🤖 machine learning

DurableUn: Quantization-Induced Recovery Attacks in Machine Unlearning

Este artigo revela que a quantização INT4 restaura sistematicamente dados esquecidos no desaprendizado de máquina, expondo um trade-off fundamental entre esquecimento, utilidade e robustez, e propõe o método DURABLEUN-SAF para alcançar desaprendizado estável tanto em implantações de alta quanto de baixa precisão.

Autores originais: Abdullah Ahmad Khan, Ferdous Sohel

Publicado 2026-05-11

📖 5 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Abdullah Ahmad Khan, Ferdous Sohel

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

A Visão Geral: O "Direito ao Esquecimento" vs. o Problema da "Borracha Mágica"

Imagine que você tem uma biblioteca gigante (um Modelo de Linguagem Grande ou LLM) que contém todos os livros já escritos. Você tem um direito legal (como o GDPR) de dizer: "Por favor, remova todos os livros escritos pelo Autor X".

Machine Unlearning (Esquecimento de Máquina) é a tecnologia usada para tentar apagar esses livros específicos sem ter que reconstruir toda a biblioteca do zero.

O Problema: Os pesquisadores descobriram que as atuais "Borrachas Mágicas" usadas para apagar esses dados são falhas. Elas funcionam perfeitamente quando você olha para a biblioteca em alta definição (precisão total), mas se você reduzir a biblioteca para caber em um dispositivo pequeno (quantização de baixa precisão), os livros apagados reaparecem magicamente nas prateleiras.

A Descoberta Central: O "Ataque de Recuperação por Quantização" (QRA)

O artigo apresenta uma nova forma de vazamento de dados, chamada de Ataque de Recuperação por Quantização (QRA).

A Analogia: Imagine que você tem uma pintura detalhada de um rosto. Você usa um solvente especial para esfregar os olhos fora da pintura. No estúdio de alta resolução (BF16), os olhos sumiram. A pintura passa na inspeção.
A Reviravolta: Agora, imagine que você fotocopia essa pintura em uma impressora barata e de baixa qualidade para economizar tinta (isso é a quantização INT4, usada para fazer a IA rodar rápido em celulares).
O Resultado: Devido à forma como a impressora barata processa a tinta, as áreas "esfregadas" não permanecem em branco. A tinta se mancha de uma maneira específica que reconstrói acidentalmente os olhos. A informação apagada volta, mesmo que a pintura parecesse limpa antes.

Os autores chamam isso de QRA. Eles descobriram que, embora a exclusão de dados funcione em precisão total, comprimir o modelo para precisão de 4 bits (um padrão para aplicativos do mundo real) restaura sistematicamente a informação esquecida.

O "Trilema": O Triângulo Impossível

Os pesquisadores descobriram um problema estrutural que chamam de Trilema FA–RA–Q-INT4. Pense nisso como tentar equilibrar três pratos em um bastão, onde você só consegue segurar dois de cada vez:

Esquecer (FA): Apagar com sucesso os dados específicos.
Manter (RA): Manter o modelo inteligente e útil para tudo o mais.
Robustez (Q-INT4): Garantir que os dados permaneçam apagados mesmo quando o modelo é comprimido para implantação.

A Descoberta: Nenhum método existente consegue fazer os três.

Se você tentar apagar os dados bem, o modelo se torna frágil. Quando você o comprime, os dados voltam.
Se você tentar tornar o modelo robusto contra a compressão, você acidentalmente destrói sua capacidade de lembrar coisas úteis (ele fica "burro").
Se você mantiver o modelo inteligente, ele falha em apagar os dados efetivamente quando comprimido.

O artigo mostra uma "transição de fase aguda": assim que você ajusta o sistema para ser robusto o suficiente para impedir que os dados voltem, a inteligência geral do modelo colapsa instantaneamente. Não é uma troca suave; é um penhasco.

A Solução: DURABLEUN-SAF

Para corrigir isso, os autores propuseram um novo método chamado DURABLEUN-SAF (Esquecimento Consciente da Agudeza).

Como funciona: Em vez de apenas esfregar os dados, este método treina o modelo para ser "plano" nas áreas onde os dados foram apagados.
A Analogia: Imagine que os dados apagados são um buraco em um trampolim. Métodos padrão apenas preenchem o buraco com areia. Se você pular no trampolim (comprimir o modelo), a areia se desloca e o buraco reaparece.
O Conserto: O DURABLEUN-SAF não apenas preenche o buraco; ele reforça toda a lona do trampolim ao redor do buraco para que, não importa como você pule ou estique (comprima), o buraco permaneça fechado.

O Resultado: Este é o primeiro método que passa com sucesso em um "Certificado de Durabilidade". Ele prova que os dados estão ausentes nas versões de alta definição, 8 bits e 4 bits. No entanto, há um problema: para alcançar essa segurança perfeita, o modelo perde uma quantidade significativa de sua inteligência geral (a Precisão de Manutenção cai), confirmando que o "Trilema" é real e difícil de quebrar.

Por Que Isso Importa

Auditorias Atuais são Falhas: Reguladores atualmente verificam se um modelo apagou dados em precisão total. Este artigo diz que isso não é suficiente. Um modelo pode passar em uma auditoria de privacidade e ainda violar a privacidade assim que for implantado em um celular ou servidor usando compressão padrão.
Não é Apenas um Bug, é uma Característica da Matemática: Os autores mostram que isso não é um erro no código; é uma tensão matemática fundamental entre apagar memórias específicas e manter o modelo inteligente enquanto o comprime.
Um Novo Padrão: Os autores argumentam que devemos começar a testar modelos de IA em precisão de 4 bits (INT4) para ver se eles realmente esquecem, e não apenas em precisão total.

Resumo em Uma Frase

O artigo revela que os métodos padrão para apagar dados privados de modelos de IA falham quando os modelos são comprimidos para uso no mundo real e, embora um novo método possa corrigir isso, ele atualmente força uma escolha difícil entre privacidade total e manter a IA inteligente.

Resumo Técnico: DurableUn: Ataques de Recuperação Induzidos por Quantização em Esquecimento de Máquina

1. Declaração do Problema

O esquecimento de máquina visa remover dados de treinamento específicos de modelos para cumprir regulamentações de privacidade como o GDPR. No entanto, os protocolos de avaliação atuais sofrem de uma "lacuna de implantação" crítica. As avaliações padrão assumem que a precisão utilizada durante a auditoria de esquecimento (tipicamente bfloat16 ou BF16) corresponde à precisão usada em produção. Na realidade, os Modelos de Linguagem de Grande Escala (LLMs) são frequentemente implantados com precisão de baixo bit (INT4 ou INT8) para reduzir a pegada de memória e melhorar a velocidade de inferência.

Os autores identificam que essa incompatibilidade de precisão cria uma vulnerabilidade sistemática: um modelo pode "esquecer" com sucesso dados em BF16 (passando em uma auditoria de privacidade com precisão de esquecimento próxima de zero, FA $\approx$ 0), mas quando quantizado para INT4 para implantação, a informação esquecida reaparece sistematicamente nas saídas do modelo. Os autores denominam esse fenômeno de Ataque de Recuperação por Quantização (QRA). Isso não é meramente uma nova variante de ataque, mas uma falha fundamental de validade nos protocolos de avaliação atuais, onde modelos certificados como conformes violam comprovadamente a privacidade sob transformações padrão de implantação.

2. Metodologia e Configuração

Regime Experimental

O estudo foca no paradigma de implantação NF4+LoRA, onde um modelo é carregado na precisão NormalFloat4 (NF4) e adaptadores de Adaptação de Baixo RANK (LoRA) são treinados em BF16. Esta é uma configuração comum para ajuste fino e implantação eficientes.

Modelos: LLaMA-3-8B-Instruct (principal) e Mistral-7B-Instruct (para generalização).
Conjuntos de Dados: TOFU (autores fictícios), MUSE-News (notícias do mundo real) e WikiBio-WPU (figuras históricas).
Baselines: Sete métodos estabelecidos de esquecimento foram avaliados: Ascensão de Gradiente (GA), Otimização de Preferência Negativa (NPO), SCRUB, SalUn, Esquecimento por Manipulação de Representação (RMU), AlphaEdit e GradDiff.
Simulação de Quantização: Os autores simulam a quantização INT4 e INT8 nos pesos do adaptador LoRA usando um esquema de quantização simétrica por linha. Eles validam esse simulador contra a Quantização Pós-Treinamento (PTQ) real do bitsandbytes em modelos mesclados.

A Solução Proposta: DURABLEUN-SAF

Para abordar a vulnerabilidade, os autores propõem o DURABLEUN-SAF (Esquecimento Sensível à Nitidez).

Insight Central: A ascensão de gradiente padrão (GA) cria uma paisagem de perda "nítida" para o objetivo de esquecimento. Embora o modelo esqueça em precisão total, a paisagem de perda é íngreme, o que significa que pequenas perturbações (como ruído de quantização INT4) empurram facilmente o modelo de volta para um estado de "lembrança".
Mecanismo: O DURABLEUN-SAF introduz um objetivo sensível à quantização que utiliza um Estimador Straight-Through (STE) para calcular gradientes através da operação de arredondamento INT4. A função objetivo combina três termos:
1. Perda de esquecimento padrão ( $L_f$ ).
2. Perda de esquecimento sensível à quantização ( $L_f(Q_{STE}(\theta))$ ), que força o modelo a esquecer mesmo sob perturbação simulada INT4.
3. Perda de retenção ( $L_r$ ) para preservar a utilidade.
Estratégia de Treinamento: O método emprega um cronograma de aquecimento para o termo sensível à quantização e ajusta dinamicamente o equilíbrio de retenção ( $\lambda$ ) com base no peso de quantização ( $\alpha$ ).

3. Principais Descobertas e Resultados

O Trilema FA–RA–Q-INT4

O estudo identifica uma restrição estrutural denominada Trilema FA–RA–Q-INT4: Nenhuma configuração avaliada alcança simultaneamente:

Esquecimento Forte (FA $\le$ 0,05).
Alta Utilidade (Precisão de Retenção, RA $\ge$ 0,50).
Robustez à Quantização (Q-INT4 $\le$ 0,05).

Através de uma varredura Pareto densa, os autores observam uma transição de fase abrupta. À medida que a pressão de quantização ( $\alpha$ ) aumenta para alcançar robustez (Q-INT4 < 0,05), a precisão de retenção (RA) colapsa abruptamente (por exemplo, de ~0,52 para ~0,045) e não pode ser recuperada por ajuste adicional. Isso sugere que o trilema é uma consequência do espaço de pesos compartilhado no regime NF4+LoRA, e não um artefato de hiperparâmetros.

Ataque de Recuperação por Quantização (QRA)

INT8 é Benigno: Em todos os 7 baselines, a quantização INT4 resultou em Q-INT4 = 0,000, indicando que a precisão de 8 bits é muito precisa para causar recuperação.
INT4 é Catastrófico: A quantização INT4 restaurou sistematicamente o conteúdo esquecido. Para métodos que alcançaram bom esquecimento em BF16 (FA < 0,05), a recuperação foi severa:
- GradDiff: FA 0,008 $\to$ Q-INT4 0,151 (recuperação de 18,9 $\times$ ).
- GA: FA 0,028 $\to$ Q-INT4 0,262 (recuperação de 9,4 $\times$ ).
- SalUn: FA 0,011 $\to$ Q-INT4 0,051 (recuperação de 4,6 $\times$ ).
Dificuldade do Conjunto de Dados: A gravidade do ataque escala com a dificuldade do conjunto de dados. No conjunto de dados mais difícil MUSE-News, os métodos padrão falharam em esquecer completamente, enquanto no conjunto de dados WPU mais simples, alguns baselines passaram no certificado sem o DURABLEUN-SAF.

Desempenho do DURABLEUN-SAF

O DURABLEUN-SAF é o único método a alcançar um certificado de durabilidade empírica estável.

Definição do Certificado: Um modelo é $(\epsilon, P)$ -durável se sua precisão de esquecimento permanecer $\le \epsilon$ em todas as precisões no conjunto $P$ (BF16, INT8, INT4).
Resultados: O DURABLEUN-SAF ( $\alpha=3$ ) alcançou uma taxa de certificação de 3/3 em três sementes aleatórias com um Q-INT4 de $0,043 \pm 0,002$ .
Comparação: Em contraste, o SalUn (mesmo em seus próprios hiperparâmetros publicados) alcançou uma taxa de certificação de apenas 1/3 com maior variância.
Compromisso: Embora o DURABLEUN-SAF alcance o certificado, ele sofre do mesmo colapso de RA observado no trilema (RA $\approx$ 0,045), confirmando que o método navega com sucesso no compromisso, mas não pode atualmente superar o limite estrutural de reter alta utilidade enquanto garante robustez INT4.

4. Significado e Alegações

O artigo afirma fazer as seguintes contribuições:

Identificação de uma Lacuna de Implantação: Demonstra que as avaliações atuais de esquecimento são fundamentalmente falhas porque ignoram a prática padrão de implantação INT4, levando a falsos positivos na conformidade de privacidade.
O Trilema: Estabelece o trilema FA–RA–Q-INT4 como uma restrição estrutural no regime NF4+LoRA, caracterizado por uma transição de fase abrupta em vez de um compromisso suave.
Primeiro Certificado de Durabilidade: Introduz o primeiro certificado empírico formal de durabilidade para esquecimento de máquina sob quantização, validado em múltiplas sementes e conjuntos de dados.
Uma Solução Viável: Propõe o DURABLEUN-SAF, o primeiro método a alcançar consistentemente esse certificado, provando que o esquecimento sensível à quantização é possível, mesmo que atualmente venha ao custo da precisão de retenção.
Chamada para Ação: Os autores defendem a adoção do Q-INT4 (precisão de esquecimento sob quantização INT4) como uma métrica de avaliação padrão ao lado de FA e RA. Eles argumentam que qualquer método de esquecimento que alegue conformidade com o GDPR deve demonstrar robustez em INT4, pois a quantização é uma operação de "uma linha" para usuários downstream que não requer dados de treinamento para recuperar informações esquecidas.

O artigo conclui que, embora o DURABLEUN-SAF forneça um caminho para certificação, o colapso da precisão de retenção permanece um problema aberto, sugerindo que trabalhos futuros devem abordar a incompatibilidade geométrica entre robustez forte à quantização e alta utilidade em espaços de pesos compartilhados.