Bir model nasıl unutturulur?

01Veriyi silmek kolay; verinin izini silmek zor#

Bir kullanıcı “verilerimi silin” dediğinde, veritabanındaki satır kolayca silinir. Ama o veriyle eğitilmiş bir model varsa, verinin etkisi artık modelin milyarlarca ağırlığına dağılmıştır; hiçbir yerde “şu satır” diye bir kayıt yoktur. Böyle bir etkiyi geri almaya makine unutturması denir.

İhtiyaç birkaç yerden doğar: kişisel verilerin silinmesini isteme hakkı (Avrupa’da GDPR’ın silme hakkı, Türkiye’de KVKK’nın ilgili kişi hakları), telif hakkı itirazları, yanlışlıkla eğitime karışmış zararlı ya da hatalı veri. Bir modelin ağırlıklarının bu düzenlemeler kapsamında nasıl değerlendirileceği ise hukuken ve teknik olarak tartışmalı bir konudur.

02Kesin çözüm: o veri olmadan yeniden eğit#

Altın standart basittir: silinecek veriyi çıkar ve modeli baştan eğit. Sonuç, o veriyi hiç görmemiş bir modeldir; unutturma kanıtlanabilir. Sorun maliyet: büyük bir modeli her silme isteğinde yeniden eğitmek pratikte olanaksızdır.

Bourtoule ve arkadaşlarının SISA (Sharded, Isolated, Sliced, Aggregated) yaklaşımı bu maliyeti bölmeyi önerir. Eğitim verisi parçalara ayrılır, her parça için ayrı bir model eğitilir ve tahminler birleştirilir. Bir silme isteği geldiğinde yalnızca o veriyi içeren parçanın modeli yeniden eğitilir. Aşağıdaki hesap yalnızca aritmetiktir:

Bu tablo bir üst sınırı gösterir, bedelsiz bir kazanç değildir: her model verinin yalnızca bir kısmını gördüğü için, modellerin tek başına doğruluğu düşebilir. SISA bir de “dilimleme” ile eğitimin ara noktalarını saklar ve yeniden eğitimi son ara noktadan başlatır. Yazarlar, kendi deneylerinde silme anında yeniden eğitime göre Purchase veri kümesinde 4,63 kat, SVHN’de 2,45 kat hızlanma bildirdi; ImageNet gibi karmaşık görevlerde kazanç daha az (yaklaşık 1,36 kat) ve küçük bir doğruluk kaybıyla birlikte. Machine Unlearning, IEEE S&P 2021 ↗

03Yaklaşık yöntemler: ucuz ama kanıtlaması zor#

Büyük dil modelleri için SISA bile pahalıdır. Bu yüzden, silinecek örneklerin etkisini geri alacak şekilde ağırlıkları güncelleyen yaklaşık yöntemler geliştirilir. Maliyetleri düşüktür, ama bir sorun getirirler: unutturmanın gerçekten olup olmadığını nasıl bilirsin?

• Modelin cevap vermemesi, bilginin silindiği anlamına gelmez. Bir model bir soruya yanıt vermeyi bıraktıysa, bilgi ağırlıklarda durup yalnızca bastırılmış olabilir.
• Başka yeteneklere zarar vermek. Unutturma sırasında yakın konulardaki bilgiler de bozulabilir (felaketli unutma ile aynı türden bir yan etki).
• Neyin “silinmesi” gerekiyor? Tek bir örnek mi, bir kişi hakkındaki her bilgi mi, yoksa bir kavram mı? Kapsam belirsizse ölçüm de belirsizdir.

Liu ve arkadaşlarının büyük dil modelleri için derlemesi, hedefi şöyle koyar: istenmeyen verinin etkisini ve ilgili yetenekleri kaldırmak; gerekli bilgiyi korumak ve nedensel olarak ilgisiz bilgilere dokunmamak. Yazarlar, mevcut çalışmaların çoğu zaman unutturmanın kapsamını, veri–model etkileşimini ve çok yönlü değerlendirmeyi ihmal ettiğini savunuyor. Rethinking Machine Unlearning for LLMs ↗

04Pratikte ne yapılır?#

Bugün birçok sistem, sorunu eğitimin dışında çözer:

1. Veriyi baştan sızdırma: Eğitim verisini hazırlarken kişisel verileri ayıklamak (veri hazırlama yazısına bak).
2. Çıktı filtreleri: Belirli bilgileri ya da adları üretmeyi engellemek. Bu, bilgiyi silmez, yalnızca gösterilmesini engeller.
3. Bilgiyi ağırlıkların dışında tutmak: Kişisel ya da sık değişen bilgiyi modelin içinde değil, silinebilir bir dış kaynakta tutup gerektiğinde getirmek (RAG). Dış kaynaktaki veri silindiğinde, model onu artık göremez.

Şimdi başka bir güvenlik sorusuna geçelim: bir model, kasıtlı olarak hazırlanmış girdilerle yanıltılabilir mi? Gözle görünmeyen bir değişiklik, bir modeli nasıl şaşırtır?