🤖 machine learning

Inference-Time Machine Unlearning via Gated Activation Redirection

GUARD-IT ist eine neuartige, trainingsfreie Methode zum maschinellen Vergessen, die zur effektiven Entfernung memorisierter Daten bei gleichzeitiger Wahrung der Modellnützlichkeit und -robustheit über Quantisierungs- und kontinuierliche Lernszenarien hinweg eine ein- gangsabhängige umgeleitete gated-Aktivierung zum Inferenzzeitpunkt einsetzt und dabei traditionelle gradientenbasierte Ansätze übertrifft.

Ursprüngliche Autoren: Vinícius Conte Turani, Otávio Parraga, João Vitor Boer Abitante, Kristen K. Arguello, Joana Pasquali, Ramiro N. Barros, Flavio du Pin Calmon, Christian Mattjie, Rodrigo C. Barros, Lucas S. Kupssinskü

Veröffentlicht 2026-05-14

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Vinícius Conte Turani, Otávio Parraga, João Vitor Boer Abitante, Kristen K. Arguello, Joana Pasquali, Ramiro N. Barros, Flavio du Pin Calmon, Christian Mattjie, Rodrigo C. Barros, Lucas S. Kupssinskü

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie haben eine sehr kluge, gut gebildete Bibliothekarin (das KI-Modell), die Millionen von Büchern auswendig gelernt hat. Manchmal müssen Sie diese Bibliothekarin bitten, bestimmte Geschichten zu „verlernen" – vielleicht, weil sie private Informationen, urheberrechtlich geschütztes Material oder einfach Fakten enthalten, die Sie entfernen möchten.

Die traditionelle Methode, dies zu tun, ist so, als würde man das gesamte Gehirn der Bibliothekarin nehmen, eine offene Herzoperation durchführen und versuchen, die spezifischen Neuronen, die diese Erinnerungen tragen, chirurgisch zu entfernen. Dies ist riskant, teuer und hinterlässt die Bibliothekarin oft verwirrt, unfähig, etwas anderes zu erinnern, oder sie spricht Unsinn.

Dieser Artikel stellt eine neue Methode namens GUARD-IT vor. Anstatt Teile des Gehirns herauszuschneiden, agiert sie wie ein intelligenter Verkehrsleiter am Schreibtisch der Bibliothekarin.

So funktioniert es, unter Verwendung einfacher Analogien:

1. Das Problem mit der „globalen" Steuerung

Frühere Versuche des „Activation Engineering" (Ändern der Denkweise der KI ohne Neustraining) waren wie ein „Nicht Sagen"-Schild auf dem Schreibtisch der Bibliothekarin, das für jeden galt. Wenn Sie der Bibliothekarin sagten: „Sprich nicht über Autor X", würde sie aufhören, über Autor X zu sprechen, aber sie könnte auch versehentlich aufhören, über jemanden zu sprechen, der auch nur ein wenig wie Autor X klingt. Sie könnte auch anfangen, auf seltsame, roboterhafte Weise zu sprechen, weil das „Nicht Sagen"-Schild zu grob war.

2. Die GUARD-IT-Lösung: Das „intelligente Tor"

GUARD-IT unterscheidet sich, weil es kein riesiges Schild für alle verwendet. Stattdessen nutzt es ein intelligentes Tor (das „Similarity Gateway").

Schritt 1: Gruppierung der Erinnerungen (Offline-Phase)
Bevor die Bibliothekarin mit der Arbeit beginnt, nimmt das Team alle Bücher, die entfernt werden sollen, und sortiert sie nach Themen in verschiedene Stapel (z. B. „Stapel A: Französische Dichter", „Stapel B: Biografien des 19. Jahrhunderts"). Für jeden Stapel erstellen sie eine spezifische „Anti-Erinnerungs"-Anweisung. Denken Sie an diese als spezifische „Nicht darüber sprechen"-Karten für jedes Thema.
Schritt 2: Die Verkehrsprüfung (Online-Phase)
Wenn ein Benutzer eine Frage stellt, prüft das intelligente Tor zuerst die Frage.
- Wenn die Frage ein zufälliges Thema betrifft (wie „Wie ist das Wetter?"), sagt das Tor: „Keine Übereinstimmung", und die Bibliothekarin antwortet normal. Die „Nicht darüber sprechen"-Karten werden nie berührt.
- Wenn die Frage ein spezifisches Thema betrifft (wie „Erzählen Sie mir von Autor X"), erkennt das Tor das Thema, greift die spezifische „Nicht darüber sprechen"-Karte für diesen Stapel und wendet sie an.

3. Die „magische Drehung" (Norm-erhaltende Rotation)

Sobald das Tor die richtige „Nicht darüber sprechen"-Karte ausgewählt hat, schiebt GUARD-IT das Gehirn der Bibliothekarin nicht einfach in eine neue Richtung. Stattdessen führt es eine perfekte Drehung durch.

Stellen Sie sich die Gedanken der Bibliothekarin als einen Kreisel vor.

Alte Methoden versuchten, den Kreisel umzustoßen, was ihn oft zum Wackeln brachte und zum Fallen brachte (was dazu führte, dass die KI Unsinn oder „Gibberish" produzierte).
GUARD-IT dreht den Kreisel sanft, sodass er in eine neue Richtung zeigt, aber die Drehgeschwindigkeit genau gleich bleibt. Dies stellt sicher, dass die Bibliothekarin ausgeglichen und flüssig bleibt, nur über andere Dinge spricht.

4. Warum dies eine große Sache ist

Der Artikel behauptet, GUARD-IT löse drei große Kopfschmerzen, die andere Methoden haben:

Keine „Gehirnchirurgie" erforderlich: Es erfordert kein Neustraining des Modells oder Änderungen seiner permanenten Gewichte. Es ist wie dem Bibliothekarin einen vorübergehenden Satz Anweisungen zu geben, anstatt ihr Gehirn neu zu verkabeln.
Es übersteht „Komprimierung": In der realen Welt werden KI-Modelle oft verkleinert (quantisiert), um schneller auf Handys oder günstigeren Servern zu laufen. Traditionelle Methoden brechen oft, wenn das Modell verkleinert wird, wie eine zerbrechliche Skulptur, die zerbröckelt, wenn sie fest verpackt wird. GUARD-IT funktioniert perfekt, selbst wenn das Modell komprimiert ist, weil es den Fluss der Information steuert, nicht die schweren, statischen Gewichte.
Es bewältigt „kontinuierliche" Anfragen: Wenn Sie nächste Woche ein neues Buch entfernen müssen, müssen Sie nicht die ganze Operation wiederholen. Sie fügen einfach eine neue „Nicht darüber sprechen"-Karte zum Stapel hinzu. Die Bibliothekarin kann einen endlosen Strom von Entfernungsanfragen bewältigen, ohne verwirrt zu werden oder unbefugte Fakten zu vergessen.

Zusammenfassung

Kurz gesagt ist GUARD-IT eine trainingsfreie, gradientenfreie Methode, um eine KI bestimmte Dinge „vergessen" zu lassen. Dies erreicht sie durch:

Das Sortieren der zu vergessenden Dinge in Kategorien.
Das Prüfen, ob die Frage eines Benutzers mit einer Kategorie übereinstimmt.
Wenn ja, eine sanfte, präzise „Drehung" der Gedanken der KI anzuwenden, um sie vom verbotenen Thema wegzusteuern.
Wenn nein, die KI normal antworten zu lassen.

Dies hält die KI intelligent, flüssig und sicher, ohne das Risiko, ihr Gehirn zu beschädigen oder teures Neustraining zu benötigen.

Technische Zusammenfassung: Inference-Time Machine Unlearning via Gated Activation Redirection (GUARD-IT)

Problemstellung

Large Language Models (LLMs) memorieren häufig Trainingsdaten, was erhebliche Risiken hinsichtlich Datenschutz, Urheberrechtsverletzungen und Sicherheit mit sich bringt. Machine Unlearning (MU) zielt darauf ab, den Einfluss einer spezifischen „Vergessensmenge" ( $D_f$ ) zu entfernen, während die Leistung auf einer „Behaltensmenge" ( $D_r$ ) erhalten bleibt, idealerweise unter Annäherung an ein Modell, das ohne $D_f$ von Grund auf neu trainiert wurde.

Bestehende MU-Ansätze stützen sich primär auf rechenintensive gradientenbasierte Parameteraktualisierungen. Diese Methoden stehen vor mehreren kritischen Einschränkungen:

Rechenkosten: Sie erfordern Zugriff auf die gesamte Feinabstimmungspipeline und erhebliche Ressourcen.
Irreversibilität und Instabilität: Gewichtsaktualisierungen sind irreversibel und können zu einem „katastrophalen Zusammenbruch" führen, bei dem das Modell seine Generalisierungsfähigkeit verliert und inkohärente Ausgaben produziert.
Quantisierungsanfälligkeit: Die Effekte des Unlearnings werden oft beeinträchtigt oder rückgängig gemacht, wenn Modelle für den Einsatz quantisiert werden, da das Runden auf niedrige Präzision die feinabgestimmten Gewichtsjustierungen auslöscht.
Probleme beim kontinuierlichen Unlearning: In Szenarien mit sequenziellen Vergessensanfragen akkumulieren sich wiederholte Parameteraktualisierungen zu Interferenzen, die im Laufe der Zeit unverwandtes Wissen verschlechtern.
Naive Limitationen der Aktivierungssteuerung: Obwohl Aktivierungsengineering eine trainingsfreie Alternative bietet, scheitert die Anwendung eines einzelnen globalen Steuervektors auf alle Eingaben, wenn das Vergessenskorpus sich über widersprüchliche semantische Richtungen erstreckt, was zu unbeabsichtigten Verhaltensänderungen bei unverwandten Eingaben führt.

Methodik: GUARD-IT

Die Arbeit stellt GUARD-IT (Inference-Time Unlearning via Gated Activation Redirection) vor, eine trainings- und gradientenfreie Methode, die Unlearning vollständig im Aktivierungsraum während des Inferenzvorgangs durchführt. Die Methode operiert auf der Hypothese linearer Repräsentation und behandelt Unlearning als kontrollierte geometrische Transformation von Hidden States.

Kernkomponenten

Semantisches Clustering (Offline-Phase):
- Das Vergessenskorpus $D_f$ wird mittels eines Sentence-Transformers eingebettet und mittels K-Means in semantische Cluster partitioniert. Die Anzahl der Cluster ( $k$ ) wird automatisch durch Maximierung des Silhouetten-Scores ausgewählt.
- Für jeden Cluster wird ein Prototyp-Steering-Vektor (PSV) berechnet, indem die Hidden-State-Aktivierungen an einer spezifischen Ziel-Schicht $\ell$ (typischerweise das erste Quartil des Transformer-Stapels) gemittelt werden.
- Ein Referenzvektor $\bar{h}_r$ wird aus dem Behaltenskorpus berechnet, um sicherzustellen, dass die Steuerung das behaltene Wissen nicht beeinträchtigt.
Similarity Gate (Online-Phase):
- Zum Zeitpunkt der Inferenz wird eine Benutzerabfrage $x$ eingebettet und mit den Zentroiden der Vergessens-Cluster verglichen.
- Ein Similarity Gate (SG) wählt nur die Cluster aus, deren Zentroiden einen Ähnlichkeitsschwellenwert $T$ überschreiten. Dies stellt sicher, dass die Steuerung nur auf Eingaben angewendet wird, die semantisch mit der Vergessensmenge verwandt sind, und erhält die Nutzbarkeit für unverwandte Abfragen.
Norm-erhaltende Rotation:
- Die aktiven PSVs werden zu einer eingabeabhängigen Vergessensrichtung $p(x)$ aggregiert.
- Diese Richtung wird orthogonal zum Behaltens-Referenzvektor $\bar{h}_r$ projiziert, um gemeinsame Komponenten zu entfernen.
- Der resultierende Steering-Vektor wird neu skaliert, um der mittleren Aktivierungsnorm der Hidden States zu entsprechen.
- Schließlich wird die Intervention als reine Rotation im Residual-Stream angewendet: Der Hidden State wird von der Vergessensrichtung wegrotiert, wobei seine ursprüngliche Norm strikt erhalten bleibt. Dies verhindert eine Destabilisierung der Layer-Normalisierung und der Attention-Skalierung.

Hauptbeiträge

Trainings- und gradientenfreie Formulierung: Die Arbeit reformuliert Unlearning als eingabeabhängiges Steuerproblem im Aktivierungsraum und eliminiert damit die Notwendigkeit von Parameteraktualisierungen, Neu-Training oder Zugriff auf die Trainingspipeline.
Eingabeabhängige Steuerung durch Clustering: Durch die Partitionierung des Vergessenskorpus und die Verwendung eines Similarity Gates ermöglicht GUARD-IT lokales und kompositionales Unlearning. Es vermeidet die Fehlermodi naiver globaler Steuerung, indem es die Intervention an den semantischen Inhalt jeder Abfrage anpasst.
Robustheit gegenüber Quantisierung und kontinuierlichem Unlearning: Die Methode unterstützt natürliches kontinuierliches Unlearning (durch Anhängen neuer PSVs ohne Modifikation bestehender) und bleibt unter Modellquantisierung (4-Bit und 8-Bit) wirksam, ein Szenario, in dem gradientenbasierte Methoden typischerweise degradieren oder versagen.

Experimentelle Ergebnisse

Die Autoren evaluierten GUARD-IT auf den Benchmarks TOFU und MUSE über drei Modellskalen hinweg (Llama-3.2-1B, 3B und Llama-3.1-8B).

Leistung im Vergleich zu Baselines: GUARD-IT erreicht oder übertrifft 12 gradientenbasierte Baselines über alle Modellskalen hinweg. Es erzielt die höchsten Durchschnittswerte (harmonisches Mittel aus Nutzbarkeit und Unterdrückung der Memorierung) auf den TOFU-Unterteilungen forget01 und forget05.
Vermeidung katastrophalen Zusammenbruchs: Im Gegensatz zu vielen gradientenbasierten Methoden (z. B. PDU, RMU), die bei zunehmender Vergessensstärke unter katastrophalem Zusammenbruch leiden (niedrige Nutzbarkeit und hohe Rates an Kauderwelsch), behält GUARD-IT eine hohe Kohärenz (Gibberish-Raten > 0,80) bei, während es die Memorierung effektiv unterdrückt.
Robustheit gegenüber Quantisierung: In Experimenten mit 4-Bit- und 8-Bit-Quantisierung behält GUARD-IT sein Leistungsprofil bei. Im Gegensatz dazu zeigen gradientenbasierte Methoden eine signifikante Verschlechterung der Nutzbarkeit und der Unterdrückung der Memorierung bei Quantisierung, da die feinabgestimmten Gewichtsstörungen verloren gehen.
Kontinuierliches Unlearning: In sequenziellen Vergessensszenarien behält GUARD-IT konsequent den Trade-off zwischen Nutzbarkeit und Memorierung bei, wohingegen gradientenbasierte Methoden unter Interferenzen zwischen aufeinanderfolgenden Aktualisierungen leiden, was zu einer progressiven Verschlechterung des Modells führt.

Bedeutung und Behauptungen

Die Arbeit behauptet, dass GUARD-IT strukturelle Einschränkungen adressiert, die Parameter-Aktualisierungsmethoden inhärent sind. Durch die Kodierung von Unlearning als externe, versionierbare Menge von Steering-Vektoren anstelle destruktiver Gewichtsüberschreibungen bietet die Methode:

Einsatzflexibilität: Die Vergessensstärke wird zu einem kontinuierlichen, zur Inferenzzeit steuerbaren Regler (gesteuert durch den Steering-Koeffizienten $\alpha$ ) anstatt zu einer festen Verpflichtung zur Trainingszeit.
Überprüfbarkeit und Reversibilität: Vergessensanfragen können durch Modifikation des Vektorspeichers ohne Neu-Training des Modells inspiziert, aktualisiert oder zurückgerollt werden.
Stabilität: Die norm-erhaltende Rotation stellt sicher, dass die Intervention die internen Normalisierungsmechanismen des Modells nicht stört und damit inkohärente Ausgaben verhindert, die bei aggressiver Aktivierungssteuerung üblich sind.

Die Autoren schließen, dass dieser Ansatz die Entfernung von $D_f$ als Routing-Problem über eine vorausberechnete Bibliothek von Aktivierungsrichtungen neu definiert und eine praktische Lösung für die Einhaltung von Datenschutzvorschriften (z. B. DSGVO, EU-KI-Gesetz) in eingesetzten LLMs bietet, insbesondere in ressourcenbeschränkten oder quantisierten Umgebungen.

Einschränkungen

Die Arbeit räumt ein, dass die Methode auf der Hypothese linearer Repräsentation beruht und annimmt, dass Vergessenskonzepte entlang annähernd linearer Richtungen im Residual-Stream kodiert sind. Dies mag nicht für Konzepte gelten, die nicht-linear kodiert oder über viele Richtungen geringer Magnitude verteilt sind. Darüber hinaus konzentriert sich die Evaluation derzeit auf faktische Assoziationen auf Entitätsebene (TOFU, MUSE), und die Übertragbarkeit auf prozedurales Wissen, Schlussfolgerungsketten oder adversarisch erstellte Mengen bleibt eine offene Frage.