Probe Choice Changes Canary-Memorization Verdicts: Three Post-Hoc Disagreement Case Studies in a Text-Dominant LoRA-Tuned Autoregressive Testbed

技術要約：プローブの選択がカナリー記憶（Canary-Memorization）の判定を左右する

問題提起
本論文は、自己回帰型生成モデルにおける記憶（memorization）の評価における極めて重要な信頼性の問題を取り上げている。すなわち、評価に使用するプローブ（探針）の選択によって、特定の学習データ（カナリー）をモデルが記憶しているかどうかの判定が根本的に変わってしまうという問題である。現在、この分野では、切り詰められたプレフィックス・ウィンドウの平均負の対数尤度（NLL）、全スパンのシークレットNLL、あるいは行動的な完全一致想起（behavioral exact-recall）といったプローブに依存しているが、本研究はこれらの指標が必ずしも一致しないことを実証している。具体的には、標準的な内部規定プローブ（固定のプレフィックス・ウィンドウ $K=20$ を用いた $\Delta\text{NLL}_{\text{mean}20}$）が、制御されたLoRAチューニングのテストベッドにおいて、全スパンのシークレットNLLや行動的な完全一致想起（hit@1）とどのように不一致を起こすかを調査している。中心となる懸念は、単一のウィンドウ化されたプローブに無批判に依存することで、偽陰性（記憶の見落とし）や偽陽性（非シークレット部分への帰属による誤判定）が生じ、汎化と記憶の区別に関する結論を混乱させる可能性があることである。

手法
著者らは、凍結されたビジョン・タワーと学習可能な言語タワーを持つ Qwen2.5-VL-7B バックボーンを用いた、制御された記憶評価テストベッドを構築した。

• カナリー注入: 「Canary LoRA」（$r=32, \alpha=64$）を介して、20個の画像カナリーと20個のテキストカナリーをモデルに注入する。テキストカナリーは、特定のテンプレート（例：TEXTCAN-{16hex}-END）と固定のプレースホルダー画像で構成される。
• 良性微調整（bSFT）: カナリーがマージされたベースモデルの上に、2つ目のLoRA（$r=16, \alpha=32$）をスタックする。このbSFTは、カナリー文字列を明示的に除外した4つのデータソース（GUI, SYNTH, SAFETY, RANDOM）のいずれかで学習される。このセットアップは、「スタックLoRA」体制を通じて、良性微調整が記憶を再活性化させるか、あるいはプローブの信号を変化させるかをテストするためのものである。
• プローブの定義: 本研究では、以下の3つの異なるプローブを比較する。
  1. $\Delta\text{NLL}_{\text{mean}20}$: 最初の20トークンにおける平均NLLの変化（標準的な内部規定プローブ）。
  2. $\Delta\text{NLL}_{\text{hex}}$: 全13トークンのシークレット・ヘックス・スパンにおけるNLLの変化（テール・トークンを捉えるために $K=30$ のフォワードパスを用いて評価）。
  3. 行動的 hit@1: グリーディ・デコーディングの出力がシークレット文字列と完全に一致するカナリーの割合。
• 実験範囲: 研究は34のbSFTセル（102のシードレベルの実行）を集計し、学習不足のコントロールおよびマッチド・ノルムのLoRA-NOISEコントロールを含んでいる。分析は、プローブ間で不一致が見られた事後解析のケーススタディに焦点を当てている。

主要な貢献
本論文は新しい記憶指標を提案するのではなく、既存の指標に対するテンプレート特有の監査を提供するものである。主な貢献は以下の通りである。

1. プローブの不一致の特定: 標準的な $K=20$ 平均NLLプローブが、全スパンNLLや行動的想起と矛盾する判定を下す3つの明確な事後ケーススタディを記録した。
2. メカニズムの分解: これらの不一致を、特定のトークン位置またはベースライン・レジームのメカニズムに帰属させた。
   • ウィンドウの切り詰め（偽陰性）: $K=20$ ウィンドウの外側で発生する損傷。
   • 非シークレット・スパンのドリフト（偽陽性）: シークレット・スパンではなく、前置詞（preamble）トークンによって駆動されるプローブの変動。
   • 学習不足コントロールの曖昧性: デコイ・プローブなしでは、シークレット特有の学習と区別できない、学習不足のベースラインにおけるNLLの低下。
3. 評価プロトコルの推奨事項: これらの落とし穴を避けるためのマルチメトリックな報告基準を提案する。

結果：3つのケーススタディ
監査の結果、Qwen2.5-VL-7B テストベッドにおいて3つの具体的な失敗モードが明らかになった。

• ケース1 (C3): ウィンドウの切り詰めによる希薄なテール・トークンの脆弱性の見落とし。

  • 観察: $\Delta\text{NLL}_{\text{mean}20}$ は平坦（+0.0001）であるが、hit@1 は 1.00 から 0.88 に低下し、全スパンの $\Delta\text{NLL}_{\text{hex}}$ は正の値（+0.0133）を示す。
  • メカニズム: 損傷は最後のヘックス・トークン（位置23）に集中しており、これは $K=20$ ウィンドウの外側に位置する。標準的なプローブはこの希薄で、グリーディ・デコード特有の失敗に対して「盲目」である。
  • 証拠: 60件のグリーディ失敗のうち、7件が20個のカナリーのうち3個で発生しており、すべて最後の1〜2文字のヘックス・キャラクターによるエラーであった。

• ケース2 (C4): 非シークレット・スパンのドリフト（偽陽性）。

  • 観察: $\Delta\text{NLL}_{\text{mean}20}$ は顕著な正のシフト（+0.0150）を示し、記憶を示唆しているが、$\Delta\text{NLL}_{\text{hex}}$ は無視できる程度（+0.0004）であり、hit@1 は 1.00 のままである。
  • メカニズム: スパンごとの分解により、プローブの変動の約99%が非シークレットの前置詞トークンで発生していることが判明した。シークレット・スパン自体には変化はない。
  • 証拠: bSFT-LoRAをベースの重みにマージすると信号が崩壊することから、このドリフトは評価スタックに依存したものであり、真のシークレット・スパンの効果ではないことが示された。

• ケース3 (C5): 曖昧な学習不足によるイン・ウィンドウNLLの低下。

  • 観察: 学習不足のベースラインにおいて $\Delta\text{NLL}_{\text{mean}20}$ が負の値（-0.0070）を示しており、解釈によっては「忘却」または「再活性化」を示唆する。しかし、全スパンの $\Delta\text{NLL}_{\text{hex}}$ は正（+0.0076）であり、hit@1 は 0 である。
  • メカニズム: ウィンドウ内のNLL低下は $K=20$ 以内のヘックス・トークンに局在しているが、全スパンの信号は正である。デコイ・プローブ（シャッフルされたヘックスや誤ったシークレット）がない限り、シークレット特有の学習と、一般的なフォーマット・プライアの平滑化（smoothing）やテンプレート適応を区別することは不可能である。
  • 証拠: 負の $\text{mean}20$ は、シークレットの回復と非シークレットの平滑化の両方と矛盾しない。学習不足のレジームでは、逐語的な hit@1 > 0 は観察されなかった。

意義と主張
本論文は、その知見が（普遍的な集団に関する主張ではなく）テストされたバックボーン（Qwen2.5-VL-7B）および構成に特有のものであると控えめに主張している。しかし、失敗モードは名前付け可能であり、実行可能であると論じている。

• 評価の信頼性: 単一の切り詰められたウィンドウ（$K=20$ など）に依存することは、堅牢な記憶監査には不十分である。プローブの選択によって、基礎となるモデルの挙動に変化がないにもかかわらず、判定が「記憶あり」から「記憶なし」（またはその逆）へと反転し得る。
• プロトコルの推奨事項: 監査の堅牢性を確保するため、本論文は将来の監査において以下を報告することを推奨している。
  1. 全スパンのシークレットNLL（ウィンドウの切り詰めエラーを避けるため）。
  2. スパン局所的な分解（前置詞のドリフトとシークレットの損傷を区別するため）。
  3. $k \ge 4$ における行動的完全一致想起（グリーディ・デコーディングが見逃す希薄なテール・トークンの脆弱性を検出するため）。
  4. デコイ・プローブ（シャッフルされたもの、または誤ったシークレットのコントロール）を用いて、シークレット特有の学習である前にフォーマット・プライアの平滑化を排除すること。

本研究は、警告的な監査として機能しており、「汎化 vs 記憶」の結論が、使用される特定のプローブ・ウィンドウおよび分解戦略に敏感であることを示している。