Resumo Técnico: Auditoria de Algoritmos de Desaprendizado (Unlearning)

Definição do Problema

O desaprendizado de máquina (machine unlearning) visa remover a influência de amostras de treinamento específicas de um modelo treinado, idealmente resultando em um modelo indistinguível de um que foi retreinado do zero com os dados restantes. Embora o desaprendizado exato ofereça garantias fortes, ele é frequentemente computacionalmente proibitivo para redes profundas. Consequentemente, surgiram métodos de desaprendizado aproximado, variando de abordagens heurísticas (ex: ascensão de gradiente no conjunto de esquecimento, limpeza baseada em Hessiana) a métodos certificados que fornecem garantias de $(\varepsilon, \delta)$-indistinguibilidade.

Um desafio crítico e aberto é a avaliação empírica dessas afirmações. As garantias teóricas existentes frequentemente dependem de suposições (ex: convexidade) que podem não se sustentar na prática, e há uma falta de ferramentas práticas para verificar se uma garantia de desaprendimento reivindicada realmente se mantém. Este artigo aborda a necessidade de um auditor que utilize evidências empíricas para testar garantias de desaprendizado, visando especificamente rejeitar a hipótese de que o parâmetro de desaprendizado $\varepsilon$ seja inferior a um determinado limite inferior ($\varepsilon < \varepsilon_{LB}$).

Metodologia

Modelo de Ameaça

Os autores adotam um modelo de adversário de caixa-preta forte. O adversário tem conhecimento de:

1. O algoritmo de aprendizado ($A$) e o algoritmo de desaprendizado ($U$).
2. O embaralhador de carregamento de dados (permutação aleatória $\pi$).
3. Os pesos iniciais do modelo ($x_0$) no início do treinamento.
   O adversário não observa as realizações aleatórias específicas (ex: ruído de gradiente) durante o treinamento ou desaprendizado, nem possui acesso ao estado interno dos algoritmos. Este modelo fortalece o adversário em relação às definições padrão, mas é consistente com as garantias de algoritmos certificados como Model Clipping e Rewind-to-Delete (R2D).

A Estrutura do Auditor

O auditor proposto é uma estrutura de teste de hipóteses projetada para computar um limite inferior dependente de dados $\varepsilon_{LB}$ sobre o verdadeiro parâmetro de desaprendizado $\varepsilon$.

1. Configuração: O conjunto de dados de treinamento é particionado em um conjunto de retenção ($D_r$) e um conjunto de esquecimento ($D_f$). $D_f$ é subdividido em $m$ lotes (batches) candidatos.
2. Vetores de Sinal: O auditor amostra um vetor de sinal equilibrado $S \in \{\pm 1\}^m$, onde $+1$ indica que um lote é incluído no conjunto de treinamento (e, portanto, sujeito ao desaprendizado), e $-1$ indica que ele é excluído.
3. Execução: Para cada execução $\ell$:
   • Um conjunto de treinamento $D(S^{(\ell)})$ é construído com base no vetor de sinal.
   • O modelo é treinado e depois desaprendido para produzir $f_u^{(\ell)}$.
   • O auditor tenta prever o vetor de sinal $S^{(\ell)}$ a partir de $f_u^{(\ell)}$.
4. Pontuação: O auditor calcula uma pontuação de sobreposição $V^{(\ell)}$, contando o número de acertos de sinais não nulos (onde o sinal previsto coincide com o sinal real).
5. Redução para LDP: A auditoria é reduzida a um problema de Privacidade Diferencial Local (LDP). Se o algoritmo de desaprendizado for $(\varepsilon, 0)$-certificado, o mecanismo do auditor é demonstrado como sendo $(2\varepsilon, 0)$-LDP.
6. Teste de Hipótese: Usando a distribuição das pontuações de sobreposição através de múltiplas execuções independentes, o auditor calcula um limite inferior $\varepsilon_{LB}$. Se a sobreposição observada exceder significativamente o acaso, a hipótese nula ($H_0: \varepsilon \le \varepsilon_{LB}$) é rejeitada, indicando um desaprendizado fraco.

Instanciações do Auditor

Duas instanciações específicas do mecanismo do auditor $M$ são propostas:

• Instanciação I (Por Lote): Adequada quando $m$ é grande. Ajusta distribuições Gaussianas para pontuações de logit para cada lote de forma independente (inspirado em LiRA) para prever inclusão/exclusão.
• Instanciação II (Vetor de Sinal Conjunto): Adequada quando $m$ é pequeno (enumerável). Trata o vetor de sinal inteiro como uma hipótese, capturando correlações entre lotes, e seleciona o vetor com a maior verossimilhança cumulativa.

Principais Contribuições

1. Design de Auditor Prático: O artigo introduz um meta-algoritmo que estende as técnicas de auditoria de privacidade diferencial para o cenário de desaprendizado, especificamente adaptado para conjuntos de esquecimento de nível de subconjunto em vez de vizinhos de ponto único.
2. Limites Teóricos: Os autores derivam novos limites teóricos (Teorema 4.2) que convertem as pontuações empíricas de sobreposição em um limite inferior válido para $\varepsilon$ com erro de Tipo I controlado, especificamente para o caso $\delta=0$.
3. Falsificação Empírica: A estrutura fornece uma ferramenta para falsificar empiricamente as reivindicações de desaprendizado. Ela distingue algoritmos com garantias teóricas rigorosas daqueles que são meramente heurísticos.

Resultados

O auditor foi avaliado no CIFAR-100 (usando um modelo TinyNet) e no conjunto de dados de texto Shakespeare (usando um LSTM). Os experimentos cobriram tanto algoritmos de desaprendizado certificados quanto não certificados.

Separação Nítida entre Métodos Certificados e Não Certificados

• Algoritmos Certificados: Métodos com garantias formais, como Model Clipping (Koloskova et al., 2025) e Rewind-to-Delete (R2D), produziram consistentemente valores de $\varepsilon_{LB}$ muito baixos (frequentemente próximos de 0). Isso indica que a evidência empírica não falsifica suas garantias teóricas.
• Algoritmos Não Certificados/Heurísticos: Métodos sem garantias formais, incluindo desaprendizado baseado em Hessiana, Interleaved Ascent-Descent (IDA), Ascensão no Conjunto de Esquecimento e Fine-tuning Puro no Conjunto de Retenção, exibiram valores de $\varepsilon_{LB}$ elevados, frequentemente excedendo 50–60.
  • Notavelmente, o método baseado em Hessiana (Zhang et al., 2025), que reivindica certificação sob convexidade, apresentou um $\varepsilon_{LB}$ de 142,5 no CIFAR-100 (um regime não convexo), demonstrando que o auditor identificou com sucesso a falha da precondição do método.
  • O fine-tuning puro e a ascensão no conjunto de esquecimento mostraram limites igualmente altos, indicando um desempenho de desaprendizado deficiente.

Impacto das Divisões de Dados

O estudo observou que divisões uniformes (onde os conjuntos de esquecimento e retenção compartilham suporte de características) geralmente resultaram em valores de $\varepsilon_{LB}$ mais altos em comparação com divisões adversariais (classes de rótulos disjuntas). Isso sugere que a memorização residual e a adjacência semântica em divisões uniformes tornam o desaprendizado mais difícil de ser alcançado efetivamente.

Regimes Convexos vs. Não Convexos

Em experimentos com perdas convexas (cúbica e logística), a lacuna entre o $\varepsilon$ certificado e o $\varepsilon_{LB}$ empírico era muito menor do que no cenário de aprendizado profundo não convexo. Isso confirma que o auditor é mais preciso em configurações analiticamente tratáveis e que os grandes limites observados em aprendizado profundo são provavelmente devidos a falhas reais de desaprendizado nos métodos heurísticos, e não apenas ao "slack" (folga) do auditor.

Significância e Alegações

O artigo afirma fornecer a primeira ferramenta prática para falsificar empiricamente garantias de desaprendizado por meio de uma estrutura de teste de hipóteses. Sua principal significância reside no valor diagnóstico do auditor:

• Ele revela que métodos heurísticos, frequentemente usados na prática por eficiência, frequentemente falham em remover a influência dos dados, como evidenciado pelos altos valores de $\varepsilon_{LB}$.
• Ele valida que métodos certificados (quando suas suposições se mantêm) preservam suas garantias mesmo sob um adversário forte.
• Ele destaca a fragilidade das reivindicações de certificação que dependem de suposições (como a convexidade) que podem não se manter em cenários de aprendizado profundo do mundo real.

Os autores concluem que, embora sua análise esteja atualmente restrita a $\delta=0$, o auditor proposto oferece um padrão rigoroso para avaliar a eficácia dos algoritmos de desaprendizado de máquina, separando aqueles com garantias genuínas daqueles que apenas parecem ter esquecido.