🤖 machine learning

Leak@ $k$ : Unlearning Does Not Make LLMs Forget Under Probabilistic Decoding

Dieser Beitrag zeigt, dass bestehende Methoden zum Unlearning von LLMs unter probabilistischer Dekodierung kein echtes Vergessen erreichen, führt die Metrik \texttt{leak@ $k$ } ein, um diese Verwundbarkeit zu quantifizieren, und schlägt den \texttt{RULE}-Algorithmus vor, um Wissensleckagen über mehrere Benchmarks hinweg wirksam zu mindern.

Ursprüngliche Autoren: Hadi Reisizadeh, Jiajun Ruan, Yiwei Chen, Soumyadeep Pal, Sijia Liu, Mingyi Hong

Veröffentlicht 2026-05-29

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Hadi Reisizadeh, Jiajun Ruan, Yiwei Chen, Soumyadeep Pal, Sijia Liu, Mingyi Hong

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Die große Idee: Die Illusion der „Amnesie"

Stellen Sie sich vor, Sie stellen eine Bibliothekarin (die KI) ein und bitten sie, ein bestimmtes, peinliches Buch aus ihrem Bestand zu entfernen. Sie wollen, dass sie die Geschichte vollständig vergisst, damit sie sie nie wieder erzählt.

Die Forscherinnen und Forscher in diesem Papier haben eine schockierende Wahrheit entdeckt: Die Bibliothekarin vergisst die Geschichte tatsächlich nicht.

Wenn Sie die Bibliothekarin eine Frage stellen, gibt sie Ihnen normalerweise eine standardmäßige, sichere Antwort (wie ein Roboter, der ein Skript vorliest). Dies wird als Greedy Decoding (gieriges Decodieren) bezeichnet. Unter diesen Bedingungen sieht es so aus, als hätte die Bibliothekarin das Buch erfolgreich vergessen.

Wenn Sie die Bibliothekarin jedoch bitten, zu „improvisieren" oder „kreativ" zu sein (so funktioniert KI in der realen Welt tatsächlich, genannt Probabilistic Decoding / probabilistisches Decodieren), erinnert sich die Bibliothekarin plötzlich an die Geschichte und erzählt sie Ihnen, oft wortwörtlich. Das „Vergessen" war nur eine Illusion, die durch die Art und Weise verursacht wurde, wie wir sie getestet haben.

Das Problem: Der „Magic 8-Ball" vs. die „Kristallkugel"

Um das Papier zu verstehen, müssen wir uns ansehen, wie KI Entscheidungen trifft:

Greedy Decoding (Die Kristallkugel): Stellen Sie sich vor, die KI wählt immer das einzelne offensichtlichste, sicherste nächste Wort aus. Es ist wie eine Kristallkugel, die Ihnen nur die wahrscheinlichste Zukunft zeigt. In diesem Modus verbirgt die KI das Geheimnis erfolgreich.
Probabilistic Decoding (Der Magic 8-Ball): In der realen Welt wählt die KI nicht nur das wahrscheinlichste Wort aus; sie wählt aus einer Liste guter Optionen, nimmt manchmal einen riskanteren Weg, um kreativer oder menschlicher zu wirken. Das ist wie das Schütteln eines Magic 8-Balls.
- Die Entdeckung: Das Papier fand heraus, dass die KI das Geheimnis zwar verbirgt, wenn sie durch die Kristallkugel schaut, es aber preisgibt, wenn Sie den Magic 8-Ball oft genug schütteln. Wenn Sie dieselbe Frage 64 Mal mit unterschiedlichen „Schütteln" (Zufälligkeit) stellen, kommt das Geheimnis schließlich ans Licht.

Das neue Werkzeug: „Leak@k"

Die Autoren stellten fest, dass die aktuellen Tests wie das Überprüfen eines Damms nur dann waren, wenn der Fluss ruhig ist. Sie benötigten eine Möglichkeit, den Damm während eines Sturms zu testen.

Sie erfanden einen neuen Messstab namens Leak@k.

Die Analogie: Stellen Sie sich vor, Sie versuchen zu sehen, ob ein Sieb Löcher hat.
- Alte Methode: Sie gießen eine Tasse Wasser durch das Sieb. Kein Wasser kommt heraus? Großartig, keine Löcher! (Dies ist der alte „Greedy"-Test).
- Leak@k-Methode: Sie gießen k Tassen Wasser durch das Sieb. Selbst wenn die erste Tasse nicht durchsickert, könnte die 10. oder 50. Tasse ein winziges Loch finden und durchtropfen.
Was es misst: Es berechnet die Wahrscheinlichkeit, dass mindestens einer dieser vielen Versuche die geheimen Informationen preisgibt. Das Papier zeigt, dass für fast alle aktuellen „Unlearning"-Methoden (Methoden zum Vergessenlassen) mit zunehmender Anzahl der Tassen (k) das Wasser (Geheimnisse) schließlich durchsickert.

Der Beweis: Das Beispiel „Bus zur Hölle"

Das Papier liefert ein lustiges, aber ernstes Beispiel unter Verwendung eines Datensatzes über Nachrichtenartikel (MUSE).

Das Geheimnis: Eine Busliniennummer, die von 666 (Hölle) auf 669 geändert wurde.
Der Test:
- Greedy-Modus: Die KI sagt: „Ich kenne diese Route nicht." (Erfolg!)
- Probabilistischer Modus (64 Versuche): Die KI sagt schließlich: „Die neue Liniennummer ist 669." (Misserfolg!)

Dies geschah bei drei verschiedenen großen Tests (TOFU, MUSE und WMDP). Ob das Geheimnis ein erfundener Autorenname, eine Nachrichtenfakten oder gefährliches biologisches Wissen war – das „Vergessen" scheiterte, sobald die KI erlaubt wurde, kreativ zu sein.

Die Lösung: RULE (Robust Unlearning)

Da die alten Methoden wie der Versuch waren, ein Tattoo mit einem nassen Papiertuch zu entfernen (es sieht weg aus, aber die Tinte ist noch da), entwickelten die Autoren eine neue Methode namens RULE.

Wie es funktioniert: Anstatt der KI nur zu sagen „Vergiss diesen bestimmten Satz", spielt RULE ein Spiel namens „Whac-A-Mole" (Klopfmole).
1. Es stellt der KI die Frage viele Male, um zu sehen, wie sie versucht, das Geheimnis preiszugeben.
2. Es fängt die KI auf, wenn sie sich fast verspricht.
3. Dann bringt es der KI bei, auch diese spezifischen Versprecher zu vergessen.
4. Es wiederholt diesen Prozess und wird jedes Mal strenger.
Das Ergebnis: Mit RULE bleibt das Geheimnis selbst dann verborgen, wenn Sie den Magic 8-Ball 128 Mal schütteln. Die KI vergisst wirklich, nicht nur wenn sie vorsichtig ist, sondern auch wenn sie kreativ ist.

Zusammenfassung

Das Problem: Aktuelle KI-„Unlearning"-Methoden sind gefälscht. Sie funktionieren nur, wenn die KI gezwungen wird, langweilig und vorhersehbar zu sein.
Die Realität: Wenn die KI erlaubt wird, kreativ zu sein (so wie wir sie nutzen), erinnert sie sich an die Dinge, die sie vergessen sollte.
Die Lösung: Die Autoren entwickelten einen neuen Test (Leak@k), um dieses Betrügen aufzudecken, und eine neue Trainingsmethode (RULE), um die KI tatsächlich vergessen zu lassen, selbst unter Druck.

Das Papier kommt zu dem Schluss, dass wir aktuellen KI-Sicherheitsmaßnahmen nicht vertrauen können, bis wir sie mit diesem neuen, strengeren „Leak@k"-Standard testen.

Technische Zusammenfassung: Leak@k: Vergessen durch Unlearning macht LLMs unter probabilistischer Dekodierung nicht vergesslich

Problemstellung

Large Language Models (LLMs) werden auf riesigen Webdatensätzen trainiert, die private, toxische, illegale oder urheberrechtlich geschützte Inhalte enthalten. Machine Unlearning zielt darauf ab, dieses spezifische Wissen zu entfernen, während die allgemeine Nützlichkeit des Modells erhalten bleibt. Die aktuellen Evaluierungsprotokolle für Unlearning stützen sich jedoch fast ausschließlich auf deterministische (greedy) Dekodierung (Temperatur $T=0$ , top- $p=0$ ). In diesem Setting wählt das Modell bei jedem Schritt das einzelne wahrscheinlichste Token aus.

Die Autoren identifizieren eine kritische Lücke: Während Unlearning-Methoden unter greedy Dekodierung oft erfolgreich erscheinen, gelingt ihnen unter probabilistischer Dekodierung (z. B. $T > 0$ oder top- $p > 0$ ) kein „echtes Vergessen", welche die Standardmethode in realen Einsatzszenarien wie konversationellen Agenten und Code-Generierung ist. Unter probabilistischem Sampling können sensible Informationen, die im greedy-Pfad unterdrückt wurden, wieder auftauchen. Sobald ein erstes sensibles Token gesampelt wird, verschiebt sich die bedingte Verteilung des Modells häufig, wodurch nachfolgende sensible Tokens mit hoher Zuversicht generiert werden. Dies erzeugt eine Sicherheitsblindstelle, in der „vergessene" Modelle bei wiederholten Abfragen oder mit stochastischen Parametern immer noch private oder schädliche Kenntnisse preisgeben können.

Methodik

1. Die Leak@k-Metametrik

Um diese Verwundbarkeit rigoros zu quantifizieren, führt die Arbeit leak@k ein, eine distributionelle Metametrik. Im Gegensatz zu früheren Evaluierungen, die das Leckage pro einzelner Generierung messen oder über Generierungen mitteln, quantifiziert leak@k die Wahrscheinlichkeit, dass mindestens eine sensitive Antwort unter $k$ unabhängigen Stichproben erscheint, die aus demselben Prompt unter probabilistischer Dekodierung generiert wurden.

Definition: Für einen Prompt $q$ sei $S_j$ ein Richtigkeits-Score (z. B. ROUGE-L, Entailment Score, Genauigkeit) für die $j$ -te generierte Antwort $f(q; \theta)$ gegenüber dem Ground Truth. Die Metrik ist definiert als der erwartete maximale Score über $k$ Stichproben:
$\text{leak@k} := \mathbb{E}\left[\max_{1 \le j \le k} S_j\right]$
Schätzung: Die Autoren schlagen einen unverzerrten Schätzer, $\widehat{\text{leak@k}}$ , vor, der $n \ge k$ Stichproben generiert und den maximalen Score über alle möglichen Teilmengen der Größe $k$ berechnet, um die Varianz im Vergleich zu einem naiven „Worst-of- $k$ "-Ansatz zu reduzieren.
Abklinganalyse: Um zu charakterisieren, wie sich das Leckage entwickelt, wenn das Sampling-Budget wächst, passen die Autoren ein Log-Log-Modell an: $L_k = 1 - (1 - L_1)k^{-\gamma}$ . Hier repräsentiert $L_1$ das Leckage im Frühstadium, und $\gamma$ repräsentiert die Abklingrate der verbleibenden nicht-geleckten Masse. Eine erfolgreiche Unlearning-Methode sollte ein kleines $L_1$ und ein kleines $\gamma$ aufweisen.

2. Der RULE-Algorithmus

Um das Versagen statischer Unlearning-Sets unter probabilistischer Dekodierung zu adressieren, schlagen die Autoren Robust Unlearning under LEak@k metric (RULE) vor. Dies ist ein iterativer Meta-Algorithmus, der das Vergessen-Set dynamisch erweitert:

Multi-Sample-Generierung: Unter Verwendung des aktuellen Modells und probabilistischer Dekodierung werden mehrere Kandidatenantworten für Abfragen im Vergessen-Set generiert.
Leckage-Erkennung: Diese Antworten werden mit einer Kernmetrik (z. B. Entailment Score) gefiltert. Antworten, die erfolgreich sensitive Informationen preisgeben (einen Schwellenwert überschreiten), werden identifiziert.
Datensatzerweiterung: Diese „leckenden" Antworten werden zum Vergessen-Set hinzugefügt, wodurch das Modell effektiv lernt, nicht nur den ursprünglichen Ground Truth, sondern auch die spezifischen Variationen und Umschreibungen zu vergessen, die es unter stochastischen Bedingungen tendenziell generiert.
Optimierung: Das Modell wird auf diesem erweiterten Vergessen-Set neu trainiert. Dieser Prozess wiederholt sich über mehrere Iterationen.

Hauptbeiträge

Einführung von Leak@k: Eine neue Metametrik, die das Evaluierungsparadigma von deterministischen Einzelantwort-Checks hin zu einer probabilistischen Worst-Case-Analyse über mehrere Generierungen verschiebt.
Systematische empirische Studie: Die erste groß angelegte Evaluierung der Zuverlässigkeit von Unlearning über drei wichtige Benchmarks (TOFU, MUSE-News und WMDP) hinweg unter Verwendung verschiedener Dekodierungsstrategien ( $T, p$ ) und Sampling-Budgets ( $k$ ).
Nachweis des Versagens: Die Studie zeigt, dass State-of-the-Art (SOTA)-Methoden (einschließlich GradDiff, NPO, SimNPO, RMU und BLUR-NPO) nur eine „Illusion des Vergessens" bieten. Mit steigendem $k$ steigt leak@k für alle bestehenden Methoden stark an, was darauf hindeutet, dass sensibles Wissen unter realistischem Sampling zuverlässig wieder auftaucht.
Vorschlag von RULE: Ein dynamischer Trainingsalgorithmus, der das Informationsleckage signifikant reduziert. Auf dem TOFU-Benchmark erreicht RULE ein nahezu null leak@k sogar für $k=128$ und übertrifft alle Baselines. Auf MUSE-News übertrifft es SOTA-Methoden über die meisten Sampling-Budgets hinweg.

Ergebnisse

TOFU-Benchmark: Unter Verwendung von LLaMA-3.2-1B zeigen die Autoren, dass, während greedy Dekodierung ( $T=0, p=0$ ) ein erfolgreiches Unlearning für Methoden wie NPO und BLUR-NPO suggeriert, probabilistische Dekodierung ( $T=1.0, p=1.0$ ) dazu führt, dass leak@k (gemessen durch Entailment Score) mit steigendem $k$ gegen 1,0 strebt. Der top- $p$ -Parameter wurde als primärer Treiber des Leckages identifiziert, stärker noch als die Temperatur.
MUSE-News-Benchmark: Ähnliche Trends wurden mit LLaMA2-7B beobachtet. Bestehende Methoden wechseln von sicheren zu leckenden Ausgaben, wenn $p$ steigt oder $k$ wächst. RULE-NPO zeigte eine überlegene Leistung bei der Unterdrückung der Leckage-Wachstumsraten ( $\gamma$ ).
WMDP-Benchmark: Unter Verwendung von Zephyr-7B-beta hob die Studie hervor, dass metrikbasierte Genauigkeitsmaße irreführend sein können. Während einige Methoden (wie NPO) eine niedrige Genauigkeit bei Multiple-Choice-Fragen erreichten, generierten sie oft Kauderwelsch oder „vergassen zu viel" (wählten eine Ablehnungsoption), während andere (wie RMU) unter hoher Zufälligkeit klare Leckage-Trends zeigten, wenn sie via LLM-as-Judge bei freien Generierungen bewertet wurden.
Erhaltung der Nützlichkeit: Über alle Benchmarks hinweg behielten die vorgeschlagenen Methoden (einschließlich RULE) eine stabile Leistung auf dem Behalt-Set bei, was darauf hindeutet, dass robustes Vergessen nicht notwendigerweise auf Kosten der allgemeinen Modellnützlichkeit geht.

Bedeutung und Behauptungen

Die Arbeit behauptet, dass aktuelle Unlearning-Evaluierungen fundamental fehlerhaft sind, da sie die probabilistische Natur von LLMs ignorieren und ein falsches Sicherheitsgefühl erzeugen. Die Autoren argumentieren, dass Unlearning unter denselben probabilistischen Bedingungen evaluiert werden muss, die im Einsatz verwendet werden, um Sicherheit zu gewährleisten.

Die Bedeutung dieser Arbeit liegt in:

Aufdecken einer kritischen Lücke: Der Nachweis, dass ein „erfolgreiches" Unlearning unter greedy Dekodierung für regulatorische Compliance und ethische KI unzureichend ist, da sensible Daten durch wiederholtes Sampling wiederhergestellt werden können.
Bereitstellung eines robusten Evaluierungsrahmens: Leak@k bietet eine standardisierte, distributionelle Metrik, um Unlearning-Methoden basierend auf ihrem Worst-Case-Leckage-Potenzial und nicht basierend auf der Durchschnittsleistung zu vergleichen.
Anbieten einer Lösung: RULE zeigt, dass robustes Unlearning durch iterative Verfeinerung des Vergessen-Sets basierend auf den eigenen probabilistischen Fehlern des Modells erreichbar ist, was über statische Trainingssets hinausgeht.

Die Autoren schließen, dass ohne solche robusten Evaluierungs- und Trainingsmethoden der Einsatz von vergessenen LLMs in hochriskanten Umgebungen riskant bleibt, da adversarische Nutzer probabilistische Dekodierung ausnutzen können, um „vergessene" Informationen zu extrahieren.