アーカイブ / LLM
忘却済みLLMに残る知識を、質問の反復改変で調べるREBEL
REBEL
概要
- REBELは、忘却対象の正答を手掛かりに質問を反復改変し、応答の漏えい度を調べる。
- 著者らのTOFU-10%の400件では、SimNPOで忘却したモデルのASRがBaselineの2.00%に対しREBELで60.00%だった。
- WMDP-Bioの100件では、IDKNLLで忘却したモデルのASRがBaselineの32.0%に対しREBELで93.0%だった。
補足：編集した模式図で仕組みを確認する
VISUAL EXPLAINER
図でつかむ、REBELの仕組み
- 01元の質問と正答
- 02対象LLMに照会
- 03漏えいを採点
- 04質問を選び改変
- 05漏えいする質問
原論文の説明をもとにした模式図です。処理の細部は省略しています。
研究の背景
REBELは、忘却処理を施したLLMから対象情報を再び引き出せるか調べる手法である。機械的忘却とは、学習済みモデルが特定の情報を使えないようにする処理を指す。通常の質問への拒否だけでは、情報が取り出せなくなったかを判断しにくい。
質問の表現を変えると正答が出るなら、通常の質問だけを使う評価は残存情報を見逃す。著者らは、忘却対象を狙った質問を反復して作り、応答に含まれる情報を検査する。
手法
入力は、忘却対象についての元の質問と正答である。まず対象LLMに質問し、応答が正答をどれほど含むかを採点する。作成役の別のLLMは、質問の前後に指示を加えるなどして新たな候補を作る。例えば、人物の経歴を尋ねる元の質問に、回答形式の指定を添える。
得点の高い候補を残し、元の質問、正答、得点とともに作成役へ渡して改変を繰り返す。成功または探索上限で終了する。自由記述のTOFUでは判定役LLMが部分的な漏えいも採点する。選択式のWMDPでは、正答に対応する出力トークンの確率を得点に使う。
新規性
REBELは、忘却対象の正答を照合に使い、応答の漏えい度を次の質問生成へ戻す。得点の高い候補を残して改変するため、質問を固定した検査より広い言い回しを探索できる。
対象モデルの重みや勾配にはアクセスせず、照会と応答を通じて調べるブラックボックス方式である。著者らは、通常の質問への拒否と、改変した質問からの情報回復を分けて測る評価法として提案した。
従来手法との違い
Baselineは忘却対象の元の質問をそのまま使う。Leak@Kは同じ攻撃用質問で対象モデルからK回生成し、いずれかの応答が漏えいと判定されれば成功と数える。どちらも応答を受けて質問を改変しない。
REBELは漏えい得点をもとに候補を選び、次の質問を作る。著者らのTOFU-10%とWMDP-Bioの提示条件では、REBELの攻撃成功率はこれらの比較法を上回った。差の大きさは忘却手法ごとに異なる。
実験結果
著者らはTOFU-10%の400件で、Llama-3.1-1B-Instructを評価した。SimNPOで忘却したモデルの攻撃成功率（ASR）は、元の質問を使うBaselineが2.00%、REBELが60.00%、Leak@1000が45.25%だった。
WMDP-Bioの100件では、IDKNLLで忘却したLlama-3-8B-Instructに対し、Baselineが32.0%、Leak@1000が66.0%、REBELが93.0%だった。質問作成役には両評価でQwen2.5-7B-Instructを使用し、自由記述の判定役にも同モデルを使用した。ASRは、漏えいに成功した設問の割合である。
応用の可能性
編集上の応用案 · 論文が実証した用途とは区別しています。
編集上の応用案：架空の社内FAQを学習後、一部の項目を忘却処理したLLMを監査する。入力は忘却対象の質問と正答、対象モデルへの照会手段で、出力は漏えいと判定された応答、対応する質問、得点とする。
元の学習データから忘却対象と保持対象を分け、担当者が正答と漏えい判定用ラベルを用意する。センサーは不要で、質問の言い回しと採点基準をFAQに合わせて調整する。この用途で漏えいを見つけられるかは検証を要する。
応用先の候補からNauhに相談できます。
導入時の検証
導入時の検証案 · 対象データでの再評価が必要です。
導入時の検証案：架空のFAQを少数用意し、学習に使う元データ、忘却対象、保持対象を記録する。対象項目の質問と正答を確定し、忘却処理後のモデルに元の質問を投げるBaselineと、質問を反復改変する方式を同じ項目で比べる。
担当者が完全・部分漏えいの判定ラベルを作り、採点基準と質問の言い回しをFAQに合わせる。センサーは使わない。ASR、判定役と人手の不一致件数、照会回数と所要時間を測り、質問が意図しない項目を引き出した例も確認する。
限界と課題
著者らは、判定役LLMが微妙な漏えいを低く採点した例を報告した。また、探索を深めた設定では攻撃成功率が高くても、追加の実行時間に見合わない場合があると述べている。
編集上の検証事項は、人手判定との一致、照会回数と時間、質問改変による想定外の情報開示である。提示された結果はTOFUとWMDPの一部、および指定された対象モデルと忘却手法で得られたもので、社内データへそのまま当てはめられない。
出典
元のタイトル・要旨を確認する（英語）
REBEL: Hidden Knowledge Recovery via Evolutionary-Based Evaluation Loop
Machine unlearning for LLMs aims to remove sensitive or copyrighted data from trained models. However, the true efficacy of current unlearning methods remains uncertain. Standard evaluation metrics rely on benign queries that often mistake superficial information suppression for genuine knowledge removal. Such metrics fail to detect residual knowledge that more sophisticated prompting strategies could still extract. We introduce REBEL, an evolutionary approach for adversarial prompt generation designed to probe whether unlearned data can still be recovered. Our experiments demonstrate that REBEL successfully elicits ``forgotten'' knowledge from models that seemed to be forgotten in standard unlearning benchmarks, revealing that current unlearning methods may provide only a superficial layer of protection. We validate our framework on subsets of the TOFU and WMDP benchmarks, evaluating performance across a diverse suite of unlearning algorithms. Our experiments show that REBEL consistently outperforms static baselines, recovering ``forgotten'' knowledge with Attack Success Rates (ASRs) reaching up to 60% on TOFU and 93% on WMDP. We will make all code publicly available upon acceptance. Code is available at https://github.com/patryk-rybak/REBEL/
論文本体の取得範囲に基づく解説。AIが作成した未校閲の記事です。性能の数値は著者の評価条件に依存します。応用例と検証計画は編集上の提案です。解説更新：2026-10-01