🤖 machine learning

Leak@ $k$ : Unlearning Does Not Make LLMs Forget Under Probabilistic Decoding

تكشف هذه الورقة أن طرق نسيان النماذج اللغوية الكبيرة الحالية تفشل في تحقيق النسيان الحقيقي تحت فك التشفير الاحتمالي، حيث تقدم مقياس \texttt{leak@ $k$ } لتقدير هذه الثغرة وتقترح خوارزمية \texttt{RULE} للتخفيف بفعالية من تسرب المعرفة عبر عدة معايير مرجعية.

المؤلفون الأصليون: Hadi Reisizadeh, Jiajun Ruan, Yiwei Chen, Soumyadeep Pal, Sijia Liu, Mingyi Hong

نُشر 2026-05-29

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Hadi Reisizadeh, Jiajun Ruan, Yiwei Chen, Soumyadeep Pal, Sijia Liu, Mingyi Hong

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

إليك شرح لورقة بحثية بعنوان "Leak@k: Unlearning Does Not Make LLMs Forget Under Probabilistic Decoding" (التسريب عند k: عملية "النسيان" لا تجعل النماذج اللغوية الكبيرة تنسى حقاً تحت ظروف فك التشفير الاحتمالي) باستخدام لغة بسيطة وتشبيهات إبداعية.

الفكرة الكبرى: وهم "فقدان الذاكرة"

تخيل أنك استأجرت أمين مكتبة (ذكاء اصطناعي) وطلبت منه إزالة كتاب معين ومحرج من مجموعته. أنت تريده أن ينسى القصة تماماً حتى لا يرويها مرة أخرى أبداً.

لقد اكتشف الباحثون في هذه الورقة حقيقة صادمة: أمين المكتبة لا ينسى القصة حقاً.

عندما تسأل أمين المكتبة سؤالاً، فإنه عادةً ما يعطيك إجابة قياسية وآمنة (مثل روبوت يقرأ نصاً مكتوباً). يُسمى هذا "فك التشفير الجشع" (Greedy Decoding). في ظل هذه الظروف، يبدو أمين المكتبة وكأنه نجح في نسيان الكتاب.

ومع ذلك، إذا طلبت من أمين المكتبة أن "يرتجل" أو "يكون مبدعاً" (وهو الطريقة التي يعمل بها الذكاء الاصطناعي في الواقع، وتسمى "فك التشفير الاحتمالي" - Probabilistic Decoding)، فإن أمين المكتبة يتذكر القصة فجأة ويقصها عليك، وغالباً ما تكون كلمة بكلمة. "النسيان" لم يكن سوى وهم نتج عن طريقة اختبارهم له.

المشكلة: "الكرة الثمانية السحرية" مقابل "الكرة البلورية"

لفهم الورقة البحثية، نحتاج إلى معرفة كيف يتخذ الذكاء الاصطناعي قراراته:

فك التشفير الجشع (الكرة البلورية): تخيل أن الذكاء الاصطناعي يختار دائماً الكلمة الأكثر وضوحاً وأماناً تالياً. إنه يشبه كرة بلورية لا تريك إلا المستقبل الأكثر احتمالاً. في هذا الوضع، ينجح الذكاء الاصطناً في إخفاء السر.
فك التشفير الاحتمالي (الكرة الثمانية السحرية): في العالم الحقيقي، لا يختار الذكاء الاصطناعي الكلمة الأكثر احتمالاً فحسب؛ بل يختار من قائمة خيارات جيدة، وأحياناً يسلك مساراً أكثر مخاطرة ليكون أكثر إبداعاً أو شبهاً بالبشر. هذا يشبه هز "الكرة الثمانية السحرية".
- الاكتشاف: وجدت الورقة أنه بينما يخفي الذكاء الاصطناعي السر عندما ينظر عبر "الكرة البلورية"، فإنه يسرب السر بمجرد أن تهز "الكرة الثمانية السحرية" عدداً كافياً من المرات. إذا سألت نفس السؤال 64 مرة مع تغيير "الهزات" (العشوائية)، فسوف يتسرب السر في النهاية.

الأداة الجديدة: "Leak@k"

أدرك المؤلفون أن الاختبارات الحالية تشبه فحص السد فقط عندما يكون النهر هادئاً. كانوا بحاجة إلى اختبار السد أثناء العاصفة.

لقد اخترعوا مقياساً جديداً يسمى Leak@k.

التشبيه: تخيل أنك تحاول معرفة ما إذا كان هناك ثقوب في المنخل.
- الطريقة القديمة: تصب كوباً واحداً من الماء عبر المنخل. لا يخرج ماء؟ رائع، لا توجد ثقوب! (هذا هو اختبار "الجشع" القديم).
- طريقة Leak@k: تصب k من الأكواب من الماء عبر المنخل. حتى لو لم يتسرب الكوب الأول، فقد يجد الكوب العاشر أو الخمسون ثقباً صغيراً ويتسرب الماء من خلاله.
ماذا يقيس: يقوم بحساب احتمالية أن يكشف واحد على الأقل من تلك المحاولات العديدة المعلومات السرية. تظهر الورقة أنه مع معظم طرق "النسيان" الحالية، كلما زدت عدد الأكواب (k)، يتسرب الماء (الأسرار) في النهاية.

الدليل: مثال "الحافلة إلى الجحيم"

تقدم الورقة مثالاً مضحكاً ولكن جاداً باستخدام مجموعة بيانات حول المقالات الإخبارية (MUSE).

السر: رقم مسار حافلة تم تغييره من 666 (الجحيم) إلى 669.
الاختبار:
- وضع الجشع (Greedy Mode): يقول الذكاء الاصطنا artificial: "لا أعرف ذلك المسار". (نجاح!)
- الوضع الاحتمالي (64 محاولة): يقول الذكاء الاصطناعي في النهاية: "رقم المسار الجديد هو 669". (فشل!)

حدث هذا عبر ثلاثة اختبارات رئيسية مختلفة (TOFU و MUSE و WMDP). سواء كان السر اسم مؤلف مزيف، أو حقيقة إخبارية، أو معرفة بيولوجية خطيرة، فقد فشل "النسيان" بمجرد أن سُمح للذكاء الاصطناعي بأن يكون مبدعاً.

الحل: RULE (النسيان القوي)

بما أن الطرق القديمة كانت تشبه محاولة مسح وشم باستخدام منديل مبلل (يبدو وكأنه اختفى، لكن الحبر لا يزال موجوداً)، فقد ابتكر المؤلفون طريقة جديدة تسمى RULE.

كيف تعمل: بد بدلًا من مجرد قول "انسَ هذه الجملة المحددة" للذكاء الاصطناعي، تلعب RULE لعبة "ضرب الخلد" (Whac-A-Mole).
1. تسأل الذكاء الاصطناعي السؤال مرات عديدة لترى كيف يحاول تسريب السر.
2. تمسك بالذكاء الاصطناعي عندما يكاد يخطئ ويسرب المعلومة.
3. ثم تعلم الذكاء الاصطناعي نسيان تلك الهفوات المحددة أيضاً.
4. تكرر هذه العملية، وتصبح أكثر صرامة في كل مرة.
النتيجة: مع RULE، حتى لو هززت "الكرة الثمانية السحرية" 128 مرة، يظل السر مخفياً. الذكاء الاصطناعي ينسى حقاً، ليس فقط عندما يكون حذراً، بل حتى عندما يكون مبدعاً.

الملخص

المشكلة: طرق "النسيان" الحالية للذكاء الاصطناعي هي طرق زائفة. فهي تعمل فقط عندما يُجبر الذكاء الاصطناعي على أن يكون مملاً ويمكن التنبؤ به.
الواقع: عندما يُسمح للذكاء الاصطناعي بأن يكون مبدعاً (وهي الطريقة التي نستخدمه بها)، فإنه يتذكر الأشياء التي طلبنا منه نسيانها.
الحل: بنى المؤلفون اختباراً جديداً (Leak@k) للإمساك بهذا الغش، وطريقة تدريب جديدة (RULE) لجعل الذكاء الاصطناعي ينسى فعلياً، حتى تحت الضغط.

تخلص الورقة إلى أننا لا نستطيع الوثوق بإجراءات سلامة الذكاء الاصطناعي الحالية حتى نختبرها بمعيار "Leak@k" الجديد والأكثر صرامة.

ملخص تقني: Leak@k: عدم النسيان لا يجعل النماذج اللغوية الكبيرة تنسى تحت فك التشفير الاحتمالي

بيان المشكلة

تُدرب النماذج اللغوية الكبيرة (LLMs) على مجموعات بيانات ضخمة من الويب تحتوي على محتوى خاص، أو سام، أو غير قانوني، أو محمي بحقوق الطأليف. يهدف "إلغاء التعلم" (Unlearning) إلى إزالة هذه المعرفة المحددة مع الحفاظ على المنفعة العامة للنموذج. ومع ذلك، تعتمد بروتوكولات التقييم الحالية لإلغاء التعلم بشكل حصري تقريبًا على فك التشفير الحتمي (الجشع/Greedy) (حيث درجة الحرارة $T=0$ و $top-p=0$). في هذا الإعداد، يختار النموذج الرمز (token) الأكثر احتمالية عند كل خطوة.

حدد المؤلفون فجوة حرجة: بينما تبدو طرق إلغاء التعلم ناجحة غالبًا تحت فك التشفير الجشع، إلا أنها تفشل في تحقيق "النسيان الحقيقي" تحت فك التشفير الاحتمالي (على سبيل المثال، $T > 0$ أو $top-p > 0$)، وهو المعيار المستخدم في عمليات النشر الواقعية مثل الوكلاء الحواريين وتوليد الأكواد البرمجية. تحت التشفير الاحتمالي، يمكن للمعلومات الحساسة التي تم كبتها في المسار الجشع أن تظهر مجددًا. وبمجرد اختيار رمز حساس أولي، غالبًا ما يتغير التوزيع الشرطي للنموذج، مما يؤدي إلى توليد الرموز الحساسة اللاحقة بثقة عالية. وهذا يخلق ثغرة أمنية حيث يمكن للنماذج "الملغاة" (unlearned) أن تسرب لاحقًا معرفة خاصة أو ضارة عند استعلامها عدة مرات أو باستخدام معاملات عشوائية.

المنهجية

1. مقياس الميتا (Meta-Metric) المسمى Leak@k

لقياس هذه الثغرة بدقة، قدمت الورقة البحثية leak@k، وهو مقياس ميتا توزيعي. بخلاف التقييمات السابقة التي تقيس التسريب لكل توليد منفرد أو تحسب متوسط التوليدات، يقيس leak@k احتمالية ظهور استجابة حساسة واحدة على الأقل من بين $k$ من العينات المستقلة المولدة من نفس المطالبة (prompt) تحت فك التشفيد الاحتمالي.

التعريف: لمطالبة $q$ ، لتكن $S_j$ درجة صحة (مثل ROUGE-L، أو درجة الاستلزام/Entailment Score، أو الدقة) للاستجابة المولدة رقم $j$ وهي $f(q; \theta)$ مقابل الحقيقة الأرضية (ground truth). يُعرف المقياس بأنه القيمة المتوقعة للدرجة القصوى عبر $k$ من العينات:
$\text{leak@k} := \mathbb{E}\left[\max_{1 \le j \le k} S_j\right]$
التقدير: يقترح المؤلفون مُقدّرًا غير منحاز، $\widehat{\text{leak@k}}$ ، يقوم بتوليد $n \ge k$ من العينات ويحسب الدرجة القصوى لجميع المجموعات الفرعية الممكنة ذات الحجم $k$ لتقليل التباين مقارنة بنهج "الأسوأ من $k$ " (worst-of- $k$ ) الساذج.
تحليل الاضمحلال (Decay Analysis): لتوصيف كيفية تطور التسريب مع نمو ميزانية أخذ العينات، يقوم المؤلفون بملاءمة نموذج لوغاريتمي-لوغاريتمي: $L_k = 1 - (1 - L_1)k^{-\gamma}$ . حيث تمثل $L_1$ التسريب في المرحلة المبكرة، وتمثل $\gamma$ معدل اضمحلال كتلة المعلومات غير المسربة المتبقية. يجب أن تُظهر طريقة إلغاء التعلم الناجحة قيمة $L_1$ صغيرة وقيمة $\gamma$ صغيرة.

2. خوارزمية RULE

لمعالجة فشل مجموعات إلغاء التعلم الثابتة تحت فك التشفير الاحتمالي، يقترح المؤلفون التعلم القوي تحت مقياس Leak@k (المعروف بـ RULE). وهي خوارزمية ميتا تكرارية تعمل على تعزيز مجموعة النسيان ديناميكيًا:

التوليد متعدد العينات: باستخدام النموذج الحالي وفك التشفير الاحتمالي، يتم توليد استجابات مرشحة لطلبات مجموعة النسيان.
كشف التسريب: يتم تصفية هذه الاستجابات باستخدام مقياس أساسي (مثل درجة الاستلزام/Entailment Score). تُحدد الاستجابات التي تكشف بنجاح عن معلومات حساسة (تتجاوز حدًا معينًا) كاستجابات مسربة.
تعزيز مجموعة البيانات: تُضاف هذه الاستجابات "المسربة" إلى مجموعة النسيان، مما يعلم النموذج فعليًا ألا ينسى ليس فقط الحقيقة الأرضية الأصلية فحسب، بل أيضًا الاختلافات والصياغات المحددة التي يميل لتوليدها تحت الظروف العشوائية.
التحسين (Optimization): يتم إعادة تدريب النموذج على مجموعة النسيان المعززة هذه. تتكرر هذه العملية لعدة دورات.

المساهمات الرئيسية

تقديم Leak@k: مقياس ميتا جديد ينقل نموذج التقييم من فحوصات الاستجابة الفردية الحتمية إلى تحليل الحالة الأسوأ الاحتمالية عبر توليدات متعددة.
دراسة تجريبية منهجية: أول تقييم واسع النطاق لموثوقية إلغاء التعلم عبر ثلاثة معايخت اختبار رئيسية (TOFU، و MUSE-News، و WMDP) باستخدام استراتيجيات فك تشفير مختلفة ( $T, p$ ) وميزانيات أخذ عينات ( $k$ ).
إثبات الفشل: تُظهر الدراسة أن الطرق الحالية المتطورة (SOTA) (بما في ذلك GradDiff، و NPO، و SimNPO، و RMU، و BLUR-NPO) توفر فقط "وهم النسيان". فمع زيادة $k$ ، يرتفع leak@k بشكل حاد لجميع الطرق الموجودة، مما يشير إلى أن المعرفة الحساسة تظهر مجددًا بشكل موثوق تحت أخذ العينات العشوائي.
اقتراح RULE: خوارزمية تدريب ديناميكية تقلل بشكل كبير من تسريب المعلومات. في معيار TOFU، تحقق RULE نسبة leak@k تقترب من الصفر حتى عند $k=128$ ، متفوقة على جميع النماذج المرجعية (baselines). وفي MUSE-News، تتفوق على طرق SOTA في معظم ميزانيات أخذ العينات.

النتائج

معيار TOFU: باستخدام LLaMA-3.2-1B، يوضح المؤلفون أنه بينما يشير فك التشفيد الجشع ( $T=0, p=0$ ) إلى نجاح إلغاء التعلم لطرق مثل NPO و BLUR-NPO، فإن فك التشفيد الاحتمالي ( $T=1.0, p=1.0$ ) يتسبب في اقتراب leak@k (المقاس بدرجة الاستلزام) من 1.0 مع زيادة $k$ . ووجد أن معامل $top-p$ هو المحرك الأساسي للتسريب، أكثر من درجة الحرارة.
معيار MUSE-News: لوحظت اتجاهات مماثلة باستخدام LLaMA2-7B. تنتقل الطرق الحالية من المخرجات الآمنة إلى المخرات المسربة مع زيادة $p$ أو $k$ . وقد أظهرت NPO-RULE تفوقًا في كبح معدلات نمو التسريب ( $\gamma$ ).
معيار WMDP: سلطت الدراسة الضوء (باستخدام Zephyr-7B-beta) على أن مقاييس الدقة يمكن أن تكون مضللة. فبينما حققت بعض الطرق (مثل NPO) دقة منخفضة في الأسئلة متعددة الخيارات، إلا أنها غالبًا ما تولد نصوصًا غير مفهومة أو "تنسى بشكل مفرط" (تختار خيار الرفض)، بينما أظهرت طرق أخرى (مثل RMU) اتجاهات تسريب واضحة تحت العشوائية العالية عند التقييم عبر LLM-as-Judge في التوليدات الحرة.
الحفاظ على المنفعة: عبر جميع المعايير، حافظت الطرق المقترحة (بما في ذلك RULE) على أداء مستقر في مجموعة الاحتفاظ (retain set)، مما يشير إلى أن النسيان القوي لا يأتي بالضرورة على حساب المنفعة العامة للنموذج.

الأهمية والادعاءات

تدعي الورقة أن تقييمات إلغاء التعلم الحالية معيبة جوهريًا لأنها تتجاهل الطبيعة الاحتمالية للنماذج اللغوية الكبيرة، مما يخلق شعورًا زائفًا بالأمان. ويجادل المؤلفون بأن إلغاء التعلم يجب أن يُقيم تحت نفس الظروف الاحتمالية المستخدمة في النشر لضمان السلامة.

تكمن أهمية هذا العمل في:

كشف فجوة حرجة: إثبات أن إلغاء التعلم "الناجح" تحت فك التشفيد الجشع غير كافٍ للامتثال التنظيمي وأخلاقيات الذكاء الاصطناعي، حيث يمكن استعادة البيانات الحساسة عبر أخذ العينات المتكرر.
توفير إطار تقييم قوي: يوفر leak@k مقياسًا توزيعيًا معياريًا لمقارنة طرق إلغاء التعلم بناءً على إمكانات التسريب في الحالة الأسوأ بدلاً من الأداء في الحالة المتوسطة.
تقديم حل: يثبت RULE أنه من الممكن تحقيق إلغاء تعلم قوي من خلال تحسين مجموعة النسيان تكراريًا بناءً على إخفاقات النموذج الاحتمالية الخاصة به، متجاوزًا بذلك مجموعات التدريب الثابتة.

يخلص المؤلفون إلى أنه بدون مثل هذه الأساليب القوية للتقييم والتدريب، فإن نشر النماذج اللغوية الكبيرة التي تم إلغاء تعلمها في البيئات عالية المخاطر يظل أمرًا محفوفًا بالمخاطر، حيث يمكن للمستخدمين العدائيين استغلال فك التشفيد الاحتمالي لاستخراج المعلومات "المنسية".