Google：面向AI模型数据遗忘的新统计审计框架

Google Research研究员Mónica Ribero于2026年6月10日发布了一个新的统计框架，用于审计机器学习中的数据遗忘（machine unlearning auditing）——即AI模型「遗忘」特定训练数据的技术机制。该论文已被AISTATS 2026会议接收。

为什么AI系统中的数据遗忘是个难题？

设想某家公司使用用户个人数据训练推荐模型，事后用户依据GDPR被遗忘权要求删除其所有数据。从零开始完整重新训练模型——不含这些数据——在计算上极为昂贵，实践中鲜少可行。作为替代，研究者开发了机器遗忘算法，通过修改已训练模型来「遗忘」目标数据。

但如何验证遗忘确实成功？这正是本文所解决的监管和技术难题。

现有方法的根本缺陷

标准的遗忘审计方法采用双样本检验（two-sample tests）：比较遗忘后模型与基础模型的分布差异。问题在于本质上的——模型仅靠调整参数永远无法完美遗忘数据。差异始终存在，导致标准检验将正确训练的安全模型误判为不合规。

Ribero识别出这一缺陷，并设计了在结构上规避该问题的框架。

正则化f-散度核检验：多传感器分布检测

核心创新被命名为**「正则化f-散度核检验」（Regularized f-Divergence Kernel Tests）——一种自适应框架，同时使用多种不同的散度度量**（divergence measures），类比于在一台仪器中配备多个传感器，每个传感器检测不同类型的偏差：

• 卡方散度（chi-squared divergence）——强调分布中平滑、局部的差异
• KL散度（Kullback-Leibler divergence）——概率分布全局偏差的标准度量
• 曲棍球棒散度（hockey-stick divergence）——专为隐私和遗忘定义设计，具有对应正式隐私保证的可控阈值

关键优势：该框架自动为每种场景选择最优散度和超参数，无需手动调整——以往手动调整是误差和不可复现性的来源。

三模型相对距离检验

最重要的方法论创新是三样本相对距离检验（three-sample relative distance test）。检验不再简单回答「遗忘后的模型与基础模型是否不同？」，而是提出三方问题：

遗忘后模型的分布，是更接近安全的重新训练版本，还是被攻破的原始版本？

这一视角转换消除了误报：遗忘后模型与重新训练模型之间始终存在差异，但这种差异不一定意味着遗忘失败——它只是说明模型与全新训练的模型并不相同。真正有意义的信号是哪个模型在分布上更近。

框架实验结果

对简化遗忘算法的评估给出了清晰且略令人担忧的结果：

• 随机标签法（random label）——通过评估；三样本检验正确将该变体识别为安全
• 微调（finetuning）——无效；目标数据依然留存
• 剪枝（pruning）——无效；网络保留了目标信息
• 选择性突触抑制（Selective Synaptic Dampening）——无效；该方法不足以实现真正的遗忘

此外，标准双样本检验将安全的重新训练模型误判为不合规——恰好与预期相反——而新框架能正确识别它们。

曲棍球棒散度优于DP-Auditorium

在差分隐私审计（differential privacy auditing）领域——与遗忘主题密切相关——框架的曲棍球棒散度变体优于参考工具DP-Auditorium：

• 仅使用数千个样本就检测出稀疏向量技术（sparse vector technique）中的隐私漏洞——而DP-Auditorium方法需要数百万个样本
• 显著降低了大型模型审计所需的计算资源

对监管机构和审计人员的实际影响

该框架解决了AI法规实施中最具体的监管挑战之一：可证明的数据遗忘——审计人员无需访问模型内部参数或原始训练数据，即可向监管机构提交数学证明。

对于GDPR合规而言，这极为重要：此前组织只能声称已完成遗忘。此工具实现了统计验证——区分了声明与证据。

该论文已通过Google Research博客向公众开放，完整学术文本预计将收录于AISTATS 2026论文集。