Resumo Técnico: Leak@k: O Esquecimento Não Faz com que LLMs Esqueçam Sob Decodificação Probabilística

Declaração do Problema

Modelos de Linguagem de Grande Escala (LLMs) são treinados em vastos conjuntos de dados da web contendo conteúdo privado, tóxico, ilegal ou protegido por direitos autorais. O esquecimento de máquina visa remover esse conhecimento específico enquanto preserva a utilidade geral do modelo. No entanto, os protocolos de avaliação atuais para esquecimento dependem quase exclusivamente de decodificação determinística (gananciosa) (temperatura $T=0$, top-$p=0$). Nesse cenário, o modelo seleciona o único token mais provável em cada etapa.

Os autores identificam uma lacuna crítica: embora os métodos de esquecimento frequentemente pareçam bem-sucedidos sob decodificação gananciosa, eles falham em alcançar um "verdadeiro esquecimento" sob decodificação probabilística (por exemplo, $T > 0$ ou top-$p > 0$), que é o padrão em implantações do mundo real, como agentes conversacionais e geração de código. Sob amostragem probabilística, informações sensíveis que foram suprimidas no caminho ganancioso podem ressurgir. Uma vez que um token sensível inicial é amostrado, a distribuição condicional do modelo frequentemente se desloca, fazendo com que tokens sensíveis subsequentes sejam gerados com alta confiança. Isso cria um ponto cego de segurança onde modelos "esquecidos" ainda podem vazar conhecimento privado ou prejudicial quando consultados múltiplas vezes ou com parâmetros estocásticos.

Metodologia

1. A Meta-métrica Leak@k

Para quantificar rigorosamente essa vulnerabilidade, o artigo introduz o leak@k, uma meta-métrica distribucional. Diferentemente de avaliações anteriores que medem o vazamento por geração única ou o médias entre gerações, o leak@k quantifica a probabilidade de que pelo menos uma resposta sensível apareça entre $k$ amostras independentes geradas a partir do mesmo prompt sob decodificação probabilística.

• Definição: Para um prompt $q$, seja $S_j$ uma pontuação de correção (por exemplo, ROUGE-L, Pontuação de Entailment, Precisão) para a $j$-ésima resposta gerada $f(q; \theta)$ em relação à verdade fundamental. A métrica é definida como a pontuação máxima esperada sobre $k$ amostras:
  $$\text{leak@k} := \mathbb{E}\left[\max_{1 \le j \le k} S_j\right]$$
• Estimação: Os autores propõem um estimador não viesado, $\widehat{\text{leak@k}}$, que gera $n \ge k$ amostras e calcula a pontuação máxima sobre todos os subconjuntos possíveis de tamanho $k$ para reduzir a variância em comparação com uma abordagem ingênua de "pior de $k$".
• Análise de Decaimento: Para caracterizar como o vazamento evolui à medida que o orçamento de amostragem cresce, os autores ajustam um modelo log-log: $L_k = 1 - (1 - L_1)k^{-\gamma}$. Aqui, $L_1$ representa o vazamento em estágio inicial, e $\gamma$ representa a taxa de decaimento da massa restante não vazada. Um método de esquecimento bem-sucedido deve exibir $L_1$ pequeno e $\gamma$ pequeno.

2. O Algoritmo RULE

Para abordar a falha de conjuntos de esquecimento estáticos sob decodificação probabilística, os autores propõem o Robust Unlearning under LEak@k metric (RULE). Este é um algoritmo meta iterativo que aumenta dinamicamente o conjunto de esquecimento:

1. Geração Multi-amostra: Usando o modelo atual e decodificação probabilística, gerar múltiplas respostas candidatas para consultas no conjunto de esquecimento.
2. Detecção de Vazamento: Filtrar essas respostas usando uma métrica central (por exemplo, Pontuação de Entailment). Respostas que revelam com sucesso informações sensíveis (excedendo um limite) são identificadas.
3. Aumento do Conjunto de Dados: Essas respostas "vazantes" são adicionadas ao conjunto de esquecimento, efetivamente ensinando o modelo a esquecer não apenas a verdade fundamental original, mas também as variações e paráfrases específicas que ele tende a gerar sob condições estocásticas.
4. Otimização: O modelo é retreinado neste conjunto de esquecimento aumentado. Este processo se repete por várias iterações.

Principais Contribuições

1. Introdução do Leak@k: Uma nova meta-métrica que muda o paradigma de avaliação de verificações de resposta única determinísticas para análise de pior caso probabilística através de múltiplas gerações.
2. Estudo Empírico Sistemático: A primeira avaliação em grande escala da confiabilidade do esquecimento em três principais benchmarks (TOFU, MUSE-News e WMDP) usando várias estratégias de decodificação ($T, p$) e orçamentos de amostragem ($k$).
3. Demonstração de Falha: O estudo revela que os métodos de última geração (SOTA) (incluindo GradDiff, NPO, SimNPO, RMU e BLUR-NPO) fornecem apenas uma "ilusão de esquecimento". À medida que $k$ aumenta, o leak@k sobe abruptamente para todos os métodos existentes, indicando que o conhecimento sensível ressurge confiavelmente sob amostragem realista.
4. Proposta do RULE: Um algoritmo de treinamento dinâmico que reduz significativamente o vazamento de informações. No benchmark TOFU, o RULE alcança leak@k próximo de zero mesmo para $k=128$, superando todas as linhas de base. No MUSE-News, supera os métodos SOTA na maioria dos orçamentos de amostragem.

Resultados

• Benchmark TOFU: Usando LLaMA-3.2-1B, os autores mostram que, enquanto a decodificação gananciosa ($T=0, p=0$) sugere esquecimento bem-sucedido para métodos como NPO e BLUR-NPO, a decodificação probabilística ($T=1.0, p=1.0$) faz com que o leak@k (medido pela Pontuação de Entailment) se aproxime de 1,0 à medida que $k$ aumenta. O parâmetro top-$p$ foi encontrado como o principal motor do vazamento, mais do que a temperatura.
• Benchmark MUSE-News: Tendências semelhantes foram observadas com LLaMA2-7B. Os métodos existentes transitam de saídas seguras para vazantes à medida que $p$ aumenta ou $k$ cresce. O RULE-NPO demonstrou desempenho superior na supressão das taxas de crescimento do vazamento ($\gamma$).
• Benchmark WMDP: Usando Zephyr-7B-beta, o estudo destacou que métricas baseadas em precisão podem ser enganosas. Embora alguns métodos (como NPO) tenham alcançado baixa precisão em perguntas de múltipla escolha, eles frequentemente geravam nonsense ou "esqueceram demais" (selecionando uma opção de recusa), enquanto outros (como RMU) mostraram tendências claras de vazamento sob alta aleatoriedade quando avaliados via LLM-as-Judge em gerações de forma livre.
• Preservação de Utilidade: Em todos os benchmarks, os métodos propostos (incluindo o RULE) mantiveram desempenho estável no conjunto de retenção, indicando que o esquecimento robusto não necessariamente ocorre à custa da utilidade geral do modelo.

Significado e Alegações

O artigo alega que as avaliações atuais de esquecimento são fundamentalmente falhas porque ignoram a natureza probabilística dos LLMs, criando uma falsa sensação de segurança. Os autores argumentam que o esquecimento deve ser avaliado sob as mesmas condições probabilísticas usadas na implantação para garantir a segurança.

O significado deste trabalho reside em:

• Expor uma Lacuna Crítica: Demonstrar que o esquecimento "bem-sucedido" sob decodificação gananciosa é insuficiente para conformidade regulatória e IA ética, pois dados sensíveis podem ser recuperados via amostragem repetida.
• Fornecer um Framework de Avaliação Robusto: O leak@k oferece uma métrica padronizada e distribucional para comparar métodos de esquecimento com base em seu potencial de vazamento de pior caso, em vez de desempenho de caso médio.
• Oferecer uma Solução: O RULE demonstra que é possível alcançar esquecimento robusto refinando iterativamente o conjunto de esquecimento com base nas próprias falhas probabilísticas do modelo, indo além de conjuntos de treinamento estáticos.

Os autores concluem que, sem tais métodos de avaliação e treinamento robustos, a implantação de LLMs esquecidos em ambientes de alto risco permanece arriscada, pois usuários adversariais podem explorar a decodificação probabilística para extrair informações "esquecidas".