🤖 machine learning

Representation Unlearning: Forgetting through Information Compression

本文介绍了表示遗忘，这是一种通过在表示空间学习变换来压缩被遗忘数据的信息同时保留对保留数据的效用，从而实现高效可靠机器遗忘的框架，为传统参数修改方法提供了更稳定且计算效率更高的替代方案。

原作者： Antonio Almudévar, Alfonso Ortega

发布于 2026-05-29

📖 1 分钟阅读☕ 轻松阅读

原作者： Antonio Almudévar, Alfonso Ortega

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象你有一位非常聪明的学生，他研读了海量的图书馆藏书以成为专家。有一天，有人要求这位学生“遗忘”特定的一组书籍——或许因为这些书包含敏感机密，或许因为作者撤回了许可，又或者因为它们本身充满了错误。

处理这一问题的传统方法是让学生遗忘一切，扔掉当前的笔记，并强迫他们从头开始重新研读整个图书馆，仅跳过那些有问题的书籍。这种方法虽然准确，但耗时极长且令人筋疲力尽。

其他方法试图走捷径：它们告诉学生，“回去把你笔记本里关于那些坏书的特定页面擦掉。”但论文指出，这种做法风险很大。学生的大脑（即模型的参数）如此复杂，试图仅通过“手术”移除那些页面，往往会导致学生忘记他们原本掌握的好知识，或者手术本身的代价如此高昂，几乎等同于重新研读所有内容。

论文提出的解决方案：“表示遗忘”（Representation Unlearning）

这篇论文提出了一种不同的方法，称为表示遗忘。与其试图重写学生的整个大脑或笔记本，不如在学生回答问题的那一刻，改变他们看待信息的方式。

以下是其工作原理，通过几个类比来说明：

1. “翻译器”类比

想象在学生的大脑和嘴巴之间坐着一位特殊的翻译员。

旧方法： 你试图直接编辑学生的大脑。
新方法： 你保持学生的大脑原封不动。相反，你训练这位翻译员执行一项特定任务。

当学生思考一本“好”书（即你想要保留的数据）时，翻译员会说：“好的，我会让这些信息清晰通过。”
但当学生思考一本“坏”书（即需要遗忘的数据）时，翻译员则像一台造雾机。它将该特定想法搅混，使其变得如此模糊，以至于与整个图书馆的噪音无法区分。学生再也无法将这本“坏”书识别为特定的事物；它看起来只是“一般的图书馆噪音”。

2. “信息瓶颈”

论文将这一过程描述为创建一个信息瓶颈。
想象学生的大脑是一条宽阔的信息河流，而翻译员则是一根狭窄的管道。

对于好数据： 管道足够宽，能让清澈、有用的水流通过。
对于坏数据： 管道将水流挤压，直到其失去形状和身份。它仍然是水，但你再也无法分辨哪一滴水来自“坏”桶。

3. 两种场景

论文在两种情况下测试了这种方法：

场景 A：“完全访问”模式
翻译员在同时查看“好”书和“坏”书的情况下进行训练。它学会了如何保持好内容的清晰，同时模糊坏内容。
- 结果： 效果极佳，既保持了学生在好话题上的聪明才智，又让他们“遗忘”了坏内容。
场景 B：“零样本”模式（魔法 trick）
这是最令人印象深刻的部分。想象学生被要求遗忘一本书，但你无法再向他们展示“好”书（也许出于隐私原因它们被锁起来了）。你只有那本“坏”书。
- 工作原理： 论文使用了一种称为**神经坍缩（Neural Collapse）**的技巧。它假设在一个训练有素的学生大脑中，某一类的所有“好”书（例如所有关于猫的书）彼此看起来非常相似。翻译员学会将“坏”书的想法推向整个图书馆的平均“中心”，从而有效地将特定的“坏”记忆淹没在一般的噪音中。
- 结果： 即使没有看到“好”书，翻译员也能成功隐藏“坏”书的身份，而不破坏学生谈论其他事物的能力。

为什么这更好？

论文声称，该方法之所以胜出，主要有三个原因：

速度快： 编辑翻译员就像换一副眼镜，只需几秒钟。而重写学生的大脑（重新训练）则需要数天。论文显示，他们的方法比旧方法快数百倍。
安全性高： 因为他们没有直接黑客入侵学生的大脑，所以不会意外破坏学生进行数学运算或阅读的能力。“好”知识保持完好无损。
节省内存： 旧方法需要巨大的计算能力（如超级计算机）来进行手术。而这种方法可以在普通笔记本电脑上运行，因为它只微调那个小小的翻译员，而不是整个大脑。

局限性（注意事项）

论文诚实地指出了一个局限性：这个“翻译员”是添加在大脑之后的一层。如果黑客能直接访问学生的大脑原始数据（内部权重），他们可能仍然能够找到那些“坏”信息。翻译员仅保护信息在离开大脑并准备被说出时的安全。然而，对于大多数我们只能看到模型输出的现实世界应用来说，这种保护已经足够。

总结：
这篇论文建议，与其为了让人工智能模型遗忘而进行危险且昂贵的大脑手术，不如给它戴上一副“智能眼镜”（一个转换层）。这副眼镜会模糊掉你想要消除的特定记忆，同时保持其他所有内容清晰可见。这种方法更快、更便宜，并且能让模型比之前的方法更聪明。

技术摘要：表示遗忘：通过信息压缩实现遗忘

问题定义

现代机器学习系统正面临日益增长的监管和伦理压力，要求应请求移除特定训练数据（“遗忘集”， $D_f$ ）的影响，这一要求已纳入 GDPR 和 CCPA 等框架。单纯删除原始数据是不够的，因为深度网络往往会记忆训练样本，并在其参数中保留统计痕迹。

现有的机器学习遗忘方法通常采用以参数为中心的视角，试图修改模型权重（ $\theta$ ）以近似仅基于“保留集”（ $D_r$ ）重新训练得到的模型。然而，这些方法面临显著局限性：

可扩展性：它们在保持大型架构和复杂数据集上的模型效用方面存在困难。
计算成本：许多方法需要昂贵的二阶信息或多次反向传播，缩小了其与朴素重训练相比的效率差距。
不稳定性：修改整个参数空间可能导致 GPU 使用量激增和更新不稳定。
数据访问限制：许多方法隐式假设可以访问 $D_r$ 和 $D_f$ ，而现实场景往往因隐私或存储限制而限制对 $D_r$ 的访问（“零样本”设置）。

方法论：表示遗忘

作者提出了表示遗忘，这是一个将遗忘操作从高维参数空间转移到低维表示空间（ $Z$ ）的框架。该方法不重新优化网络权重，而是学习一个轻量级变换 $f_\phi$ ，将原始表示 $Z$ 映射到新表示 $Z'$ 。

核心目标：信息瓶颈

变换 $f_\phi$ 的训练旨在强制实施信息瓶颈，包含两个相互竞争的目标：

保留：最大化变换后表示 $Z'$ 与保留数据 $X_r$ 之间的互信息（即 $I(Z'; Z | X_r) \approx 0$ ，意味着不丢弃与 $D_r$ 相关的任何信息）。
遗忘：抑制 $Z'$ 与遗忘数据 $X_f$ 之间的互信息（即 $I(Z'; X_f) \approx 0$ ，意味着 $Z'$ 与 $D_f$ 统计独立）。

变分代理

由于互信息难以直接计算，作者推导了变分上界以构建可优化的损失函数。他们解决了两种不同的数据访问模式：

1. 标准设置（可访问 $D_r$ 和 $D_f$ ）

保留损失（ $L_r$ ）：最小化保留样本的变换后分布与原始编码器分布之间的 KL 散度。在高斯假设下，这简化为原始表示与变换后表示之间的均方误差（MSE）： $\|z_r - f_\phi(z_r)\|_2^2$ 。
遗忘损失（ $L_f$ ）：最小化变换后遗忘分布与整个数据集边缘分布之间的 KL 散度。这迫使遗忘表示匹配聚合统计量，使其与总体分布无法区分。

2. 零样本设置（仅可访问 $D_f$ ）

在 $D_r$ 不可用的场景中，该框架依赖神经坍缩（Neural Collapse）和元数据（类别计数）来构建代理：

保留代理：该方法不使用 $D_r$ 采样，而是使用类别中心（源自分类器权重 $w_c$ ）作为类别均值的代理。保留损失惩罚变换后的类别原型与其原始位置的偏差。
遗忘代理：遗忘损失最小化变换后的遗忘样本到所有类别原型的加权距离，有效地将特定实例信息“淹没”到全局标签空间分布中。

架构

变换 $f_\phi$ 被约束为轻量级线性映射或浅层多层感知机（MLP），利用了“线性表示假设”，该假设认为语义信息在深层中是线性可分的。

主要贡献

范式转变：引入了一种以表示为中心的遗忘框架，避免了参数级更新的不稳定性和计算瓶颈。
零样本能力：展示了一种无需访问保留数据即可进行遗忘的新方法，利用神经坍缩假设来锚定语义流形。
理论表述：推导了信息论目标的可处理变分代理，通过正则化参数 $\beta$ 平衡保留与遗忘。
效率：通过轻量级变换层实现遗忘，而非全模型重训练或复杂的梯度操作。

实验结果

该框架在 CIFAR-10、CIFAR-100 和 Tiny ImageNet 上进行了评估，基准方法包括 SISA、SCRUB、Bad Teacher 以及各种零样本方法（Boundary Shrinking、EMMN、GKT）。

效用与遗忘：表示遗忘实现了近乎完美的遗忘（在 $D_f$ 上准确率低），同时在 $D_r$ 上保持高效用。在零样本设置中，它显著优于基准方法，后者通常遭受灾难性遗忘或完全无法遗忘。
计算效率：与全量重训练相比，该方法提供了巨大的加速。在 Tiny ImageNet 上，零样本变体实现了 757 倍 的重训练加速。它在执行时间上始终优于所有竞争基准。
资源效率：该方法所需的峰值 GPU 内存显著减少（例如，Tiny ImageNet 上约为 1.9 GB，而重训练约为 8.3 GB），使其适用于资源受限的环境。
鲁棒性：该方法在不同数据集复杂度和遗忘场景（类别遗忘与随机遗忘）中保持稳定。

意义与局限性

本文将表示遗忘定位为大规模遗忘部署的实用、可扩展解决方案。通过将遗忘效果与高硬件需求和参数不稳定性解耦，它提供了更优越的稳定性 - 可塑性权衡。

适度声明与局限性：

黑盒威胁模型：该方法作为下游变换运行。原始编码器参数保持不变，意味着原始表示 $Z$ 仍然编码了遗忘集。如果原始编码器可访问，系统易受白盒恢复攻击；它保护的是输出 $Z'$ ，而非内部权重。
推理开销：引入变换层 $f_\phi$ 会增加永久性的、尽管是微秒级的推理时间开销。
神经坍缩依赖：零样本变体依赖于神经坍缩假设。如果预训练模型未表现出强烈的坍缩（即分类器权重是类别中心的糟糕代理），零样本遗忘的质量会下降，尽管该方法会“优雅地”权衡保留效用，而不是无法遗忘。

作者建议未来的工作可以将这些损失函数应用于微调整个编码器（解决白盒漏洞），或将该框架扩展到大型语言模型（LLM）以遗忘复杂行为。