K‑Benchが機械学習モデルの忘却の観測範囲を拡大：最終回答が秘密を漏らさなくても、エージェントが本当に忘れたとは限らない

機械学習モデルの忘却（machine unlearning）は通常、TOFUやMUSEなどのベンチマークを用いてモデルの最終回答を検査する。対象知識が回答に現れなくなれば、削除されたと見なされる。9月14日にarXivの最新リストへ掲載されたK‑Benchは、この単一チャネルに基づく証明を、RAG、ツール、推論用スクラッチパッドを備えたエージェントへそのまま適用することはできないと指摘する。

K‑Benchは、合成した個人データをモデルの重み、システムコンテキスト、テキスト検索データベース、または構造化検索データベースへ個別に埋め込み、chain-of-thought、ツール引数、ツール結果、検索内容、最終回答、要約の6チャネルを同時に検査する。いずれか1つのチャネルに秘密情報が含まれていれば、漏洩としてカウントする。K‑Scoreはさらに、保持セット（retain set）での性能やエージェントが破綻していないかも比較し、全面的な回答拒否を選択的忘却と誤認することを防ぐ。

論文で示されたLlama‑3.1‑8Bの事例では、StaRフィルターが誤った生年月日を最終回答に書き込んだため、回答ベースの評価では成功と判定された。しかし、実際の生年月日はツール結果に一字一句そのまま残っており、6チャネルを集約した漏洩率は0.857だった。これは介入前のベースラインである0.855をほとんど下回っていない。全体として、データがプロンプトまたは検索データベースに存在する場合、TOFUとMUSEは漏洩率ゼロを示したものの、エージェントは依然として22%〜86%のクエリで情報を漏洩した。データがモデルの重みに存在する場合、評価対象となった20種類の公開済み手法のうち、知識を真に削除したと証明できたものは1つもなかった。

研究チームは、CLI、ベンチマークのトランスクリプト、対象のLoRA adapter、約8.4GBのFAISS index 2点を公開しており、Llama‑3.1‑8B、Qwen3.5‑9B、Mistral‑7Bを対象としている。ただし、一部のretain setはまだ完成していない。また、Qwenのthinking modeはステップ数の上限を使い切り、漏洩率を大きく変化させることもある。さらに、Hugging FaceのDataset Viewerは現在、schemaの不一致により読み込めない。エンジニアリングチームは、「削除」の受け入れテストをユーザーに見えるテキストだけに限定せず、ログ、ツールの入出力、キャッシュ、ベクトルデータベース、要約にまで拡張すべきだ。