Can LLMs Truly Forget? Revealing Unlearning Gaps Through Adversarial Evaluation
Diese Arbeit offenbart eine signifikante Lücke zwischen Standardmetriken für saubere Abfragen und der adversariellen Robustheit beim maschinellen Unlearning, indem sie demonstriert, dass Fine-Tuning-Methoden unter konventioneller Evaluierung zwar erfolgreich Daten zu vergessen scheinen, gezielte Informationen jedoch durch strategisches Prompting hochgradig wiederherstellbar bleiben, wodurch die kritische Notwendigkeit von adversariellen Stresstests hervorgehoben wird, um wahres Unlearning zu gewährleisten.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich eine Bibliothek vor, in der jedes Buch die Summe des menschlichen Wissens enthält, aber einige Seiten Geheimnisse bergen, die gelöscht werden müssen: private Adressen, veraltete medizinische Ratschläge oder geschützte Formeln. In der digitalen Welt fungieren Systeme der künstlichen Intelligenz als diese riesigen Bibliotheken, die auf enormen Textsammlungen trainiert wurden. Wenn ein Nutzer einen Computer bittet, eine bestimmte Information zu „vergessen“, ist das Ziel, diese Daten so gründlich zu entfernen, dass die Maschine sie nicht mehr abrufen kann, während sie gleichzeitig alles andere behält. Dieser Prozess, bekannt als maschinelles Entlernen (Machine Unlearning), ist entscheidend für Privatsphäre und Sicherheit. Doch eine anhaltende Frage hat Forscher schon lange verfolgt: Wenn ein Computer sagt, er habe etwas vergessen, kann man ihm dann wirklich vertrauen? Oder ist die Information lediglich verborgen und wartet darauf, durch eine geschickte Frage wieder aufgedeckt zu werden?
Ein Team von Forschern der University of Massachusetts Amherst und der Microsoft Corporation machte sich daran, dies zu beantworten, indem sie die Grenzen dessen testeten, wie gut diese digitalen Bibliotheken tatsächlich vergessen können. Sie konzentrierten sich auf eine spezifische Art von Modell der künstlichen Intelligenz, das darauf trainiert ist, Anweisungen zu befolgen und Fragen zu beantworten. Das Team wollte sehen, ob die Standardtests, die verwendet werden, um das Vergessen zu messen, ausreichten oder ob sie eine entscheidende Schwachstelle übersahen. Um dies zu tun, entwarfen sie ein kontrolliertes Experiment unter Verwendung eines Datensatzes aus erfundenen Biografien von Autoren. Sie brachten dem Modell bei, diese fiktiven Autoren zu kennen, und versuchten dann, es dazu zu bringen, bestimmte davon zu vergessen. Sie testeten zwei Hauptmethoden des Vergessens: Eine Methode versuchte, das Gedächtnis zu unterdrücken, indem die Art und Weise geändert wurde, wie das Modell eine Frage gestellt wird, und eine andere Methode versuchte, die internen Verbindungen des Modells tatsächlich umzuverdrahten, um das Gedächtnis zu löschen.
Die Forscher führten zuerst die Standardtests durch, bei denen dem Modell einfache, direkte Fragen über die Informationen gestellt werden, die es eigentlich vergessen sollte. Unter diesen ruhigen, nicht-adversariellen Bedingungen schienen mehrere der Methoden perfekt zu funktionieren. Die Modelle erzielten sehr hohe Punktzahlen, was darauf hindeutete, dass sie die gezielten Fakten erfolgreich gelöscht hatten. Eine Methode im Besonderen schien die Information fast vollständig vergessen zu haben, mit einer Punktzahl, die auf einen nahezu totalen Erfolg hindeutete. Es sah so aus, als sei der Datensatz endgültig verschwunden.
Doch das Team hörte dort nicht auf. Sie vermuteten, dass ein Modell zwar einer einfachen Frage widerstehen kann, aber durch eine komplexere Frage getäuscht werden könnte. Um dies zu testen, starteten sie eine Serie strategischer Angriffe. Anstatt direkt zu fragen, nutzten sie ein „Hacker“-Programm, um hunderte von hinterlistigen Prompts zu generieren, die darauf ausgelegt waren, die Verteidigung des Modells zu umgehen. Diese Prompts beinhalteten Rollenszenarien, in denen das Modell gebeten wurde, einen Experten zu spielen, Anweisungen, die versuchten, seine Sicherheitsregeln zu überschreiben, sowie Fragen, die hypothetisch oder indirekt formuliert waren. Sie versuchten auch, dieselben Fragen in verschiedenen Sprachen zu stellen, um zu sehen, ob das Modell Fehler macht, wenn sich die Sprache ändert.
Die Ergebnisse offenbarten eine erschreckende Lücke zwischen dem, was die Standardtests zeigten, und dem, was tatsächlich geschah. Während die Modelle die einfachen Tests mit Bravour bestanden, scheiterten sie kläglich an den strategischen Angriffen. Die Forscher fanden heraus, dass selbst die Modelle, die behaupteten, die Information vergessen zu haben, dazu verleitet werden konnten, sie wieder preiszugeben. Tatsächlich gaben die Modelle bei diesen geschickten Prompts die geheimen Informationen in mehr als zweiundsiebzig Prozent der Versuche preis. Bei einigen Methoden war die Fehlerrate fast so hoch wie bei dem Modell, das überhaupt nicht darauf trainiert worden war, zu vergessen. Die Information war nicht weg; sie lag nur im Verborgenen und wartete auf den richtigen Schlüssel, um sie zu entsperren.
Das Team stellte auch fest, dass die Art und Weise, wie die Frage gestellt wurde, eine enorme Rolle spielte. Direkte Fragen waren manchmal leichter zu widerstehen, aber Prompts, die Autoritätspersonen nutzten, das Modell baten, einen Satz zu vervollständigen, oder die Anfrage als hypothetisches Szenario formulierten, waren weita viel effektiver darin, das Gedächtnis des Modells zu brechen. Interessanterweise hielten sich die Modelle wesentlich besser, wenn die Forscher die Fragen einfach in andere Sprachen wie Deutsch, Spanisch oder Japanisch übersetzten, ohne dabei hinterlistiges Framing hinzuzufügen, wobei sie die Informationen in weniger als drei Prozent der Fälle preisgaben. Dies deutet darauf hin, dass die Verwundbarkeit nicht allein an der Sprache liegt, sondern an der spezifischen Struktur des Tricks, mit dem die Frage gestellt wird.
Um sicherzustellen, dass ihre Ergebnisse korrekt waren, ließen die Forscher einen menschlichen Experten eine kleine Stichprobe der Antworten des Modells überprüfen. Sie fanden heraus, dass das automatisierte System, das die Informationslecks bewertete, weitgehend korrekt arbeitete und in sieben von zehn Fällen mit dem menschlichen Urteil übereinstimmte. Obwohl das automatisierte System gelegentlich Fehler machte – indem es manchmal eine falsche Antwort als Leak markierte oder einen korrekten übersah – lieferte es ein zuverlässiges Signal dafür, dass die Information tatsächlich wiederhergestellt wurde. Dies bestätigte, dass die hohe Erfolgsrate der Angriffe real war und nicht bloß ein Fehler in der Testsoftware.
Die Studie kommt zu dem Schluss, dass die derzeitige Art und Weise, zu testen, ob eine Maschine etwas vergessen hat, unzureichend ist. Ein Modell kann auf einem Standard-Zeugnis perfekt aussehen und dennoch gefährlich anfällig für einen entschlossenen Angreifer sein. Die Forscher argumentieren, dass wir uns nicht auf einfache, saubere Fragen verlassen können, um zu beweisen, dass Daten entfernt wurden. Stattdessen müssen wir diese Systeme mit der gleichen Art von geschickter, strategischer Fragestellung testen, die ein realer Angreifer verwenden würde. Bis wir beweisen können, dass ein Modell nicht durch Tricks dazu gebracht werden kann, seine Geheimnisse preiszugeben, können wir nicht sicher sein, dass es sie wirklich vergessen hat. Die Kluft zwischen dem Erscheinen des Vergessens und dem tatsächlichen Vergessen bleibt groß, und die Überbrückung dieser Kluft wird neue Wege erfordern, um diese leistungsstarken digitalen Geister zu testen und aufzubauen.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.