💬 NLP

Don't Forget Your Embeddings: Robust Knowledge Erasure via Precise Editing of Embeddings

Dieses Paper stellt EMBER vor, ein Plug-and-Play-Modul, das die robuste Wissenslöschung in Sprachmodellen verbessert, indem es konzeptbezogene Merkmale mittels spärlicher Matrixfaktorisierung präzise aus Token-Embeddings entfernt und dadurch den Widerstand gegen Relearning signifikant erhöht, während der Kohärenzverlust minimiert wird.

Ursprüngliche Autoren: Clara Haya Suslik, Or Shafran, Mor Geva

Veröffentlicht 2026-06-03

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Clara Haya Suslik, Or Shafran, Mor Geva

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich ein Large Language Model (LLM) wie einen riesigen, superintelligenten Bibliothekar vor, der fast jedes Buch der Welt gelesen hat. Manchmal müssen wir diesen Bibliothekar dazu bringen, bestimmte Dinge zu „vergessen“ – vielleicht einen Charakter aus einem Buch, das noch nicht veröffentlicht wurde, ein Rezept für eine gefährliche Chemikalie oder die privaten Informationen eines Prominenten. Dieser Prozess wird als Knowledge Erasure (Wissenslöschung) bezeichnet.

Lange Zeit versuchten Wissenschaftler, den Bibliothekar zum Vergessen zu bringen, indem sie die „Bedienungsanleitungen“ in seinem Gehirn (speziell einen Teil namens MLP-Layer) umschrieben. Sie gingen hinein und löschten die Notizen zum verbotenen Thema.

Das Problem: Das versteckte Notizbuch
Das Paper argumentiert, dass diese bisherigen Versuche oft scheitern. Warum? Weil der Bibliothekar ein zweites, verstecktes Notizbuch besitzt: den Embedding Layer.

Stellen Sie sich den Embedding Layer wie die Karteikarten des Bibliothekars vor. Jedes Wort, das er kennt (wie „Harry“, „Potter“ oder „Zauberstab“), hat eine spezifische Karte. Selbst wenn Sie die Notizen in der Bedienungsanleitung über Harry Potter verbrennen, enthalten die Karteikarten für diese Wörter immer noch das Geheimnis. Wenn jemand fragt: „Wer ist Harry?“, kann der Bibliothekar immer noch die Karte herausholen, die Verbindungen sehen und das verbotene Wissen sehr schnell versehentlich „wiedererlernen“.

Die Lösung: EMBER
Die Autoren führen ein neues Werkzeug namens EMBER (Embedding ERasure) ein. Anstatt nur die Bedienungsanleitung zu verbrennen, geht EMBER direkt an die Karteikarten.

So funktioniert EMBER, unter Verwendung einer einfachen Analogie:

Der Mix: Stellen Sie sich vor, die Karteikarte für das Wort „Harry“ ist eigentlich ein Smoothie aus vielen verschiedenen Zutaten (Features). Einige Zutaten sind allgemein (wie „ist ein Vorname“), und einige sind spezifisch für das verbotene Thema (wie „Zauberer“, „Hogwarts“, „Magie“).
Die Trennung: EMBER verwendet einen mathematischen Trick namens Sparse Matrix Factorization. Denken Sie an einen Hightech-Mixer, der die „Zauberer“-Zutaten perfekt von den „Person“-Zutaten auf der Karte trennen kann.
Die Operation: Sobald sie getrennt sind, schöpft EMBER vorsichtig nur die „Zauberer“-Zutaten aus der „Harry“-Karte ab. Die „Person“-Zutaten lässt es unberührt.
Das Ergebnis: Wenn der Bibliothekar nun das Wort „Harry“ sieht, löst die Karte nicht mehr die „Zauberer“-Verbindung aus. Der Bibliothekar kann immer noch perfekt über Prinz Harry (die reale Person) sprechen, ist aber über Harry Potter völlig blank.

Warum das eine große Sache ist
Das Paper testete dies an zwei populären KI-Modellen (Gemma und Llama) mit 18 verschiedenen Themen, die von „Harry Potter“ bis hin zu „Zweiter Weltkrieg“ reichen.

Es ist schwerer zu betrügen: Frühere Methoden waren wie ein „Nicht lesen“-Schild auf einem Buch. Der Bibliothekar konnte trotzdem hineinspähen und sich erinnern. EMBER ist wie das Entfernen des Buches aus dem Regal. Selbst wenn jemand versucht, den Bibliothekar mit ein paar neuen Notizen „nachzuschulen“, kann der Bibliothekar das verbotene Thema nicht mehr erinnern, weil das Fundament (die Karteikarte) weg ist.
Es macht nicht alles kaputt: Eine häufige Befürchtung ist, dass, wenn man das Gehirn des Bibliothekars editiert, er vielleicht anfängt, Kauderwelsch zu sprechen oder zu vergessen, wie man über andere Dinge spricht. Das Paper fand heraus, dass EMBER unglaublich präzise ist. Es editiert nur einen winzigen Bruchteil der Wörter (weniger als 0,14 % des Wörterbuchs). Wenn Sie „Harry Potter“ löschen, kann der Bibliothekar immer noch über „Harry Styles“ oder „Prinz Harry“ sprechen, ohne zu stolpern.
Es funktioniert mit alten Methoden zusammen: EMBER ist kein Ersatz für die alten Methoden, sondern ein Booster. Wenn Sie EMBER zusammen mit den alten Edits der Bedienungsanleitungen verwenden, sind die Ergebnisse viel stärker. Das „Vergessen“ wird permanent und robust.

Zusammenfassend
Das Paper behauptet, dass man, um eine KI wirklich etwas vergessen zu lassen, nicht nur ihre hochgradigen Anweisungen editieren darf; man muss auch ihre grundlegenden Vokabular-Karten bereinigen. Durch die Verwendung einer präzisen mathematischen „Operation“ an diesen Karten stellt EMBER sicher, dass die KI das spezifische Konzept vergisst, ohne ihre Fähigkeit zu verlieren, über andere Dinge zu sprechen oder sich an andere Dinge zu erinnern, und es macht es nahezu unmöglich, dass die KI sich das verbotene Thema versehentlich wieder erinnert.

Technisches Resümee: Vergessen Sie Ihre Embeddings nicht: Robuste Wissenslöschung durch präzise Editierung von Embeddings

Problemstellung

Da Sprachmodelle (LMs) zunehmend eingesetzt werden, ist die Fähigkeit, spezifisches Wissen (z. B. private Daten, urheberrechtlich geschützte Inhalte oder sicherheitsrelevante Themen) dauerhaft zu löschen, von entscheidender Bedeutung. Bestehende Methoden zur permanenten Löschung konzentrieren sich primär auf die Aktualisierung der Modellparameter, insbesondere innerhalb der Multi-Layer-Perzeptron-Schichten (MLP), wobei häufig Sparse Autoencoder (SAEs) oder Weight Steering verwendet werden. Diese Methoden scheitern jedoch häufig daran, eine robuste Löschung zu erreichen. Das Zielwissen bleibt oft durch adversarielles Prompting oder Relearning (Feintuning auf konzeptbezogene Daten) rekonstruierbar, und die Effektivität der Löschung ist oft formabhängig (sie versagt beim Übergang von Multiple-Choice zu Open-Ended Generation).

Die Autoren hypothetisieren, dass diese Einschränkungen darauf zurückzuführen sind, dass bestehende Techniken die Token-Embedding-Schicht vernachlässigen. Während MLPs dafür bekannt sind, eine Schlüsselrolle bei der Wissensabrufung zu spielen, kodieren LMs auch einen nicht unerheblichen Teil ihres Wissens direkt in ihren Token-Embeddings. Die Vernachlässigung dieser Schicht lässt dem Modell einen Pfad offen, um gelöschte Konzepte „wieder zu erlernen“, und zwingt bestehende Methoden dazu, sich auf aggressive, breite Parameteraktualisierungen zu verlassen, die die allgemeine Nützlichkeit des Modells beeinträchtigen.

Methodik: EMBER

Das Paper stellt EMBER (EMBedding ERasure) vor, ein Plug-and-Play-Modul, das darauf ausgelegt ist, Token-Embeddings präzise zu editieren, um bestehende MLP-fokussierte Löschungsmethoden zu ergänzen. EMBER folgt einem „Lokalisieren-dann-Editieren“-Ansatz, der aus drei Phasen besteht:

Sparse Matrix Factorization (Sparse MF) zur Merkmalslokalisierung:
Anstatt SAEs zu verwenden, wendet EMBER die Sparse Matrix Factorization direkt auf die Embedding-Matrix $E$ an. Es zerlegt die Embeddings einer spezifischen Menge von Tokens (die in konzeptbezogenen und neutralen Sätzen vorkommen) in ein Faktordiktionär $Z$ (Embedding-Merkmale) und eine Koeffizientenmatrix $Y$ .
- Sparsity-Constraint: Um sicherzustellen, dass die Merkmale mit lokalisierten, interpretierbaren Konzepten korrespondieren, wird ein „Winner-Takes-All“ (WTA)-Constraint auf die Koeffizienten $Y$ angewendet, wobei nur die obersten 1 % der Magnituden pro Faktor beibehalten werden. Dies erzwingt, dass die Faktorisierung Merkmale identifiziert, die von kleinen, spezifischen Teilmengen von Tokens geteilt werden.
Identifizierung konzeptbezogener Merkmale:
Die Methode bewertet die extrahierten Merkmale, um konzeptspezifische von allgemeinen Merkmalen zu unterscheiden. Sie berechnet eine Massenverhältnis-Statistik, die den Beitrag eines Merkmals zu konzeptbezeichneten Tokens im Vergleich zu neutralen Tokens vergleicht. Merkmale mit einem hohen Verhältnis werden durch einen „LLM-as-a-judge“ weiter gefiltert, um zu verifizieren, dass die assoziierten Tokens semantisch mit dem Zielkonzept übereinstimmen.
Präzise Löschung durch Subtraktion:
Sob-ald die konzeptbezogenen Merkmale ( $F_C$ ) identifiziert wurden, subtrahiert EMBER deren Beitrag von den Embeddings der relevanten Tokens. Für ein Token-Embedding $e_t$ lautet das Update:
$e_t \leftarrow e_t - \delta \sum_{i \in F_C} Y_{i,t} z_i$
wobei $\delta$ ein Stärke-Hyperparameter ist. Diese Operation entfernt die konzeptspezifische Komponente, während der Rest des Embeddings intakt bleibt. Die Methode wird nur auf Tokens angewendet, die nicht-null Koeffizienten für die identifizierten konzeptbezogenen Merkmale aufweisen.

EMBER ist so konzipiert, dass es mit bestehenden MLP-basierten Löschungsmethoden (z. B. RMU, CRISP, SNMF) kombiniert werden kann, um ein Ensemble zu bilden, das sowohl die Embedding-Schicht als auch die MLP-Schichten adressiert.

Zentrale Beiträge

Identifizierung des Embedding-Bottlenecks: Das Paper liefert die erste empirische Studie, die die Embedding-Schicht als kritischen Engpass für eine robuste Konzeptlöschung etabliert. Es zeigt auf, dass die Vernachlässigung der Embeddings es Modellen ermöglicht, gelöschtes Wissen leichter zu rekonstruieren.
EMBER-Algorithmus: Eine neuartige Methode unter Verwendung von Sparse Matrix Factorization, um konzeptbezogene Merkmale aus Token-Embeddings zu entwirren und präzise zu entfernen, ohne ein vollständiges Modell-Feintuning zu erfordern.
Plug-and-Play-Erweiterung: Es wird gezeigt, dass EMBER mit bestehenden Löschungs-Frameworks kompatibel ist und deren Leistung signifikant steigert, ohne eine vollständige Neugestaltung der Löschungs-Pipeline zu erfordern.

Experimentelle Ergebnisse

Die Autoren evaluierten EMBER auf Gemma-2-2B-it und Llama-3.1-8B-Instruct über 18 verschiedene Konzepte hinweg (von fiktionalen Werken wie Harry Potter bis hin zu Sicherheitsthemen wie Cannabis).

Effektivität und Spezifität: Die Ergänzung bestehender Methoden (RMU, CRISP, SNMF) mit EMBER verbesserte konsistent die Löscheffektivität (Senkung der Konzeptgenauigkeit) und die Spezifität (Aufrechterhaltung der Performance in ähnlichen Domänen und MMLU).
Robustheit gegenüber Relearning: Dies ist der primäre Gewinn. EMBER reduzierte die Fähigkeit des Modells, gelöschte Konzepte wieder zu erlernen, drastisch.
- Bei Llama-3.1 wurde die Relearning-Genauigkeit früherer Methoden (RMU, CRISP) von 70 %–76 % auf 35 % reduziert, wenn sie mit EMBER kombiniert wurden (eine Reduktion um ca. 50 %).
- Bei Gemma wurde die Relearning-Genauigkeit um 16 %–24 % reduziert.
- Die vollständige MF-basierte Pipeline (SNMF + EMBER) erreichte die niedrigste Relearning-Genauigkeit (35 % bei Llama) und übertraf die Baselines signifikant.
Kohärenz und Lokalisierung: Die Kosten für die Generierungskohärenz waren minimal. Die Analyse zeigte, dass EMBER höchstens 0,14 % des Vokabulars pro Konzept modifiziert. Die Verschlechterung der Kohärenz war hochgradig lokalisiert auf „konzept-exklusive“ Tokens (z. B. „Hogwarts“ beim Löschen von Harry Potter), während allgemeine Tokens (z. B. „Harry“ im Kontext von Prinz Harry) weitgehend unbeeinflusst blieben.
Generalisierung: Obwohl die Hyperparameter auf Multiple-Choice-Aufgaben (MC) abgestimmt wurden, übertrugen sich die Verbesserungen effektiv auf Open-Ended (OE) Question Answering, was darauf hindeutet, dass die Edits konzeptionelles Wissen und nicht formatspezifische Abkürzungen anvisieren.

Bedeutung und Ansprüche

Das Paper behauptet, dass die präzise, gezielte Editierung der Embedding-Matrix fundamental ist, um eine robuste Konzeptlöschung zu erreichen. Durch die Verschiebung des Fokus weg von der MLP-zentrierten Sichtweise früherer Arbeiten adressiert EMBER das Problem des „oberflächlichen Unlearning“, bei dem Wissen lediglich unterdrückt, aber nicht entfernt wird.

Die Autoren kommen zu dem Schluss, dass:

Interventionen auf Embedding-Ebene notwendig sind, um Relearning-Angriffe zu verhindern.
Bestehende Löschungsmethoden durch die Ergänzung mit Edits auf Embedding-Ebene signifikant verbessert werden können.
Der Trade-off zwischen Löscheffektivität und Modellnutzen (Kohärenz) verbessert werden kann, indem Edits lokal auf spezifische konzeptbezogene Merkmale statt auf breite Parameter-Updates begrenzt werden.

Die Arbeit etabliert eine neue Richtung für das Model Editing und hebt hervor, dass die Embedding-Schicht ein vitaler, jedoch bisher unterexplorierter Ort der Wissensspeicherung ist, der für Sicherheits- und Compliance-Anwendungen adressiert werden muss.