💬 NLP

Position: The Term "Machine Unlearning" Is Overused in LLMs

Dieses Positionspapier argumentiert, dass der Begriff „Machine Unlearning“ in der LLM-Forschung derzeit übermäßig verwendet wird, um diverse Aufgaben wie Verweigerung oder Unterdrückung zu beschreiben, und fordert dazu auf, den Begriff strikt für die datensatzdefinierte Löschung mit Äquivalenzgarantien zum Retraining zu reservieren, um irreführende Evaluierungen zu verhindern und eine angemessene Terminologie für unterschiedliche Zielsetzungen sicherzustellen.

Ursprüngliche Autoren: Sangyeon Yoon, Yeachan Jun, Albert No

Veröffentlicht 2026-06-29

📖 6 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Sangyeon Yoon, Yeachan Jun, Albert No

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Die Kernidee: „Verlernen“ wird falsch verwendet

Stellen Sie sich vor, Sie haben einen Schüler, der eine riesige Bibliothek an Büchern studiert hat, um ein Experte zu werden. Stellen Sie sich nun vor, eines dieser Bücher wurde gestohlen oder der Autor verlangt, dass es aus dem Gedächtnis des Schülers entfernt wird.

Die Arbeit argumentiert, dass Forscher den Begriff „Machine Unlearning“ (Maschinelles Verlernen) zu locker verwenden. Sie bezeichnen viele verschiedene Dinge als „Verlernen“, aber eigentlich führen sie sehr unterschiedliche Aufgaben aus.

Die Autoren sagen, wir müssen aufhören, diese Begriffe zu vermischen. Wir müssen den strengen Begriff „Machine Unlearning“ für eine ganz spezifische, sehr schwierige Aufgabe reservieren und andere Namen für die leichteren Aufgaben verwenden.

1. Die strikte Definition: „Der Radiergummi“

Was es wirklich bedeutet:
Wahres „Machine Unlearning“ ist wie die Verwendung eines magischen Radiergummis auf einem Gemälde. Sie wollen eine bestimmte Menge an Pinselstrichen (den „Forget Set“) so perfekt entfernen, dass das Gemälde exakt so aussieht, als hätte der Künstler diese Striche nie gemalt.

Der Goldstandard: Um zu beweisen, dass Sie gute Arbeit geleistet haben, müssen Sie Ihr „radiertes“ Gemälde mit einem brandneuen Gemälde vergleichen, das von einem Künstler erstellt wurde, der mit den verbleibenden Büchern von Grund auf neu angefangen hat, ohne das gestohlene Buch jemals gesehen zu haben.
Das Ziel: Die beiden Gemälde müssen ununterscheidbar sein. Wenn der Schüler noch immer ein mathematisches Problem lösen kann, das er nur aus dem gestohlenen Buch gelernt hat, dann hat er nicht wirklich „verlernt“, selbst wenn er die spezifische Frage dazu verweigert.

2. Die Verwirrung: Was Menschen tatsächlich tun

Derzeit behaupten viele Forscher, sie würden „verlernen“, wenn sie in Wirklichskeit eines dieser anderen Dinge tun:

Die „Verweigerung“ (Der Wachhund): Das Modell wird darauf trainiert, „Ich weiß es nicht“ oder „Dazu kann ich keine Antwort geben“ zu sagen, wenn es nach dem verbotenen Thema gefragt wird.
- Analogie: Es ist wie ein Wachhund, der bellt und Sie nicht in den Raum lässt. Der Hund weiß immer noch, dass der Raum existiert, aber er lässt Sie nicht hinein. Der Hund hat den Raum nicht vergessen; er wurde nur darauf trainiert, Sie zu blockieren.
Die „Unterdrückung“ (Die Stummschaltung): Das Modell wird so angepasst, dass es sehr unwahrscheinlich ist, dass es die spezifischen Wörter verwendet, die mit dem verbotenen Thema assoziiert sind.
- Analogie: Es ist, als würde man eine Stummschaltung für ein bestimmtes Wort aktivieren. Das Wort ist immer noch im Wörterbuch, aber der Sprecher ist darauf trainiert, es zu überspringen.
Das „Editieren“ (Das Umschreiben): Dem Modell wird beigebracht, eine neue Tatsache anstelle der alten zu verwenden.
- Analogie: Anstatt die Erinnerung an „Paris ist die Hauptstadt von Frankreich“ zu löschen, überschreiben Sie sie mit „London ist die Hauptstadt“. Die alte Erinnerung könnte noch da sein, nur unter einer neuen begraben.

Das Problem: Forscher behaupten oft, sie hätten etwas „verlernt“, weil das Modell nicht mehr antwortet (der Wachhund hat gebellt). Aber die Autoren sagen, das ist ein Trick. Das Modell könnte das Wissen immer noch tief im Inneren besitzen; es tut nur so, als ob es es nicht wüsste.

3. Die verborgene Gefahr: „Abgeleitete Fähigkeiten“ (Derived Capabilities)

Dies ist der kritischste Teil der Arbeit. Manchmal verleiht das Lernen einer spezifischen Sache eine Superkraft, die über diese eine Tatsache hinausgeht.

Die Analogie: Stellen Sie sich vor, ein Schüler lernt, wie man eine bestimmte Art von Matheaufgabe mit einem gestohlenen Lehrbuch löst. Selbst wenn Sie ihn dazu bringen, die spezifischen Antworten im Buch zu „vergessen“, könnte er dennoch die Logik oder die Denkweise aus dem Lesen der Bücher behalten haben.
Das Risiko: Wenn Sie nur prüfen, ob er die Antworten rezitieren kann (Output Failure), scheitert er vielleicht am Test. Aber wenn Sie ihm eine neue Matheaufgabe stellen, die dieselbe Logik verwendet, könnte er sie immer noch perfekt lösen.
Der Punkt der Arbeit: Wahres „Verlernen“ bedeutet, auch diese Superkraft zu entfernen. Wenn das gestohlene Buch ihm eine Fähigkeit verliehen hat und Sie dieses „verlernen“, sollte er auch diese Fähigkeit verlieren, selbst wenn er dadurch insgesamt etwas schlechter in Mathematik wird. Wenn er die Fähigkeit behält, hat er den Einfluss dieses Buches nicht wirklich verlernt.

4. Warum aktuelle Tests versagen

Die Arbeit weist darauf hin, dass die meisten aktuellen Tests wie Multiple-Choice-Quizzes funktionieren.

Aktueller Test: „Kann das Modell Frage A beantworten?“ Wenn das Modell sagt „Ich weiß es nicht“, sagt der Test: „Super! Du hast es vergessen!“
Der Fehler: Dies testet nur, ob das Modell die Antwort verbirgt. Es testet nicht, ob das Modell das Wissen gelöscht hat.
Die Lösung: Wir müssen das „verlernte“ Modell mit einem „neu trainierten“ Modell vergleichen (demjenigen, der die schlechten Daten nie gesehen hat). Wenn das verlernte Modell bei einer bestimmten Aufgabe immer noch besser ist als das neu trainierte Modell, bedeutet das, dass die „schlechten Daten“ es immer noch beeinflussen.

5. Die Lösung der Autoren: Ein neues Regelwerk

Die Autoren schlagen drei Hauptänderungen vor, um dieses Chaos zu beheben:

Hören Sie auf, „Verlernen“ als Sammelbegriff zu verwenden.
- Wenn Sie das Modell nur dazu bringen, die Antwort zu verweigern, nennen Sie es „Verweigerung“ (Refusal) oder „Unterdrückung“ (Suppression).
- Wenn Sie tatsächlich den Trainingseinfluss entfernen, um einem neu trainierten Modell zu entsprechen, dann nennen Sie es „Machine Unlearning“.
Verwenden Sie ein „Referenzmodell“ für den Vergleich.
- Sie können nicht einfach sagen: „Das Modell hat vergessen.“ Sie müssen sagen: „Das Modell verhält sich exakt wie ein Modell, das ohne diese Daten trainiert wurde.“
- (Die Autoren geben zu, dass das Neu-Trainieren riesiger Modelle teuer ist, aber sie sagen, dass wir entweder das bestmögliche Stellvertretermodell verwenden oder zugeben müssen, dass wir kein wahres Machine Unlearning betreiben).
Testen Sie auf „Superkräfte“ (Abgeleitete Fähigkeiten).
- Fragen Sie das Modell nicht nur dieselben Fragen, auf denen es trainiert wurde. Stellen Sie ihm neue Fragen, die die Fähigkeiten erfordern, die es aus den schlechten Daten gewonnen haben könnte. Wenn es diese neuen Aufgaben immer noch bewältigen kann, ist das Verlernen fehlgeschlagen.

Zusammenfassung

Die Arbeit ist ein Appell für Ehrlichkeit in der Wissenschaft.

Nennen Sie nicht eine „Verweigerung“ (Sagen von „Ich weiß es nicht“) ein „Verlernen“ (Löschen der Erinnerung).
Glauben Sie nicht, dass ein Modell etwas vergessen hat, nur weil es eine Frage nicht beantwortet. Es könnte einfach Verstecken spielen.
Vergleichen Sie Ihre Ergebnisse mit einem Modell, das die schlechten Daten von vornherein nie gesehen hat.
Prüfen Sie, ob das Modell immer noch die „Superkräfte“ besitzt, die es durch die schlechten Daten erworben hat.

Wenn wir diese Terminologie nicht korrigieren, könnten wir glauben, wir seien sicher und konform, während wir in Wirklichkeit nur die Wahrheit verstecken.

Technisches Resümee: „Der Begriff ‚Machine Unlearning‘ wird in LLMs übermäßig verwendet“

Problemstellung
Große Sprachmodelle (LLMs) stehen unter zunehmendem regulatorischem und kommerziellem Druck, spezifische Trainingsdaten zu „vergessen“, getrieben durch Datenschutzrechte (z. B. das Recht auf Vergessenwerden), Urheberrechtsstreitigkeiten und Sicherheitsrichtlinien. Der Begriff „Machine Unlearning“ ist jedoch im Bereich der LLM-Forschung terminologisch überladen. Derzeit wird er breit auf diverse Ziele angewendet, darunter die Verweigerung schädlicher Verhaltensweisen, das Entfernen von Entitäten, die Unterdrückung von Wissen und die Verschleierung von Ausgaben.

Das identifizierte Kernproblem besteht darin, dass diese unterschiedlichen Ziele oft mit denselben Metriken und Benchmarks bewertet werden, obwohl sie grundlegend verschiedene Ziele verfolgen. Viele Methoden, die als „Unlearning“ bezeichnet werden, zielen lediglich darauf ab, bestimmte Ausgaben zu unterdrücken oder bestimmte Abfragen zu verweigern (richtliniengesteuerte Verhaltenskontrolle), anstatt den zugrunde liegenden Einfluss eines spezifischen Datensatz-Subsets zu entfernen. Diese Vermengung führt dazu, dass Evaluierungen oberflächliche Nicht-Offenlegung belohnen (z. B. niedrige ROUGE-Scores oder das Scheitern bei der Beantwortung spezifischer Fragen), während sie daran scheitern zu verifizieren, ob das Modell tatsächlich ununterscheidbar von einem Modell ist, das ohne die betreffenden Daten neu trainiert wurde. Infolgedessen können abgeleitete Fähigkeiten – generalisierbare Fertigkeiten oder Denkstrukturen, die aus dem „Forget Set“ gelernt wurden – bestehen bleiben, selbst wenn die direkte Memorierung unterdrückt wird.

Methodik und Framework
Dieses Positionspapier schlägt keinen neuen Algorithmus oder ein neues experimentelles Framework vor. Stattdessen bietet es einen konzeptionellen Rahmen und eine Taxonomie zur Klärung des Feldes:

Formale Definition von Machine Unlearning: Die Autoren definieren wahres Machine Unlearning streng als ein datensatzdefiniertes Löschproblem. Gegeben sei ein Trainingssatz $D$ und ein Forget Set $F \subset D$ . Das Ziel ist es, ein aktualisiertes Modell $\Theta'$ zu erzeugen, das (annähernd) ununterscheidbar von einem kontrafaktischen Modell $\Theta_R$ ist, das von Grund auf auf $D \setminus F$ neu trainiert wurde. Der Erfolg wird durch die Divergenz zwischen den Verteilungen von $\Theta'$ und $\Theta_R$ gemessen (z. B. via $(\epsilon, \delta)$ -Ununterscheidbarkeit oder anderen Divergenzmetriken), nicht bloß durch das Ausbleiben einer Antwort auf spezifische Prompts.
Taxonomie des „Unlearning“ nach Intention: Das Papier kategorisiert andere häufige Verwendungen des Begriffs in der LLM-Literatur in distinkte Kategorien basierend auf ihren tatsächlichen Garantien:
- Unterdrückung der Ausgabewahrscheinlichkeit (Output Likelihood Suppression): Methoden (z. B. Gradient Ascent, NPO), welche die Wahrscheinlichkeit spezifischer Token oder Antworten reduzieren, ohne eine Äquivalenz zum erneuten Training zu garantieren.
- Obfuskation interner Repräsentationen (Internal Representation Obfuscation): Techniken, die hohe Entropie oder geringes Vertrauen auf gezielte Eingaben induzieren und dadurch interne Aktivierungen verzerren, statt den Einfluss der Daten zu entfernen.
- Wissenseditierung (Knowledge Editing): Ansätze, die spezifische Fakten oder Assoziationen überschreiben (z. B. durch kontrafaktisches Fine-Tuning), um Ausgaben umzulenken, anstatt den Einfluss der ursprünglichen Daten zu entfernen.
- Verhaltensverweigerung (Behavioral Refusal): Strategien, die Modelle darauf trainieren, sich bei spezifischen Abfragen zu enthalten oder mit „Ich weiß es nicht“ zu antworten, was eher als Policy-Alignment denn als Datenlöschung fungiert.
- Interventionen zur Inferenzzeit (Inference-time Interventions): Externe Filter oder Dekodierungsbeschränkungen, die die Offenlegung verhindern, ohne die Modellgewichte zu modifizieren.
Analyse abgeleiteter Fähigkeiten (Derived Capabilities): Das Papier führt das Konzept der „abgeleiteten Fähigkeiten“ ein – Verhaltensweisen oder Kompetenzen (z. B. mathematisches Denkvermögen), die über die spezifischen Beispiele im Forget Set hinaus generalisieren. Es argumentiert, dass, wenn das Training auf $F$ zu einer solchen Fähigkeit beiträgt, ein Modell, das $F$ wirklich unlernt, auch diese Fähigkeit verlieren muss, genau wie ein auf $D \setminus F$ neu trainiertes Modell.

Zentrale Beiträge

Terminologische Klärung: Das Papier plädiert dafür, den Begriff „Machine Unlearning“ ausschließlich der Neu-Trainings-Ununterscheidbarkeits-Garantie vorzubehalten. Es postuliert, dass sicherheits- oder richtliniengetriebene „Vergess“-Aufgaben als distinkte Probleme (z. B. Unterdrückung, Alignment oder Editierung) bezeichnet und evaluiert werden sollten.
Kritik an aktuellen Benchmarks: Die Autoren analysieren führende Benchmarks (TOFU, MUSE, RWKU, WMDP) und zeigen auf, wie viele davon von Retraining-Referenzen weg hin zu Output-Failure-Metriken gewechselt sind. Sie demonstrieren, dass Metriken wie ROUGE oder die QA-Genauigkeit auf Forget-Prompts oft die Kontrolle der Ausgabe messen, statt die Entfernung des Trainingseinflusses, wodurch Methoden erfolgreich erscheinen, während das latente Wissen erhalten bleibt.
Empfehlungen für Evaluationsprotokolle: Das Papier schlägt einen rigorosen Evaluationsstandard für Behauptungen des Machine Unlearnings vor:
- Referenzbasierte Evaluierung: Behauptungen müssen an ein explizites Referenzmodell gekoppelt sein (idealerweise ein auf $D \setminus F$ neu trainiertes Modell oder ein klar definierter Proxy).
- Probes für abgeleitete Fähigkeiten: Evaluierungen müssen Tests für transferierbare Fähigkeiten (z. B. Out-of-Distribution Reasoning Tasks) und interventionsbasierte Wiederherstellungstests (z. B. Prüfung, ob „vergessenes“ Wissen durch benignes Fine-Tuning wiederhergestellt werden kann) enthalten, um sicherzustellen, dass der Trainingseinfluss tatsächlich entfernt wurde.

Ergebnisse und Evidenz
Als Positionspapier präsentiert die Arbeit keine neuen experimentellen Ergebnisse. Stattdessen synthetisiert sie Evidenz aus der bestehenden Literatur, um ihre Argumente zu stützen:

Sie zitiert Vorarbeiten, die zeigen, dass Methoden, die unter festen Prompting-Protokollen erfolgreich erscheinen, unter adversen Bedingungen (Paraphrasierung, Jailbreaks) oder bei benignem Post-Processing (Quantisierung, Fine-Tuning) oft scheitern, was darauf hindeutet, dass Wissen unterdrückt, aber nicht unlernt wurde.
Es hebt Fälle hervor, in denen „Unlearning“-Methoden daran scheitern, induzierte Verhaltensweisen in Data-Poisoning-Szenarien zu entfernen, was die Lücke zwischen Output-Unterdrückung und Einflussentfernung weiter verdeutlicht.
Es demonstriert, dass aktuelle Benchmarks oft die notwendige Retraining-Baseline vermissen lassen, um zwischen einem Modell, das Daten wirklich vergessen hat, und einem Modell, das lediglich gelernt hat, spezifische Abfragen zu verweigern, zu unterscheiden.

Bedeutung und Ansprüche
Das Papier behauptet, dass die aktuelle terminologische Verwirrung nicht nur kosmetischer Natur ist, sondern signifikante praktische und wissenschaftliche Konsequenzen hat. Durch die Vermengung von richtliniengesteuerter Verhaltenskontrolle mit datensatzdefinierter Löschung riskiert das Feld:

Irreführende Benchmarks: Belohnung von oberflächlicher Nicht-Offenlegung bei gleichzeitiger Ignoranz gegenüber persistierendem Trainingseinfluss und abgeleiteten Fähigkeiten.
Inkompatible Vergleiche: Die Unmöglichkeit, Methoden zu vergleichen, die unter demselben Label unterschiedliche Garantien beanspruchen.
Compliance-Risiken: Nichterfüllung der strengen Anforderungen regulatorischer Löschung (die oft die Entfernung des Einflusses erfordert, nicht nur die Unterdrückung der Ausgabe).

Die Autoren kommen zu dem Schluss, dass die Lösung dieser Verwirrung eine strengere Terminologie erfordert, die an explizite Garantien und Referenzmodelle gebunden ist. Sie plädieren dafür, dass Evaluierungen dem behaupteten Ziel entsprechen müssen: Wenn das Ziel Machine Unlearning ist, muss die Evaluierung die Ununterscheidbarkeit von einem neu trainierten Modell nachweisen, einschließlich des Verlusts jeglicher auf das Forget Set zurückführbarer abgeleiteter Fähigkeiten. Wenn das Ziel Richtlinienkonformität oder Output-Unterdrückung ist, sollten diese als distinkte Ziele gerahmt und evaluiert werden.