はじめに
Google Researchは2026年6月10日、機械学習モデルが特定のデータを正しく「忘却」できているかを検証するための新しい統計的フレームワーク「Regularized f-Divergence Kernel Tests」を発表しました。本稿では、この発表内容をもとに、機械学習アンラーニングの監査がなぜ難しいのか、そしてこの新手法がどのようにその課題を解決するのかについて解説します。
参考記事
- タイトル: New framework for auditing machine unlearning
- 著者: Mónica Ribero
- 発行元: Google Research Blog
- 発行日: 2026年6月10日
- URL: https://research.google/blog/new-framework-for-auditing-machine-unlearning/
関連記事
要点
- 機械学習の「アンラーニング」は、AIモデルが特定の訓練データを「忘れた」状態を、モデルを再訓練せずに作り出す技術である
- 従来の検証手法である「二標本検定」は、モデルが大規模になるほど検出力が低下し、計算コストが膨大になるという課題を抱えている
- Google Researchは、アンラーニング後のモデルが「安全に再訓練されたモデル」と「忘却前の元モデル」のどちらに近いかを測定する「相対距離検定」という新しい枠組みを提案した
- 提案手法はAISTATS 2026で発表され、差分プライバシーの監査やアンラーニング評価において、従来手法より少ないサンプル数で違反を検出できることが示された
- 評価対象とした近似的アンラーニング手法のうち、ランダムラベル法のみが新しい検定基準を満たした
詳細解説
機械学習アンラーニングとは何か
機械学習アンラーニング(machine unlearning)とは、AIシステムが訓練データの一部を、モデル全体をゼロから再訓練するという大きなコストをかけずに「忘れる」ことを可能にする技術です。EUの「忘れられる権利(GDPR)」のような規制対応や、AIの安全性、モデル品質の観点から重要性が高まっています。
モデルが扱うデータの規模が増大し、機微な情報を含むケースも増えていることから、アンラーニングの検証は理論上の理想から、開発者が数学的に証明すべき厳格な要件へと変化してきています。一方で、監査者はモデルの内部構造や元の訓練データにアクセスできないことが多く、モデルへの問い合わせとその出力結果の分析のみで検証を行う必要があります。
このような外部からの検証アプローチは「ブラックボックス監査」と呼ばれる考え方に近く、モデルの内部実装を問わず一定の安全性を確認できる利点があると考えられます。
従来の検証手法「二標本検定」の限界
Google Researchによれば、検証で広く使われている手法の一つが「二標本検定(two-sample testing)」です。これは、2つのデータ観測値の集合が、まったく異なる確率分布から生成されたものかどうかを統計的に判定する手法です。アンラーニングの検証では、特定のレコードを一度も見ていないモデルと、そのレコードを「忘れた」はずのモデルの出力を比較し、統計的に有意な差があれば「忘却に失敗している」と判断します。
しかし、モデルの規模と複雑さが増すにつれて、二標本検定をはじめとする統計的手法は実装が難しくなり、検出力(統計的なパワー)が低下するとされています。ランダムなノイズと実際の違反を区別するには大量のサンプルが必要となり、結果として現実的な運用ではコストが非常に高くなってしまいます。
また、最大平均不一致(MMD: Maximum Mean Discrepancy)のような標準的な手法は、データ全体に及ぶ大きな分布のずれを検出するのには優れていますが、特定の入力に対してのみ現れるような局所的な異常を見逃しやすいという特性があります。たとえば、ある人物のデータを追加したことで、非常に特定の問い合わせに対してのみ外れ値的な出力が生じるようなケースでは、MMDのような手法では検出が難しいと考えられます。
さらに二標本検定には、アンラーニングの検証方法として根本的な課題があります。Google Researchによれば、まったく同じデータからゼロから再訓練した2つのモデルであっても、バッチサイズなどの訓練条件の違いにより分布が異なってしまうことがあり、これが偽陽性(本来安全なモデルを「不安全」と誤判定すること)につながります。加えて、近年の研究では、モデルの設定を調整するだけでデータを完全に「忘れる」ことは原理的に不可能であり、元の訓練過程をすべてやり直さない限り、削除対象のデータの痕跡がモデル内に残り続けることが示されているとのことです。そのため、標準的な局所アンラーニング手法に対して、二標本検定は常に「忘却対象データへの依存」を検出してしまう構造的な問題を持っています。
新手法「Regularized f-Divergence Kernel Tests」の仕組み
Google Researchはこの課題に対し、「相対距離検定」という新しいアプローチを提案しました。これは、アンラーニング後のモデルが、安全に再訓練されたモデルと、忘却前の(機密データを記憶した)元のモデルのどちらに分布として近いかを測定する手法です。
この検定は「f-divergence(f-ダイバージェンス)」という、2つの確率分布間の差異を測る数学的な概念を活用しています。f-ダイバージェンスには複数の種類があり、それぞれ異なるタイプのデータの偏りを検出するのに適しているとされています。具体的には、以下のようなものが挙げられています。
カイ二乗(Chi-squared)divergenceやKullback-Leibler(KL) divergenceは、物理モデルにおける外れ値のような、滑らかで局所的な差異の検出に効果的とされています。一方、Hockey-stick divergenceは、プライバシーとアンラーニングの定義と直接結びついた指標で、統計的な区別可能性の度合いを制御するパラメータを持っています。これにより、安全とみなせる範囲のわずかな差は無視し、意味のあるプライバシー侵害が発生した場合にのみ検知する、という閾値の設定が可能になるとのことです。
なお、高次元の実データでこれらのダイバージェンスを直接計算するのは非常に困難であるため、計算を効率化するために「カーネル正則化(kernel regularization)」という手法が用いられています。これは、複雑な最適化問題を、扱いやすい形に近似して解くための数学的な技術です。提案された適応型のテスト手法では、最適なダイバージェンスとハイパーパラメータの設定を自動的に選択する仕組みになっており、サンプル分割が不要になっている点も特徴です。
実験結果:差分プライバシー監査とアンラーニング評価
Google Researchは、合成的な二標本ベンチマークや、素粒子物理学のデータセットを用いた外れ値検出タスクなど、幅広い問題設定でこのフレームワークを評価しました。素粒子物理学のデータが使われた理由として、この分野は世界で最も精密な「差異検出器」を必要とする領域であり、まれな粒子を検出できる手法であれば、AIモデル内の小さなプライバシー漏洩も検出できるはずだという考え方があるとのことです。
差分プライバシー(differential privacy)の監査実験では、複数の非プライベートな仕組みに対して、1件のレコードだけが異なる2つのシミュレーションデータセットからサンプリングした出力を比較しました。差分プライバシーは、個々のユーザーの影響を抑えるために調整されたノイズをデータに加える保護手法です。仕組みが本当にプライベートであれば2つのサンプルは区別できないはずで、欠陥があれば検定が違反を検出するはずだという設計です。
Google Researchによれば、Hockey-stick divergenceに基づく検定は、特定の「sparse vector technique」と呼ばれる仕組み(SVT3)の違反を、わずか数千サンプルで検出できたとされています。これに対し、従来の手法である「DP-Auditorium」では、同程度の検出率を得るために数百万サンプルを必要としたとのことです。サンプル数の差はそのまま計算コストの差につながるため、実用面でのインパクトは大きいと考えられます。
アンラーニング評価の実験では、Selective Synaptic Dampening、プルーニング(pruning)、ランダムラベル(random label)といった既存のアンラーニング手法を、「3標本相対検定」を用いて評価しました。これは、安全に再訓練されたモデル(ゴールドスタンダード)と、忘却前の元モデルの両方を比較対象とし、アンラーニング後のモデルがどちらに近いかを判定するアプローチです。
Google Researchによれば、評価対象とした近似的アンラーニング手法のうち、ランダムラベル法のみが新しい検定基準を満たしたとのことです。ファインチューニング、プルーニング、Selective Synaptic Dampeningといった他の手法は、対象データを十分に「忘却」できていないと判定されました。なお、Google Researchはこの実験について、各手法を簡略化した実装で評価したものであり、実運用環境でのアンラーニング手法のランク付けには、より厳密な検証が必要だと留保しています。
ユーザーレベルでの差分プライバシーを扱った過去記事でも紹介したように、Googleはプライバシー保護技術の検証手法そのものにも継続的に取り組んでいる印象があり、今回の発表もその一連の流れに位置づけられるものと考えられます。
まとめ
Google Researchが提案した「Regularized f-Divergence Kernel Tests」は、機械学習のアンラーニングや差分プライバシーの監査を、より少ないサンプル数かつ少ない手動調整で行えるようにする統計的フレームワークです。AIモデルが扱うデータの機微性が増す中、こうした検証技術の進化は、規制対応や信頼性確保の面で重要な意味を持つと考えられます。プライバシー保護技術全般について興味のある方は、こちらの記事もあわせてご覧いただければと思います。
