💬 NLP

SAEs Can Improve Unlearning: Dynamic Sparse Autoencoder Guardrails for Precision Unlearning in LLMs

Dit artikel introduceert Dynamic SAE Guardrails (DSG), een nieuwe unlearning-methode die gebruikmaakt van dynamische Sparse Autoencoders om de computationele, stabiliteits- en interpreteerbaarheidsbeperkingen van traditionele gradiëntgebaseerde benaderingen te overwinnen, waarbij superieure precisie en robuustheid wordt bereikt bij het verwijderen van ongewenste kennis uit LLM's.

Oorspronkelijke auteurs: Aashiq Muhamed, Jacopo Bonato, Mona Diab, Virginia Smith

Gepubliceerd 2026-09-09

📖 6 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Aashiq Muhamed, Jacopo Bonato, Mona Diab, Virginia Smith

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Grote taalmodellen zijn krachtige instrumenten die hebben geleerd te spreken, te redeneren en te creëren door enorme hoeveelheden tekst van het internet te bestuderen. Deze training betekent echter ook dat ze soms informatie absorberen die er niet zou moeten zijn, zoals gevaarlijke instructies voor het maken van wapens, privépersoonlijke gegevens of auteursrechtelijk beschermde verhalen. Wanneer dit gebeurt, staan ontwikkelaars voor een moeilijk probleem: hoe verwijder je die specifieke ongewenste kennis zonder het vermogen van het model om alles te doen waar het goed in was, te breken. De standaardmanier om dit op te lossen is geweest door het model opnieuw te trainen, in essentie het model leren te vergeten door de interne wiskunde aan te passen. Maar dit proces is ongelooflijk duur, traag en vaak instabiel, waarbij het model soms nuttige vaardigheden verliest samen met de slechte. Een nieuwer idee houdt in dat men in het model kijkt om specifieke patronen van activiteit te vinden die overeenkomen met de ongewenste kennis en deze patronen simpelweg uit te zetten, maar vroege pogingen tot dit waren onhandig en veroorzaakten meer schade dan goed.

Een team onderzoekers heeft nu een veel scherper instrument voor deze taak ontwikkeld, genaamd Dynamic SAE Guardrails. Hun werk laat zien dat het mogelijk is om gevaarlijke of ongewenste informatie op een chirurgische manier uit een taalmodel te verwijderen, terwijl de algemene intelligentie ervan volledig intact blijft. In plaats van te proberen het hele brein van het model te herschrijven door middel van zware hertraining, werkt hun methode als een slim filter dat toekijkt naar wat het model denkt in realtime. Wanneer het model begint toegang te krijgen tot een specife stukje verboden kennis, blokkeert het systeem dat pad onmiddellijk. Als het model over iets veiligs praat, blijft het filter open en stroomt het gesprek natuurlijk. Deze aanpak is niet alleen effectiever in het verwijderen van de slechte data, maar is ook veel goedkoper en stabieler dan de vorige methoden, wat een manier biedt om kunstmatige intelligentie veilig te houden zonder de bruikbaarheid op te offeren.

De onderzoekers bouwden hun systeem rond een concept genaamd een sparse autoencoder, die fungeert als een vertaler die de complexe interne gedachten van het model afbreekt in eenvoudige, begrijpelijke delen. Stel je het brein van het model voor als een enorme bibliotheek waar elk boek is geschreven in een code die moeilijk te lezen is. De sparse autoencoder is een apparaat dat die code vertaalt naar een lijst van duidelijke, onderscheidende onderwerpen. De onderzoekers ontdekten dat bepaalde onderwerpen in deze lijst direct gelinkt zijn aan de gevaarlijke informatie die ze wilden verwijderen. In het verleden probeerden wetenschappers deze onderwerpen te verstommen door ze uit te zetten wanneer ze verschenen, ongeacht de context. Dit was als het sluiten van een specifieke gang in een bibliotheek telkens wanneer er een boek over biologie werd genoemd, zelfs als iemand alleen naar gezond eten vroeg. Deze botte aanpak ruïneerde vaak het vermogen van het model om onschuldige vragen te beantwoorden.

De doorbraak in dit nieuwe werk was het dynamisch maken van het systeem. In plaats van de onderwerpen permanent te verstommen, creëerden de onderzoekers een slimme classifier die de context van elke vraag controleert. Voordat het model antwoordt, berekent het systeem hoeveel de huidige vraag leunt op de verboden onderwerpen. Als de vraag duidelijk over het gevaarlijke onderwerp gaat, grijpt het systeem in en blokkeert het de specifieke paden die het model zou gebruiken om te antwoorden. Als de vraag veilig is, doet het systeem niets, waardoor het model zijn volledige kennis kan gebruiken. Deze conditionele aanpak betekent dat het model nog steeds over biologie, cybersecurity of elk ander onderwerp kan praten, zolang het gesprek niet over de specifieke schadelijke details gaat die de onderzoekers wilden wissen.

Om te testen of deze methode werkte, gebruikte het team een benchmark genaamd WMDP, die vragen bevat over biologische wapens en cyberaanvallen. Ze trainden een model op deze gevaarlijke onderwerpen en pasten vervolgens hun nieuwe systeem toe om die kennis te verwijderen. De resultaten waren opmerkelijk. De nieuwe methode verminderde het vermogen van het model om vragen over biologische wapens te beantwoorden met meer dan de helft vergeleken met de beste eerdere technieken, waarbij de nauwkeurigheid daalde van 50 procent naar ongeveer 30 procent. Tegelijkertijd bleef het vermogen van het model om algemene vragen over geschiedenis, geografie en wetenschap te beantwoorden bijna perfect, waarbij het boven de 99 procent bleef. In contrast hiermee faalden de oudere methoden ofwel in het voldoende verwijderen van de gevaarlijke kennis, ofwel veroorzaakten ze dat het model zijn algemene vaardigheden verloor. De onderzoekers testten het systeem ook op een andere set uitdagingen met betrekking tot privacy en geheugen, waarbij het opnieuw de bestaande methoden overtrof door ongewenste herinneringen te verwijderen terwijl het nut van het model hoog hield.

Een van de meest significante voordelen van deze aanpak is de veerkracht tegen pogingen om het onleren ongedaan te maken. In de wereld van kunstmatige intelligentie is er een risico dat iemand een "schoongemaakt" model kan nemen en het opnieuw kan trainen om de slechte kennis terug te brengen. De onderzoekers ontdekten dat omdat hun systeem werkt door specifieke patronen van activiteit te blokkeren in plaats van alleen de gewichten van het model te veranderen, het veel moeilijker te keren is. Toen ze probeerden het model opnieuw te trainen om de verboden informatie te onthouden, bleef het systeem de paden blokkeren, waardoor het model moest worstelen en faalde om de kennis te herstellen. Dit suggereert dat de bescherming dieper en duurzamer is dan eerdere methoden.

Het team heeft ook aangetoond dat dit systeem ongelooflijk efficiënt is. Waar traditionele methoden uren durende, dure computertijd vereisen om het model voor elk nieuw stukje informatie dat verwijderd moet worden opnieuw te trainen, vereist deze nieuwe methode slechts een snelle controle voordat het model een vraag beantwoordt. De extra tijd die het kost om het filter te draaien is verwaarloosbaar en voegt slechts een fractie van een seconde toe aan de reactietijd. Bovendien is het systeem robuust; het vereist geen constante fijnafstemming van complexe instellingen om goed te werken, wat het praktisch maakt voor gebruik in de echte wereld. De onderzoekers toonden zelfs aan dat het systeem kan werken zonder enige specifieke trainingsdata, simpelweg door menselijke beschrijvingen van de onderwerpen te gebruiken om de juiste patronen te identificeren die geblokkeerd moeten worden. Dit betekent dat de methode snel ingezet kan worden om modellen te beschermen tegen nieuwe soorten schadelijke kennis zonder eerst grote datasets te hoeven verzamelen.

Uiteindelijk vertegenwoordigt dit werk een verschuiving in hoe we denken over het controleren van kunstmatige intelligentie. In plaats van onleren te zien als een zwaar, destructief proces dat het risico loopt het model te breken, hebben de onderzoekers laten zien dat het een precieze, lichtgewicht en interpreteerbare operatie kan zijn. Door precies te begrijpen welke delen van het denken van het model overeenkomen met specifieke kennis, kunnen ze vangrails bouwen die de samenleving beschermen tegen schade zonder het potentieel van de technologie te beperken. De resultaten suggereren dat we modellen kunnen hebben die zowel hoogwaardig in staat als strikt veilig zijn, mits we de juiste instrumenten hebben om hen te leiden.

Technische Samenvatting: Dynamische SAE Guardrails voor Precisie-unlearning in LLM's

Probleemstelling

Machine unlearning beoogt specifieke ongewenste kennis (de forget set, $D_{forget}$ ) te verwijderen uit getrainde Large Language Models (LLM's), zodat het resulterende model ononderscheidbaar is van een model dat alleen getraind is op de retain set ( $D_{retain}$ ). Hoewel gradiëntgebaseerde unlearning-methoden (bijv. Gradient Ascent, RMU, NPO) wijdverspreid zijn, lijden zij aan significante beperkingen:

Computationele kosten: Ze vereisen dure backward passes en fine-tuning.
Instabiliteit: Ze vertonen hyperparametergevoeligheid en verslechteren vaak onder sequentiële unlearning-verzoeken.
Kwetsbaarheid: Ze zijn vatbaar voor relearning-aanvallen waarbij tegenstanders het model fine-tunen om vergeten kennis te herstellen.
Interpretabiliteit: Ze missen transparantie over welke interne mechanismen worden gewijzigd.
Data-efficiëntie: Ze vereisen vaak aanzienlijke hoeveelheden forget- en retain-data om effectief te functioneren.

Eerdere pogingen om Sparse Autoencoders (SAEs) te gebruiken voor unlearning (bijv. Farrell et al., 2024) vertrouwden op statische feature clamping. Deze benaderingen presteerden vaak minder goed dan gradiëntgebaseerde methoden omdat ze interventies universeel toepasten telkens wanneer een feature activeerde, wat onbedoelde bijwerkingen veroorzaakte op de algemene bruikbaarheid van het model en er niet in slaagde om relevante van irrelevante contexten te onderscheiden.

Methodologie: Dynamic SAE Guardrails (DSG)

De auteurs stellen Dynamic SAE Guardrails (DSG) voor, een nieuwe, op activatie gebaseerde unlearning-methode die gebruikmaakt van de interpreteerbaarheid van SAE's door middel van een dynamische, contextbewuste interventiestrategie. DSG werkt zonder de modelgewichten te wijzigen, maar manipuleert in plaats daarvan de SAE-featureactivaties tijdens de inferentie.

1. Causaal Kader en Feature Selectie

DSG frameert unlearning als een causale interventie waarbij specifieke SAE-features fungeren als mediatoren tussen trainingsdata en modeloutputs. Om features te identificeren die causaal verbonden zijn met $D_{forget}$ , gebruikt DSG Fisher Information (FI) als een proxy voor causale invloed.

Theoretische basis: Het paper stelt vast dat de verwachte gekwadrateerde activatie van een SAE-feature proportioneel is aan de Fisher Information van de bijbehorende decodergewichten. Hoge FI impliceert dat de feature de outputdistributie van het model significant beïnvloedt.
Scoring: DSG berekent een belangratio voor elke feature $j$ :
$\text{imp ratio}(j) = \frac{\text{forget score}(j)}{\max(\text{retain score}(j), \epsilon)}$
waarbij scores de gemiddelde gekwadrateerde activaties zijn op $D_{forget}$ en $D_{retain}$ , respectievelijk.
Selectie: Features worden geselecteerd op basis van een percentiel drempelwaarde ( $p_{ratio}$ ) van deze ratio, gevolgd door sortering op de absolute forget score om de top $n_{feats}$ features te selecteren. Dit zorgt ervoor dat de geselecteerde features zeer actief zijn op forget-data maar minimaal actief op retain-data.

2. Dynamische Sequence-Level Classificatie

In tegen tegenstelling tot statische methoden die features clampa wanneer ze ook maar activeren, introduceert DSG een dynamische classifier om bijwerkingen op de algemene bruikbaarheid te minimaliseren.

Statistiekberekening: Voor een inputsequentie $x$ berekent DSG $\rho(x)$ , het fractie van tokens waarbij ten minste één geselecteerde feature in de forget set $S_{nfeats}$ actief is ( $f_j(h_t) > 0$ ).
Drempelwaarde: Een drempelwaarde $\tau$ wordt bepaald op basis van de distributie van $\rho(x)$ op de retain set ( $D_{retain}$ ) met behulp van een percentiel ( $p_{dyn}$ ).
Classificatie: Een input wordt geclassificeerd als "forget-relevant" als $\rho(x) > \tau$ . Het paper bewijst via de Neyman-Pearson lemma dat deze drempelwaarde-benadering statistisch optimaal is voor het maximaliseren van de true-positive rates (vergeten) terwijl de false-positive rates (behoud van bruikbaarheid) worden gecontroleerd.

3. Conditionele Clamping Interventie

Interventie wordt conditioneel toegepast:

Als de input als forget-relevant wordt geclassificeerd, worden de activaties van de geselecteerde features geclamp naar een grote negatieve constante ( $-c$ ) voor alle tokens in de sequentie. Dit verbreekt effectief het causale pad voor die specifieke kennis.
Als de input retain-relevant is, blijven alle featureactivaties behouden, waardoor algemene capaciteiten intact blijven.

4. Sequentiële Unlearning en Relearning Resistentie

Sequentieel: DSG handelt sequentiële verzoeken af door ofwel de feature belangscores cumulatief bij te werken ( $DSG_{all}$ ) of door de unie van de feature sets te nemen die in elke stap zijn geselecteerd ( $DSG_{union}$ ).
Relearning Resistentie: De methode maakt gebruik van de Superficial Alignment Hypothesis, die stelt dat de activatiegeometrie stabiel blijft tijdens fine-tuning. Door te opereren op deze stabiele activatiepatronen in plaats op gewichten, creëert DSG een persistente verdediging. Het paper introduceert ook Train-time DSG, waarbij de interventie actief is tijdens een fine-tuningpoging van een tegenstander, waardoor gradiënten voor forget-relevante features worden geblokkeerd en het model wordt gedwongen nieuwe, minder efficiënte verwerkingscircuits te ontwikkelen.

Belangrijkste Bijdragen

Introductie van DSG: Een nieuwe, op activatie gebaseerde unlearning-methode die een geprincipeerde Fisher Information-gebaseerde featureselectie combineert met een dynamische, input-afhankelijke classifier.
Empirische Superioriteit: Demonstratie dat DSG een superieure forget-utility trade-off bereikt ten opzichte van leidende gradiëntgebaseerde (GA, NPO, RMU) en statische SAE-methoden over meerdere benchmarks.
Aanpak van Kernbeperkingen: DSG biedt verbeterde computationele efficiëntie (geen backward passes), hyperparameterstabiliteit, robuustheid in sequentiële unlearning, sterkere weerstand tegen relearning-aanvallen, verbeterde data-efficiëntie (inclusclusief zero-shot settings) en interpreteerbare unlearning.

Experimentele Resultaten

De auteurs evalueerden DSG op de WMDP (biosecurity en cybersecurity) en MUSE (verbatim memorization, kennis, privacy) benchmarks met behulp van het Gemma-2-2B model.

WMDP-Bio: DSG reduceerde de WMDP-accuratesse naar 29,64% (vs. 50,00% voor de op één na beste, RMU) terwijl het 99,34% MMLU-accuratesse behield en de hoogste MT-Bench score (7,78) behaalde.
WMDP-Cyber: DSG bereikte 26,74% WMDP-accuratesse terwijl het 99,07% MMLU-accuratesse behield, waarmee het alle baselines overtrof.
MUSE: DSG bereikte substantiële reducties in verbatim memorization (44,2% op NEWS, 44,7% op BOOKS) en bijna volledige verwijdering van kennis-memorization (98,5% op NEWS, 94,7% op BOOKS), terwijl de bruikbaarheid op de retain set werd behouden of verbeterd.
Schaalbaarheid & Sequentiële Unlearning: DSG bleef stabiel naarmate de forget set groter werd en over sequentiële unlearning-verzoeken heen, terwijl gradiëntgebaseerde methoden leden onder catastrofale vergetelheid en prestatieverslechtering.
Relearning Aanvallen: In API-gebaseerde dreigingsmodellen demonstreerde DSG (met name de Train-time variant) superieure resistentie tegen relearning-aanvallen vergeleken met RMU, waarbij bijna random performance op forget-data werd behouden zelfs na fine-tuning door een tegenstander.
Data Efficiëntie & Zero-Shot: DSG behield prestaties met slechts 20% van de oorspronkelijke data. In zero-shot settings (gebruikmakend van enkel semantische featurebeschrijvingen van Neuropedia zonder specifieke forget/retain-data), presteerde DSG beter dan gradiëntgebaseerde baselines.

Betekenis en Claims

Het paper claimt dat DSG het paradigma van machine unlearning fundamenteel verandert door aan te tonen dat SAE's, wanneer ze dynamisch worden ingezet, gradiëntgebaseerde methoden aanzienlijk kunnen overtreffen. De auteurs argumenteren dat hun aanpak het probleem van "imprecieze interventie" van eerdere SAE-werkzaamheden oplost door contextbewustzijn te introduceren.

De betekenis van DSG ligt in het vermogen om te bieden:

Precisie: Gerichte verwijdering van kennis zonder nevenschade aan algemene capaciteiten.
Efficiëntie: Een lichtgewicht interventie tijdens de inferentie die de computationele overhead van hertraining of fine-tuning vermijdt.
Robuustheid: Verbeterde stabiliteit tegen hyperparameter-tuning, sequentiële verzoeken en adversariële relearning.
Interpretabiliteit: Een transparant mechanisme waarbij unlearning wordt gedreven door identificeerbare, semantisch betekenisvolle features, wat een "guardrail"-benadering van modelveiligheid biedt.

De auteurs concluderen dat hoewel hun evaluatie zich richt op Gemma-2-2B, de principes van dynamische, op activatie gebaseerde interventie een veelbelovend en schaalbaar pad bieden voor het verbeteren van LLM-veiligheid en privacy, met name in scenario's die frequente of sequentiële unlearning vereisen.