日本語訳
機械アンラーニングを監査するための新しいフレームワーク
Google Research リサーチサイエンティスト Mónica Ribero
私たちは、2つのデータ観測値のセットがまったく異なる潜在的分布に由来するという統計的に有意な証拠があるかどうかを、確信を持って判定するために設計された手法を提案します。
機械アンラーニングは、モデルを最初から再学習させる膨大なコストをかけることなく、AIシステムが学習データ内の特定の部位を「忘却」することを可能にします。これは、規制順守（GDPRの「忘れられる権利」など）やAIの安全性、モデルの品質において極めて重要です。
モデルが処理するデータセットがますます巨大化し、極めて機微なものになるにつれて、機械アンラーニングの検証は理論上の理想から厳格な要件へと移行しており、開発者はプライバシーを数学的に証明することを求められています。しかし、監査人はモデルの内部動作や元の学習データにアクセスできないことが多いため、監査人はシステムに対してクエリを送信し、出力サンプルを分析することのみによってシステムを検証しなければなりません。
データサイエンティストや研究者が検証のために依拠する手法の1つが2標本検定（two-sample testing）です。これは、2つのデータ観測値のセットがまったく異なる潜在的分布に由来するかどうかを判定する統計的手法です。例えば、アンラーニングを検証するために、監査人は特定のレコードを一度も見たことがないモデルからの出力と、それを「忘却した」とされるモデルからの出力を比較します。もし出力が定義された閾値内で統計的に異なる場合、アンラーニングは失敗したことになります。
モデルの規模と複雑さが増すにつれて、機械アンラーニングの監査に使用される2標本検定などの統計ツールは実装が困難になり、統計的検出力を失います。大規模モデルに固有のランダムノイズから実際の違反を十分な統計的有意性をもって識別するためには、監査人は膨大な数のサンプルを抽出する必要があります。これにより、実世界でのテストは計算コストが極めて高くなります。
この増大する課題に対処するため、私たちはMLモデルの監査をより高感度、柔軟、かつ正確に行うために設計された新しいフレームワーク「正則化f-ダイバージェンス・カーネル検定（Regularized f-Divergence Kernel Tests）」を導入します。私たちは、提案する検定が任意のサンプルサイズにおいて偽陽性を自然に制御できること、そして利用可能なデータサンプル数が増加するにつれて偽陰性のリスクが確実にゼロに収束することを理論的に証明します。
モデルの安全性を評価するには、多くの場合、2つの複雑なデータセット間の距離、すなわち「ダイバージェンス（乖離）」を測定する必要があります。アプリケーションが異なれば、当然ながら「距離」の定義も異なります。最大平均偏差（MMD）のような一般的な標準ツールは、データ全体の広範でグローバルな変化（例：一方のモデルが他方よりも系統的に明るい画像を生成するなど）を検出することには長けていますが、複雑な異常を捉えるために必要な特異性に欠けることがよくあります。例えば、特定の人物のデータが追加されたことで、非常に特殊な方法でプロンプトを入力したときにのみモデルが極めて特異な外れ値の出力を生成する一方で、他のすべてのサンプルでは同じ分布を示す場合、従来のMMD検定はこのローカルな変化を完全に見落としてしまう可能性があります。
実務上の難しさに加え、検証方法としての2標本検定は、MLモデルのアンラーニングを検証する際には欠陥を抱えています。まったく同じデータで最初からトレーニングされた2つのモデルが、どのようにして異なる分布を生成し得るかを示す以下の例を考えてみましょう。青い分布は、侵害されたデータなしで再トレーニングされたモデルの分布です。しかし、異なるバッチサイズで再トレーニングされたため、その分布は標準（緑）とは異なります。これにより、テストされたモデルが安全でないことを示す偽陽性が発生します。
私たちは、アンラーニングされたモデルが、分布として安全に再トレーニングされたモデルに近いか、あるいは元の侵害されたモデルに近いかを測定する「相対距離検定（relative distance test）」を提案することで、この課題を解決します。提案する検定は、f-ダイバージェンスを活用して監査人が以下のような極めて具体的な種類のデータ変化を正確に特定できるようにする、適応性の高い統計的ツールキットとして機能します。これには、カルバック・ライブラー（KL）ダイバージェンスやホケースティック（Hockey-stick）ダイバージェンスが含まれます。
高次元の実世界データにおいてこれらのダイバージェンスを計算することは、極めて困難であることで知られています。膨大な計算量を必要とせずにこれらの複雑な最適化問題を処理可能（トラクタブル）にするため、私たちはカーネル正則化手法を用いて差分を効率的に推定します。私たちの適応的検定アプローチは、検定の信頼性を最大化するために最適なダイバージェンスと最適なハイパーパラメータ構成を自動的に選択し、サンプルの分割（サンプル・スプリッティング）の必要性を完全に排除します。
その後、私たちは主な焦点を、差分プライバシーの監査と機械アンラーニングの評価という、極めて重要な実世界での応用に移しました。差分プライバシーは、調整されたノイズを導入して個人の影響を制限することにより、ユーザーデータを保護するためのフレームワークを提供します。私たちは、1つのレコードのみが異なる2つのシミュレートされたデータセットにわたって出力をサンプリングすることにより、複数の非プライベートなメカニズムをテストしました。メカニズムが本当にプライベートであれば、得られる2つのサンプルは区別がつかないはずであり、欠陥がある場合は、テストがプライバシー侵害をフラグ表示する必要があります。
ゴールドスタンダードモデル（忘却対象のデータなしで最初から再トレーニングされたモデル）とアンラーニングされたモデルを単に比較するという欠陥のあるアプローチに頼る代わりに、私たちは3標本相対検定を活用し、選択的シナプス減衰（Selective Synaptic Dampening）技術を含む、様々な確立されたアンラーニングアルゴリズムに適用しました。私たちの検定は、アンラーニングされたモデルの分布が、安全なゴールドスタンダードモデルに近いか、あるいは機微データを能動的に記憶した元の完全にトレーニングされたモデルに近いかを評価しました。
私たちのフレームワークは、手動での調整を大幅に削減しつつ、従来のすべてのベースライン手法を再現または凌駕することに成功しました。実験結果は、あらゆるシナリオにおいて常に他のテストを上回る単一のテストは存在しないことを示しました。その代わりに、異なるf-ダイバージェンスが、異なる種類の局所的なデータの変化に対して「点灯」する特殊なセンサーとして機能します。多様な統計量にわたる統合的なアプローチを用いることで、私たちのフレームワークは、標準的なテストでは完全に見落とされていた微細なエラーや異常を捉えることに成功しました。