Résumé technique : N'oubliez pas vos plongements : Effacement robuste des connaissances via l'édition précise des plongements (embeddings)

Énoncé du problème

Alors que les modèles de langage (LM) sont de plus en plus déployés, la capacité d'effacer de manière permanente des connaissances spécifiques (par exemple, des données privées, du contenu protégé par le droit d'auteur ou des sujets sensibles pour la sécurité) est cruciale. Les méthodes d'effacement persistant existantes se concentrent principalement sur la mise à jour des paramètres du modèle, spécifiquement au sein des couches de perceptrons multicouches (MLP), en utilisant souvent des auto-encodeurs clairsemés (SAE) ou le pilotage de poids (weight steering). Cependant, ces méthodes échouent fréquemment à produire un effacement robuste. La connaissance cible reste souvent récupérable via un prompting adversaire ou un réapprentissage (fine-tuning sur des données liées au concept), et l'efficacité de l'effacement dépend souvent de la forme (échouant à se généraliser du choix multiple à la génération ouverte).

Les auteurs émettent l'hypothèse que ces limitations découlent du fait que les techniques existantes négligent la couche de plongement de jetons (token embedding layer). Bien que les MLP soient connus pour jouer un rôle clé dans le rappel de connaissances, les LM encodent également une partie non négligeable de leurs connaissances directement dans leurs plongements de jetons. Ignorer cette couche laisse une voie par laquelle le modèle peut « réapprendre » les concepts effacés et force les méthodes existantes à compter sur des mises à jour de paramètres agressives et larges qui dégradent l'utilité globale du modèle.

Méthodologie : EMBER

Le papier présente EMBER (EMBedding ERasure), un module « plug-and-play » conçu pour éditer précisément les plongements de jetons afin d'augmenter les méthodes d'effacement existantes axées sur les MLP. EMBER suit une approche de type « localiser puis éditer » composée de trois étapes :

1. Factorisation de matrice parcimonieuse (Sparse MF) pour la localisation des caractéristiques :
   Au lieu d'utiliser des SAE, EMBER applique une factorisation de matrice parcimonieuse directement à la matrice de plongement $E$. Elle décompose les plongements d'un ensemble spécifique de jetons (ceux apparaissant dans des phrases liées au concept et neutres) en un dictionnaire de facteurs $Z$ (caractéristiques d'embedding) et une matrice de coefficients $Y$.

   • Contrainte de parcimonie : Pour garantir que les caractéristiques correspondent à des concepts localisés et interprétables, une contrainte de type « winner-takes-all » (WTA) est appliquée aux coefficients $Y$, ne conservant que les 1 % des magnitudes les plus élevées par facteur. Cela force la factorisation à identifier des caractéristiques partagées par de petits sous-ensembles spécifiques de jetons.

2. Identification des caractéristiques liées au concept :
   La méthode évalue les caractéristiques récupérées pour distinguer les caractéristiques spécifiques au concept des caractéristiques générales. Elle calcule une statistique de ratio de masse comparant la contribution d'une caractéristique aux jetons étiquetés comme liés au concept par rapport aux jetons neutres. Les caractéristiques présentant un ratio élevé sont ensuite filtrées par un « LLM-as-a-judge » pour vérifier que les jetons associés correspondent sémantiquement au concept cible.

3. Effacement précis par soustraction :
   Une fois les caractéristiques liées au concept ($F_C$) identifiées, EMBER soustrait leur contribution des plongements des jetons pertinents. Pour un plongement de jeton $e_t$, la mise à jour est :
   $$e_t \leftarrow e_t - \delta \sum_{i \in F_C} Y_{i,t} z_i$$
   où $\delta$ est un hyperparamètre de force. Cette opération supprime la composante spécifique au concept tout en laissant le reste du plongement intact. La méthode est appliquée uniquement aux jetons qui possèdent des coefficients non nuls pour les caractéristiques de concept identifiées.

EMBER est conçu pour être combiné avec les méthodes d'effacement existantes basées sur les MLP (par exemple, RMU, CRISP, SNF) afin de créer un ensemble qui cible à la fois la couche d'embedding et les couches MLP.

Principales contributions

• Identification du goulot d'étranglement des embeddings : Le papier fournit la première étude empirique établissant la couche d'embedding comme un goulot d'étranglement critique pour un effacement robuste des concepts. Il démontre qu'ignorer les embeddings permet au modèle de récupérer plus facilement les connaissances effacées.
• Algorithme EMBER : Une nouvelle méthode utilisant la factorisation de matrice parcimonieuse pour désenchevêtrer et supprimer précisément les caractéristiques liées aux concepts des plongements de jetons sans nécessendre de fine-tuning complet du modèle.
• Augmentation Plug-and-Play : EMBER est montré comme étant compatible avec les cadres d'effacement existants, améliorant considérablement leurs performances sans nécessiter de refonte complète du pipeline d'effacement.

Résultats expérimentaux

Les auteurs ont évalué EMBER sur Gemma-2-2B-it et Llama-3.1-8B-Instruct sur 18 concepts divers (allant d'œuvres de fiction comme Harry Potter à des sujets de sécurité comme le Cannabis).

• Efficacité et spécificité : L'augmentation des méthodes existantes (RMU, CRISP, SNMF) avec EMBER améliore systématiquement l'efficacité de l'effacement (diminution de la précision du concept) et la spécificité (maintien des performances sur des domaines similaires et MMLU).
• Robustesse au réapprentissage : C'est le gain principal. EMBER réduit considérablement la capacité du modèle à réapprendre les concepts effacés.
  • Sur Llama-3.1, la précision du réapprentissage pour les méthodes précédentes (RMU, CRISP) est passée de 70 %–76 % à 35 % lorsqu'elle est combinée avec EMBER (une réduction d'environ 50 %).
  • Sur Gemma, la précision du réapprentissage a été réduite de 16 %–24 %.
  • Le pipeline complet basé sur la MF (SNMF + EMBER) a obtenu la précision de réapprentissage la plus faible (35 % sur Llama), surpassant de manière significative les baselines.
• Cohérence et localisation : Le coût pour la cohérence de la génération est minimal. L'analyse montre qu'EMBER modifie au plus 0,14 % du vocabulaire par concept. La dégradation de la cohérence est hautement localisée aux jetons « exclusifs au concept » (par exemple, « Hogwarts » lors de l'effacement de Harry Potter), tandis que les jetons généraux (par exemple, « Harry » dans le contexte de Prince Harry) restent largement inchangés.
• Généralisation : Bien que les hyperparamètres aient été ajustés sur des tâches de choix multiple (MC), les améliorations se transfèrent efficacement aux questions à réponse ouverte (OE), suggérant que les éditions ciblent les connaissances conceptuelles plutôt que des raccourcis spécifiques au format.

Signification et affirmations

Le papier affirme que l'édition précise et ciblée de la matrice d'embedding est fondamentale pour parvenir à un effacement robuste des concepts. En déplaçant l'attention au-delà de la vision centrée sur les MLP des travaux précédents, EMBER traite le problème de l'« effacement superficiel » où la connaissance est simplement supprimée plutôt qu'éliminée.

Les auteurs concluent que :

1. Les interventions au niveau des embeddings sont nécessaires pour empêcher les attaques de réapprentissage.
2. Les méthodes d'effacement existantes peuvent être considérablement améliorées en les augmentant d'éditions au niveau des embeddings.
3. Le compromis entre l'efficacité de l'effacement et l'utilité du modèle (cohérence) peut être amélioré en localisant les éditions sur des caractéristiques spécifiques au concept plutôt qu'en appliant des mises à jour de poids larges.

Ce travail établit une nouvelle direction pour l'édition de modèles, soulignant que la couche d'embedding est un lieu de stockage des connaissances vital, bien que précédemment sous-exploré, qui doit être adressé pour les applications de sécurité et de conformité.