmo Block-wise NFT procede da seguinte forma:

1. Particionamento: Decompõe os pesos do modelo em $k$ blocos ortogonais.
2. Atualizações Sequenciais: Para cada bloco $i$:
   • Congela todos os parâmetros, exceto o bloco $i$.
   • Aplica o ajuste fino ruidoso ao bloco $i$ usando a variância de ruído calibrada $\sigma^2$ e a contagem de passos $T$ derivada de $\Delta(\rho)$.
   • Nenhum recorte de pior caso inicial ($C_0$) é aplicado; apenas o limite baseado em proximidade é usado.
3. Finalização: Após todos os blocos terem sido atualizados sequencialmente, realiza o ajuste fino padrão em todo o modelo para recuperar a utilidade.

Principais Contribuições

1. Método: Introdução do Block-wise NFT, que aplica atualizações ruidosas certificadas sequencialmente através de blocos de parâmetros ortogonais. Isso reduz a distorção por etapa enquanto garante a cobertura total dos parâmetros durante o cronograma de desaprendizado.
2. Certificação: Extensão da análise de certificação do NFT para o cronograma por blocos. Os autores provam que o mesmo orçamento de privacidade $(\epsilon, \delta)$ é mantido. Eles também formalizam a substituição do recorte de pior caso do modelo pelo parâmetro de proximidade $\Delta(\rho)$.
3. Insight Teórico: Identificação de um "Gargalo Formal" onde a certificação de pior caso e agnóstica ao treinamento cria uma tensão entre utilidade e eficiência. Os autores demonstram que manter alta utilidade em menos passos do que o retreinamento é impossível sob indistinguibilidade agnóstica à inicialização, motivando a mudança para formulações baseadas em proximidade.
4. Validação Empírica: Demonstração de que o Block-wise NFT evita o colapso de acurácia nos benchmarks MNIST e CIFAR-10 (usando ResNet-18 e ViT-Tiny) sob exclusões aleatórias e por classe, mantendo-se robusto a ataques de inferência de associação (membership inference attacks - MIA).

Resultados Experimentais

O artigo avalia o Block-wise NFT contra o NFT padrão, retreinamento do zero e várias linhas de base de desaprendizado empíricas (não certificadas).

• Recuperação de Acurácia: No CIFAR-10 com ViT-Tiny, o NFT padrão reduz a acurácia para abaixo de 20% e falha em se recuperar. Em contraste, o Block-wise NFT mantém uma acurácia significativamente maior durante a fase de desaprendizado e recupera níveis próximos ao retreinamento após o ajuste fino.
• Garantias de Privacidade: O método alcança 100% de Acurácia de Desaprendizado (UA) e 100% de pontuações MIA (indicando ausência de vazamento), igualando o desempenho do retreinamento do zero nestas métricas.
• Eficiência: O Block-wise NFT é computacionalmente eficiente, com tempos de execução comparáveis ao NFT padrão e significativamente menores do que o retreinamento do zero.
• Robustez: O método permanece eficaz através de diferentes tamanhos de blocos ($k$) e estratégias de construção de blocos (aleatória vs. por camada), mostrando que os ganhos não são altamente sensíveis ao particionamento específico.

Significância e Alegações

O artigo afirma que o Block-wise NFT preenche a lacuna entre garantias formais rigorosas e utilidade prática no desaprendizado certificado.

• Mitigação do Colapso de Acurácia: A principal contribuição é demonstrar que a severa degradação de acurácia associada ao desaprendizado inspirado em DP não é uma limitação inerente ao desaprendizado certificado, mas uma consequência de escolhas de design específicas (injeção de ruído em espaço total e recorte de pior caso).
• Viabilidade Prática: Ao utilizar injeção de subespaço sequencial e calibração de proximidade, o método torna o desaprendizado certificado substancialmente menos destrutivo nos regimes estudados.
• Limitações e Escopo: Os autores são modestos quanto à generalidade de suas alegações. Eles observam que a calibração de $\Delta(\rho)$ é empírica e específica para a classe de modelo e o pipeline de treinamento. Eles enfatizam que suas garantias são condicionais ao cenário de certificação declarado e ao procedimento de calibração, e que o método não pretende ser uma solução universal para todos os cenários de desaprendizado sem a calibração adequada.

Em resumo, o trabalho argumenta que o desaprendizado certificado pode ser tornado prático para modelos grandes ao se afastar da injeção de ruído global de pior caso para atualizações estruturadas e sequenciais que respeitam a proximidade real dos modelos envolvidos no processo de desaprendizado.