[論文レビュー] SSSE: Efficiently Erasing Samples from Trained Machine Learning Models

Alexandra Peşte, Dan Alistarh+1 more|arXiv (Cornell University)|Jul 8, 2021

Adversarial Robustness in Machine Learning参考文献 39被引用数 5

ひとこと要約

SSSE は、訓練済みの機械学習モデルから特定の訓練サンプルを消去するための新規で効率的な手法であり、経験的フィッシャー情報行列（FIM）を用いた閉形式のパラメータ更新を計算することで、再訓練から得られる近似的最適性能を達成しつつ、元の訓練データへのアクセスを必要としない。FIM の完全な構造とランク1更新を活用することで、凸および非凸モデルの両方において、先行手法を上回る性能を発揮する。

ABSTRACT

The availability of large amounts of user-provided data has been key to the success of machine learning for many real-world tasks. Recently, an increasing awareness has emerged that users should be given more control about how their data is used. In particular, users should have the right to prohibit the use of their data for training machine learning systems, and to have it erased from already trained systems. While several sample erasure methods have been proposed, all of them have drawbacks which have prevented them from gaining widespread adoption. Most methods are either only applicable to very specific families of models, sacrifice too much of the original model's accuracy, or they have prohibitive memory or computational requirements. In this paper, we propose an efficient and effective algorithm, SSSE, for samples erasure, that is applicable to a wide class of machine learning models. From a second-order analysis of the model's loss landscape we derive a closed-form update step of the model parameters that only requires access to the data to be erased, not to the original training set. Experiments on three datasets, CelebFaces attributes (CelebA), Animals with Attributes 2 (AwA2) and CIFAR10, show that in certain cases SSSE can erase samples almost as well as the optimal, yet impractical, gold standard of training a new model from scratch with only the permitted data.

研究の動機と目的

• GDPR などの規制下で、ユーザーが同意を撤回し、訓練済みの機械学習モデルから個人データを消去するニーズが高まるのに対応すること。
• 既存のサンプル消去手法の限界を克服すること。これらの手法は、計算コストが高すぎる、精度が低すぎる、または特定のモデルタイプに限定される。
• 再訓練から始めずに、個々のサンプルまたはサンプルのサブセットを訓練済みモデルから効率的かつ正確に削除できる汎用的で効率的な手法を開発すること。
• 再訓練の必要がない、決定論的で解析的に裏付けられ、実用的なソリューションを提供すること。このソリューションは、元の訓練データセット全体へのアクセスを必要とせず、消去対象のデータへのみアクセスすればよい。

提案手法

• SSSE は、元のモデルの最適パラメータのまわりの、leave-k-out 損失の一次テイラー展開を用いて、ニュートン型のパラメータ更新を定式化する。
• ヘッシアンの近似に経験的フィッシャー情報行列（FIM）を用いることで、1サンプルあたり1つの勾配計算と、ランク1更新による高速な行列逆行列計算が可能になる。
• 対角成分のみではなく、完全な FIM（非対角成分を含む）を用いることで、特徴間の相関関係を捉え、スクラビングなどの先行手法と比較して消去精度を向上させる。
• 指定された訓練サンプルの削除を反映する、1ステップの閉形式更新を計算することで、反復的最適化の必要を最小限に抑える。
• このアプローチは、凸および非凸モデルの両方に適用可能であり、一意の最適解がある凸の場合に、より強い理論的保証が得られる。
• ハイパーパrameter の選定には、二値／多値分類の文脈で新規に導入された評価指標（誤り距離）を用いる。この指標は、標準的な正解率を上回る、消去品質の評価を可能にする。

実験結果

リサーチクエスチョン

• RQ1 元の訓練データへのアクセスを必要とせず、1ステップの閉形式パラメータ更新が、再訓練から得られるゴールドスタンダードに近いサンプル消去性能を達成できるか？
• RQ2 非対角成分を含む完全な FIM を使用する場合と、対角成分のみまたはノイズ追加を行う先行手法とを比較すると、どのような差が生じるか？
• RQ3 SSSE 法は、消去対象でないデータに対するモデルの正解率をどの程度保持しつつ、ターゲットサンプルを効果的に削除できるか？
• RQ4 消去対象のサンプル数に感度を示すか。また、その影響がテイラー近似の有効性に与える影響は何か？
• RQ5 提案された評価指標（誤り距離およびその比）は、ハイパーパrameter の選定を効果的に支援し、真の消去品質を的確に反映できるか？

主な発見

• SSSE は、CelebA、AwA2、CIFAR10 データセットにおいて、再訓練から得られるゴールドスタンダードとほとんど区別できないサンプル消去性能を達成した。
• 非対角成分を含む完全な FIM を使用することで、対角成分のみまたはノイズを追加する手法と比較して、明確に優れた消去品質が得られた。
• 勾配上昇法やスクラビング更新法よりも優れた性能を発揮し、特に、消去対象でないサンプルの正解率を保持しつつ、削除対象のサンプルを効果的に誤分類する点で優れている。
• 誤り距離比を用いて選定された最適なハイパーパrameter ε により、SSSE の更新は、再訓練モデル θ⋆₋ₛ が示す挙動（テストデータおよび削除済みデータの両方で）に非常に近い結果をもたらした。
• leave-k-out 訓練セット（D∖S）からの勾配を更新に含めることで、わずかに性能が向上した。これは、さらなる最適化の余地があることを示唆している。
• この手法は、実用的で頑健である。元のデータセットへのアクセスを必要とせず、消去対象のデータへのみアクセスすればよく、1回の決定論的で閉形式の更新で動作する。