💬 NLP

Position: The Term "Machine Unlearning" Is Overused in LLMs

本文认为，“机器遗忘”（machine unlearning）一词在大型语言模型研究中被过度使用，用以描述诸如拒绝或抑制等多样化任务，并呼吁将该术词严格限定为具有重训练等效性保证的、由数据集定义的删除过程，以防止误导性的评估并确保针对不同目标使用恰当的术语。

原作者： Sangyeon Yoon, Yeachan Jun, Albert No

发布于 2026-06-29

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Sangyeon Yoon, Yeachan Jun, Albert No

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

核心思想：“遗忘”被误用了

想象你有一个学生，他通过研读一座巨大的图书馆里的书籍成为了专家。现在，想象其中一本书被偷了，或者作者要求从这个学生的记忆中将其移除。

这篇论文指出，研究人员正在过于宽泛地使用“机器遗忘”（Machine Unlearning）这个词。他们把许多不同的行为都称为“遗忘”，但实际上这些行为所承担的任务截然不同。

作者认为我们需要停止这种混淆。我们需要将严格的“机器遗忘”一词保留给一个特定的、非常困难的任务，并为其他较简单的任务使用不同的名称。

1. 严格定义：“橡皮擦”

其实际含义：
真正的“机器遗忘”就像是在一幅画上使用魔力橡皮擦。你想要完美地抹去特定的笔触（即“遗忘集”），使得这幅画看起来就像艺术家从未画过那些笔触一样。

金标准： 为了证明你做得很好，你必须将你的“擦除后”的画作，与一位从未见过那本被盗书籍、仅凭剩余书籍重新创作的艺术家所画的新画进行对比。
目标： 两幅画必须是无法分辨的。如果学生仍然能解出一道仅通过那本被盗书籍才学会的数学题，那么即使他拒绝回答那个具体问题，他也并没有真正实现“遗忘”。

2. 混淆之处：人们“实际”在做的事

目前，许多研究人员声称他们在进行“遗忘”，但他们实际上是在做以下其他事情之一：

“拒绝”（护卫犬）： 模型被训练成在被问及禁忌话题时说“我不知道”或“我无法回答”。
- 类比： 这就像一只护卫犬，它吠叫并拒绝让你进入房间。狗仍然知道房间的存在，但它不让你进去。狗并没有忘记房间，它只是被训练来阻拦你。
“抑制”（静音键）： 对模型进行微调，使其极不可能说出与禁忌话题相关的特定词汇。
- 类比： 这就像是在特定的词汇上按下了静音键。这个词仍在词典里，但说话者被训练去跳过它。
“编辑”（重写）： 模型被教导用一个新事实来替换旧事实。
- 类比： 不是抹去“巴黎是法国首都”的记忆，而是用“伦敦是首都”来覆盖它。旧的记忆可能仍然存在，只是被埋在了新的记忆之下。

问题所在： 研究人员经常声称他们已经“遗忘”了某些内容，仅仅是因为模型不再回答问题（因为护卫犬在吠叫）。但作者认为这是一种欺骗。模型可能在内心深处仍然“知道”这些信息，它只是在装傻。

3. 隐藏的危险：“衍生能力”

这是论文中最关键的部分。有时，学习特定的东西会赋予你超越该单一事实本身的超能力。

类比： 想象一个学生通过一本被盗的教科书学会了解特定类型的数学题。即使你让他“忘记”书中的具体答案，他可能仍然掌握了通过阅读该书获得的逻辑或推理技能。
风险： 如果你只检查他是否能背诵答案（输出失败），他可能会通过测试。但如果你问他一个使用相同逻辑的新数学题，他可能仍然能完美解决。
论文观点： 真正的“遗忘”意味着也要移除那种超能力。如果那本被盗的书给了他一项技能，而你对他进行“遗忘”，那么他也应该失去这项技能，即便这会让他的数学整体水平略有下降。如果他保留了这项技能，说明他并没有真正遗忘那本书的影响。

4. 为什么目前的测试正在失效

论文指出，目前大多数测试都像是选择题测试。

目前的测试： “模型能回答问题 A 吗？”如果模型说“我不知道”，测试结果就是：“太棒了！你忘掉了！”
缺陷： 这仅仅测试了模型是否在隐藏答案。它并没有测试模型是否删除了知识。
修正方案： 我们需要将“被遗忘后的”模型与“重新训练的”模型（即从未见过该错误数据的模型）进行对比。如果被遗忘后的模型在特定任务上仍然优于重新训练的模型，这意味着“错误数据”仍在影响它。

5. 作者的解决方案：一套新规则

作者提出了三个主要变化来修复这一混乱局面：

停止将“遗忘”作为统称。
- 如果你只是让模型拒绝回答，请称之为**“拒绝”（Refusal）或“抑制”**（Suppression）。
- 如果你确实消除了训练影响，使其与重新训练的模型一致，那么才称之为**“机器遗忘”**（Machine Unlearning）。
使用“参考模型”进行对比。
- 你不能只说“模型忘记了”。你必须说：“该模型的表现与一个在没有该数据的情况下进行训练的模型完全一致。”
- （作者承认重新训练大型模型成本高昂，但他们表示我们必须使用最好的替代方案，否则就必须承认我们并未进行真正的遗忘）。
测试“超能力”（衍生能力）。
- 不要只问模型它曾经接受过训练的问题。要问它需要利用可能从错误数据中习得的技能才能解决的新问题。如果它仍然能完成这些新任务，则说明遗忘失败了。

总结

这篇论文是对科学诚实性的呼吁。

不要把“拒绝”（说“我不知道”）称为“遗忘”（抹去记忆）。
不要认为仅仅因为模型不回答问题，它就忘记了知识。它可能只是在玩躲猫猫。
务必将你的结果与从未见过错误数据的模型进行对比。
务必检查模型是否仍保留了从错误数据中获得的“超能力”。

如果我们不修复这个术语问题，我们可能会以为自己已经安全合规，而实际上我们只是在掩盖真相。

技术摘要：“机器学习遗忘”（Machine Unlearning）一词在大型语言模型（LLMs）中被过度使用了

问题陈述
由于隐私权（如“被遗忘权”）、版权纠纷和安全策略的驱动，大型语言模型（LLMs）面临着要求其“忘记”特定训练数据的监管和商业压力。然而，“机器学习遗忘”这一术语在 LLM 研究领域已变得在术语上过度负载。目前，该术语被广泛应用于包括有害行为拒绝、实体移除、知识抑制和输出混淆在内的多种不同目标。

识别出的核心问题是：尽管这些不同的目标追求的是本质上完全不同的目标，但它们通常使用相同的指标和基准进行评估。许多被贴上“遗忘”标签的方法仅仅旨在抑制特定的输出或拒绝某些查询（即基于策略的行为控制），而不是移除特定数据集子集的底层训练影响。这种混淆导致评估过程奖励的是表层上的非披露性（例如，低 ROUGE 分数或无法回答特定问题），而未能验证模型是否真正达到了与在不包含该数据的情况下重新训练的模型无异的状态。因此，从“遗忘集”中习得的衍生能力——即通用的技能或推理模式——可能会在直接记忆被抑制时依然存在。

方法论与框架
本立场论文并非提出一种新的算法或实验框架，而是提供了一个概念框架和分类法以澄清该领域：

机器学习遗忘的正式定义： 作者将真正的机器学习遗忘严格定义为一个由数据集定义的删除问题。给定一个训练集 $D$ 和一个遗忘集 $F \subset D$ ，目标是生成一个更新后的模型 $\Theta'$ ，使其（近似地）与从 $D \setminus F$ 上重新训练得到的反事实模型 $\Theta_R$ 不可区分。成功的衡量标准是 $\Theta'$ 与 $\Theta_R$ 之间的分布差异（例如，通过 $(\epsilon, \delta)$ -不可区分性或其他散度度量），而非仅仅是针对特定提示词的输出失败。
按意图划分的“遗忘”分类法： 论文根据其他常见用法在 LLM 文献中的实际保证，将其归纳为不同的类别：
- 输出似然抑制（Output Likelihood Suppression）： 指降低特定标记或响应概率的方法（如梯度上升、NPO），这类方法并不保证等同于重新训练。
- 内部表示混淆（Internal Representation Obfuscation）： 指诱导目标输入产生高熵或低置信度的技术，其目的是扭曲内部激活而非移除数据影响。
- 知识编辑（Knowledge Editing）： 指通过反事实微调等方式重写特定事实或关联以重定向输出的方法，而非移除原始数据的训练影响。
- 行为拒绝（Behavioral Refusal）： 指训练模型对特定查询进行回避或回答“我不知道”的策略，其功能属于策略对齐而非数据删除。
- 推理时干预（Inference-time Interventions）： 指通过外部过滤器或解码约束来防止披露，而不修改模型权重。
衍生能力的分析： 论文引入了“衍生能力”（derived capabilities）的概念——即超越遗忘集中特定示例而泛化的行为或能力（如数学推理能力）。作者认为，如果对 $F$ 的训练对这种能力有所贡献，那么一个真正实现了 $F$ 遗忘的模型也必须失去这种能力，正如在 $D \setminus F$ 上重新训练的模型那样。

主要贡献

术语澄清： 论文主张将“机器学习遗忘”一词仅保留给具有“重新训练不可区分性”保证的任务。它认为，以安全或策略为驱动的“遗忘”任务应被标记并评估为不同的问题（例如，抑制、对齐或编辑）。
对当前基准的批判： 作者分析了领先的基准测试（如 TOFU, MUSE, RWKU, WMDP），并展示了其中许多基准是如何偏离重新训练参考而转向输出失败度量的。他们表明，像 ROUGE 或针对遗忘提示词的问答准确率这样的指标，衡量的往往是输出控制而非训练影响的移除，这使得某些方法在保留潜在知识的同时，看起来依然取得了成功。
评估协议建议： 论文为声称实现机器学习遗忘的研究提出了严谨的评估标准：
- 基于参考的评估： 声称必须锚定到一个明确的参考模型（理想情况下是基于 $D \setminus F$ 重新训练的模型或明确说明的代理模型）。
- 衍生能力探测： 评估必须包括对可迁移能力（例如，分布外推理任务）的测试，以及基于干预的恢复测试（例如，检查“被遗忘”的知识是否可以通过良性微调得以恢复），以确保训练影响已被真正移除。

结果与证据
作为一篇立场论文，该工作并未呈现新的实验结果。相反，它综合了现有文献中的证据来支持其论点：

它引用了先前的研究，这些研究表明，在固定提示协议下表现成功的方法，在对抗性条件（改写、越狱）或良性后处理（量化、微调）下往往会失效，这表明知识是被抑制了而非被遗忘。
它强调了在数据投毒场景中，“遗忘”方法未能移除诱导行为的情况，进一步证明了输出抑制与影响移除之间的差距。
它论证了当前的基准测试往往缺乏区分“真正遗忘数据的模型”与“仅仅学会拒绝特定查询的模型”所需的重新训练基准。

意义与主张
论文声称，目前的术语混乱不仅是修辞上的问题，更具有重要的实际和科学后果。通过将基于策略的行为控制与基于数据集的删除相混淆，该领域面临以下风险：

误导性基准： 在忽视持续存在的训练影响和衍生能力的同时，奖励表层的非披露行为。
不兼容的比较： 使得在同一标签下比较具有不同保证的方法变得不可能。
合规风险： 未能满足监管删除的严格要求（这通常要求移除影响，而非仅仅是输出抑制）。

作者总结道，解决这种混乱需要将更严格的术语与明确的保证及参考模型挂钩。他们倡导评估应与声称的目标相匹配：如果目标是机器学习遗忘，则评估必须证明其与重新训练模型的不可区分性，包括失去任何可归因于遗忘集的衍生能力。如果目标是策略合规或输出抑制，则应将其界定并评估为独立的目标。