Материал подготовлен автоматически по первоисточникам: ссылки на них — в конце статьи.
Удаление выбранных данных из LLM научились подтверждать статистическим сигналом, который провайдер видит внутри системы, а внешняя сторона не извлекает из ответов модели. Piyush Tiwary, Anushka Srivastava и Prathosh A. P проверили подход поверх набора существующих методов; препринт не рецензирован, а числа в нём получили сами авторы. Для продуктовой команды доказательство удаления становится отдельным требованием к архитектуре, а не побочным эффектом хороших ответов модели.
Как измерили след удалённых данных
Обычно целенаправленное забывание оценивают по трём признакам. Модель должна хуже воспроизводить удаляемые данные, сохранять остальные знания и не позволять внешнему наблюдателю определить, входил ли конкретный пример в обучение.
Авторы добавили четвёртый признак — аудируемость. Провайдер хранит исходную и изменённую модели, подаёт им одинаковый запрос и для каждого токена ответа сравнивает логарифмы вероятностей. Затем он усредняет разницу по всему ответу.
На данных, которые требовалось удалить, разница должна быть заметной: изменённая модель уже не считает прежний ответ столь же вероятным. На сохранённых данных разница должна оставаться около нуля. Качество разделения двух групп измеряют через AUROC — площадь под ROC-кривой: чем показатель ближе к единице, тем надёжнее статистика отличает удаляемые примеры от сохранённых.
Такой аудит доступен только провайдеру, потому что ему нужны обе версии модели и оба набора данных. Внешний атакующий видит лишь ответы развёрнутой модели и сравнивает их с обычными или синтетическими примерами. Это различие в доступе позволяет создать внутренний след удаления, но не показывать его через API.
GapWiden создаёт сигнал, GapVeil скрывает его в ответах
GapWiden запускают после основного забывания данных. Он напрямую обучает изменённую модель увеличивать разрыв вероятностей на удаляемых ответах до заданной границы. Одновременно другой штраф удерживает вероятности сохранённых ответов рядом с исходной моделью.
В результате аудит становится заданным свойством модели, а не случайным следствием выбранного алгоритма. Однако один GapWiden ухудшает защиту от определения принадлежности данных: если модель явно меняет поведение на удалённых примерах, эту аномалию может заметить внешний наблюдатель.
GapVeil переносит защиту на этап генерации. Исходная модель готовит черновик ответа, а изменённая оценивает его той же статистикой. Если разрыв превышает откалиброванный порог, система отклоняет черновик и просит исходную модель сгенерировать новый.
Простая повторная генерация могла бы снова выдавать тот же фрагмент. Поэтому GapVeil запоминает содержательные токены отклонённого ответа и исключает их при следующей попытке. Каждый отказ уменьшает вероятность повторить информацию, связанную с запросом на удаление.
Подход проверили поверх 11 методов на TOFU и MUSE, используя три размера моделей семейства Llama. После двух этапов аудируемость, защита от утечки и качество забывания приблизились к модели, заново обученной без удаляемых данных. Качество на сохранённой информации выросло у 9 из 11 методов, но до переобученной модели не дошло.
Эксперименты охватывают публичные исследовательские наборы, а не реальные запросы на удаление персональных данных. Они сравнивают методы в контролируемых условиях и показывают техническую совместимость двух этапов, но не подтверждают достаточность такого аудита для конкретной юридической процедуры.
Что придётся изменить в продуктовой архитектуре
Для закрытого сервиса работа предлагает не замену существующего метода забывания, а надстройку. Команде потребуется хранить исходную модель, изменённую модель, набор удаляемых примеров и контрольный набор сохранённых данных. Между моделью и API появится шлюз, который оценивает черновики, отклоняет подозрительные ответы и запускает повторную генерацию.
Это меняет расчёт инфраструктуры. Обычный запрос к сохранённым данным чаще проходит с первой попытки, потому что GapWiden удерживает его статистику рядом с исходной моделью. Запрос, затрагивающий удалённые сведения, может потребовать нескольких генераций. Работа не даёт сводного замера задержки и стоимости, поэтому их придётся проверять на собственном потоке запросов.
Критическое условие — закрытый доступ к весам. GapWiden намеренно записывает в параметры различимый след удаляемых данных. Если злоумышленник получит исходную и изменённую модели, он сможет использовать этот разрыв для поиска сведений, которые просили удалить.
Поэтому предложенная схема не подходит для публикации изменённых весов без дополнительных мер защиты. Она рассчитана на чёрный ящик: веса остаются внутри инфраструктуры, а внешние клиенты получают ответы только через GapVeil.
Работа меняет планы команд, которые обещают клиентам проверяемое удаление данных из LLM. Одной проверки качества ответов недостаточно: нужно заранее разделить внутренний аудит и внешний вывод, сохранить две версии модели и заложить повторную генерацию в задержку и стоимость сервиса. Для систем с открытыми весами результат скорее обозначает риск, чем готовый путь к внедрению.
Источники
Похоже на вашу задачу?
Расскажите, что собираете. За полчаса разложим на этапы и назовём сроки — это бесплатно и ни к чему не обязывает.
