🤖 machine learning

Exact Unlearning from Proxies Induces Closeness Guarantees on Approximate Unlearning

本文提出了一种新颖的机器遗忘框架，将重点从参数更新转向精确的数据分布推断，从理论上保证并在经验上证明所得模型能紧密逼近理想的重训模型。

原作者： Virgile Dine, Teddy Furon

发布于 2026-05-12

📖 1 分钟阅读☕ 轻松阅读

原作者： Virgile Dine, Teddy Furon

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象你有一位非常聪明的学生（一个神经网络），他为了成为专家，已经研读了海量的书籍（训练数据）。突然，一项法律规定：“你必须忘记从这 10 本特定书籍中学到的一切。”

通常，为了遗忘，这位学生不得不关闭图书馆，扔掉那 10 本书，然后从头开始重新研读整个图书馆。这既缓慢、昂贵，又浪费。

目前的“近似”方法试图走聪明的捷径。它们告诉学生：“只需‘反学习’那几本特定的书！”但它们是通过猜测并一点点微调学生的大脑来实现的。往往，它们会感到困惑，遗忘过多（或过少），而且没人真正知道学生是真正遗忘了，还是只是在假装。

本文提出了一种截然不同的遗忘思考方式。

核心理念：“地图”与“大脑”

作者认为，与其仅仅微调学生的大脑（神经网络参数），不如审视图书馆的地图（数据分布）。

当前方法的问题： 想象一下，试图通过仅仅擦拭画布来擦除复杂画作上的污渍。你可能会漏掉污渍，或者毁掉整幅画。当前的方法就像这种擦拭——它们杂乱无章、迭代进行，且缺乏清晰的“停止”信号。
新方法： 作者说：“与其擦拭，不如让我们构建一个完美的数学地图，描绘出那 10 本书加入之前图书馆的样子，以及之后的样子。”

工作原理：“代理”类比

本文引入了一个称为**代理（Proxies）**的概念。将代理想象为数据的简化数学草图。

步骤 1：绘制地图。 作者创建了两个数学草图（代理）：
- 地图 A： 整个图书馆的草图（包括要遗忘的书籍）。
- 地图 B： 剔除要遗忘书籍后的图书馆草图。
步骤 2：寻找差异。 他们计算出地图 A 和地图 B 之间的确切差异。这个差异就是**“遗忘信号”**。它是一份精确的指令，说明学生的大脑需要如何调整，以消除那 10 本书的影响。
步骤 3：“蒸馏”（转移）。 现在，他们利用一种称为蒸馏的技术，将原始学生（神经网络）引导至调整其答案，使其与“地图 B"版本相匹配。学生不需要重新学习整个图书馆；他们只需要根据地图计算出的精确差异来调整自己的理解。

“双重标签”技巧

本文最巧妙的技巧之一称为**“标签加倍”**。

想象图书馆有一个“动物”区域。里面有狗和猫。如果你想忘记“狗”，但学生已经学会了狗和猫长得很像，那么在不搞乱“猫”的情况下直接删除“狗”是很困难的。

作者的方法创建了一个新的扩展地图，其中每本书不仅按其类别（例如“狗”）标记，还按其状态（例如“狗 - 保留”或“狗 - 遗忘”）标记。通过在数学地图中将“狗 - 保留”和“狗 - 遗忘”视为两个完全不同的类别，他们可以精确计算出如何移除“遗忘”部分，同时完美保留“保留”部分。这就像拥有一支特殊的荧光笔，只擦除“遗忘”墨水，而不弄脏“保留”墨水。

为何更优（结果）

本文声称该方法在以下三个方面优于其他方法：

它是通往“黄金标准”的捷径： “黄金标准”是指从头开始重新训练学生。作者从数学上证明，与其他捷径方法相比，他们的方法能更接近这个完美的“重新训练”后的学生。
不再需要猜测： 因为他们使用数学地图，所以可以计算出改变学生大脑的“安全范围”。他们无需猜测何时停止；数学会确切地告诉他们工作何时完成。
适用于“子类”： 这是最困难的场景。如果你想忘记“金毛寻回犬”但保留“拉布拉多犬”（两者都是狗），大多数方法都会失败，要么忘记所有狗，要么一个都不忘。利用“双重标签”技巧，该方法能成功仅忘记金毛寻回犬，同时确保拉布拉多犬安然无恙。

结论

与其盲目地擦拭神经网络使其遗忘，本文建议构建精确的数学蓝图，分别描绘包含和不包含 unwanted 信息时的数据形态。通过计算这些蓝图之间的确切差异，他们可以引导神经网络以外科手术的精度进行“反学习”，在极短的时间内实现几乎与从头开始一样好的结果。

他们将此称为**“基于代理的精确遗忘”**，其实验表明，该方法始终优于当前的最先进方法，特别是在要遗忘的数据与要保留的数据紧密混合的棘手情况下。

技术摘要：基于代理的精确遗忘诱导近似遗忘的接近性保证

问题陈述

机器遗忘旨在从已训练的分类器中移除特定训练数据（“遗忘集”， $D_f$ ）的影响，而无需在剩余数据（“保留集”， $D_r$ ）上从头重新训练模型。虽然精确遗忘是黄金标准，但对于大型深度网络而言，其计算成本往往高得令人望而却步。当前基于梯度一阶更新（例如在遗忘集上进行梯度上升）的近似方法存在以下局限性：

缺乏可解释性：它们依赖于优化轨迹，无法从数据分布的角度对由此产生的预测偏移提供闭式表征。
不稳定性：迭代更新往往缺乏明确的停止标准，导致过度遗忘或灾难性遗忘。
评估差距：性能通常通过成员推理攻击（MIAs）或准确率指标来衡量，这些指标可能无法准确反映与理想重训模型之间的统计距离。
次优性：现有的理论界限往往依赖于神经网络属性（例如 Hessian 矩阵近似），而非底层数据分布模型的质量。

方法论

本文提出了一种范式转变：作者不再通过梯度直接更新网络权重，而是将精确遗忘信号建模为源自数据分布显式数学模型的 logit 空间偏移。

1. 作为 Logit 偏移的遗忘信号

核心思想是定义遗忘目标，不是通过优化路径，而是通过保留集与原始数据集的后验分布之间的差异。

设 $P$ 为原始数据的真实分布， $P_r$ 为保留集的真实分布。
作者引入参数化代理（ $\bar{P}$ 和 $\bar{P}_r$ ）来建模类条件分布 $P(X|Y)$ 和 $P_r(X|Y)$ 。
这些代理诱导了后验分布及相关的 logit 向量 $M(x)$ 和 $M_r(x)$ 。
遗忘信号定义为偏移量 $\Delta M(x) = M_r(x) - M(x)$ 。
遗忘模型的 logit 构建为线性组合： $\tilde{f}_\eta(x) = f_\theta(x) + \eta \Delta M(x)$ ，其中 $\eta$ 为缩放因子。

2. 理论框架与保证

本文建立了遗忘模型与理想重训模型（ $P_r$ ）之间 Kullback-Leibler (KL) 散度的理论界限。

可接受性准则：如果初始代理 $\bar{P}$ 对真实分布 $P$ 的近似优于保留代理 $\bar{P}_r$ 对 $P_r$ 的近似，则称该对代理是“可接受的”。这是一个可验证的条件。
安全区间（ $\eta_{max}$ ）：作者证明了最大缩放因子 $\eta_{max}$ 的存在性，使得对于任何 $\eta \in [0, \eta_{max}]$ ，只要满足可接受性准则，遗忘过程就会严格减小与理想模型的 KL 散度。
界限：命题 1 提供了 KL 散度的紧界，表明误差取决于初始散度以及“建模偏移”（即代理对其各自目标建模效果的差异）。命题 2 提供了一个直观的界限，将误差与类条件建模的质量联系起来。

3. 代理构建

本文探索了多种代理族来近似数据结构：

朴素模型：标准线性判别分析（LDA）和二次判别分析（QDA），将每个类别的整个数据集视为单一分布。
混合模型（LDA-Mix, QDA-Mix）：将原始分布建模为每个类别内保留子群体和遗忘子群体的混合。
标签加倍（LDA-2C, DIR-2C）：一种新颖的方法，将标签空间加倍为 $(y, s)$ $(y, s)$ ，其中 $s \in \{retain, forget\}$ $s \in {r e t ain, f or g e t}$ 。这使得模型能够内在捕捉保留集和遗忘集分布之间的重叠，并估计样本属于遗忘集的概率。
- DIR-2C：在加倍的标签空间上使用经验狄拉克分布。虽然直接应用较为激进，但它可作为蒸馏步骤中强大的“教师”。

4. 通过蒸馏实现

构建的 logit 偏移 $\eta_{max} \Delta M(x)$ 通过知识蒸馏在神经网络中实现。原始网络 $f_\theta$ 充当学生，被训练以最小化其输出与目标 logit $\tilde{f}_{\eta_{max}}$ 之间的 KL 散度。这一步骤将闭式的分布校正转化为网络参数。

主要贡献

基于代理的精确遗忘信号：本文提出了一种闭式、可解释的遗忘信号，该信号源自数据分布的显式数学模型，而非梯度轨迹。
理论保证：提供了可验证的可接受性准则以及到理想重训模型的 KL 散度的紧理论界限，将遗忘性能直接与数据代理的质量联系起来。
细粒度代理：提出了特定的建模技术（混合模型和标签加倍），从数据结构中学习成员依赖关系。值得注意的是，LDA-2C 和 DIR-2C 成为捕捉类内结构的有效方法。
用于评估的 Stein 界限：本文提出利用 KL 散度推导“Stein 界限”，以量化攻击者区分遗忘模型与重训模型所需的查询次数，提供了一种比经验成员推理攻击更稳定、更可解释的替代方案。

实验结果

该方法在 CIFAR-10 和 CIFAR-100 数据集上针对三种遗忘场景进行了评估：

随机：遗忘随机样本。
类别：遗忘整个类别。
子类别：遗忘类别的一个子集（例如“车辆”中的“飞机”），这被认为是最具挑战性且最现实的场景，梯度上升基线方法在此场景下往往失效。

发现：

接近理想模型：所提出的方法（特别是 LDA-2C 和 DIR-2C）在 KL 散度（ $KL_t$ 和 $KL_f$ ）方面，始终产生最接近理想重训模型（ $p_{\theta_r}$ ）的遗忘模型，优于 SCRUB、SalUn 和 GA+FT 等最先进基线。
稳定性：与显示出不稳定轨迹或灾难性遗忘（例如 SalUn 将遗忘准确率降低至接近零）的迭代基线不同，所提出的方法快速且稳定地收敛。
效率：这些方法以约等于全量重新训练时间 5% 的运行效率（RTE）取得了上述结果。
代理有效性：“标签加倍”代理（LDA-2C, DIR-2C）通常优于标准混合模型，特别是在子类别场景中，因为它们更好地捕捉了保留集和遗忘集之间的分布重叠。

意义与主张

本文声称，其框架通过将机器遗忘建立在数据结构而非神经网络参数更新的基础上，实现了范式转变。

可靠性：理论界限证明，如果代理足够准确（可通过可接受性准则验证），则遗忘过程保证使模型更接近理想重训状态。
可解释性：该方法提供了遗忘误差的闭式分解，摆脱了迭代梯度更新的“黑盒”性质。
实用性：通过使用蒸馏，该方法可应用于输出 logit 的黑盒网络，具有广泛的适用性。
局限性：作者谦逊地承认了局限性，包括假设保留集 $D_r$ 可用于拟合代理 $P_r$ 、高维特征空间中潜在的病态条件（通过降维缓解），以及可接受性准则是在初始模型上而非真实分布上经验性检查的事实。

总之，本文论证了通过显式建模数据分布，可以推导出精确的遗忘信号，当该信号被蒸馏到网络中时，会产生一个在统计上与从头重新训练的模型无法区分的模型，同时具备可证明的保证和卓越的实证性能。