该论文关注神经网络“机制编辑”的可验证性，即通过消融、权重编辑或激活引导，从模型中移除某一有害能力（或技能），同时尽量保留其他有用能力。现有做法通常只靠测试集验证编辑效果，但有限测试无法覆盖连续、无穷的输入空间，因此无法保证在所有输入区域都成功移除且不破坏保留能力。作者将可解释性与形式化验证结合，不再只认证“模型某电路计算什么”或“解释是否忠实”，而是认证编辑的行为效果：对于给定连续嵌入空间区域内的每一个输入，证明禁用某电路确实移除了目标技能，并同时可证明另一项技能被保留；这相当于信息流安全意义上的特征非干扰保证。方法上，作者从玩具级 ReLU 网络逐步扩展到标准 softmax+LayerNorm Transformer，利用可靠的边界传播替代精确求解器，使可处理的输入扰动维度提升约 9 倍。论文还给出一个重要的负面结论：任何有限、确定性的黑盒测试都无法证明能力已被移除，并构造了一个能通过穷举测试、却在一个可任意缩小的“幸存者口袋”上被证明失败的编辑实例。其保证适用于小型标准架构网络，并且与所有移除声明一样，前提是目标技能存在可判定的规格；现实世界中的危害可能并不满足这一前提。

该论文关注大型语言模型（LLM）训练数据中的隐私泄露问题。由于现代 LLM 的训练语料规模巨大且基本未经过滤，包含从几乎所有可访问网站抓取的内容以及大量用户输入，模型往往会记住并复现个人敏感信息（PSI），例如出生日期、电话号码和家庭住址。对于高管、政治人物、法官等高曝光度人群，这种记忆化带来的隐私风险尤为严重。现有主流缓解方案依赖机器遗忘（machine unlearning），但作者指出这类方法存在三个明显缺陷：一是删除范围过宽，会连带抹除超出必要范围的信息；二是会损害模型的通用效用与安全对齐能力；三是面对攻击时鲁棒性很差，容易被绕过。<br><br>针对上述问题，作者提出名为 Whiteout 的实用工具。其核心思路是：在个人信息主体（individual）主动提出请求时，通过精心设计的、精确的混淆样本（obfuscation samples）对目标 PSI 进行覆盖式改写，使模型在面对相关提示时不再吐露真实的个人敏感信息，而不是对整个模型做粗粒度的遗忘。<br><br>评估方面，作者在多个不同规模、不同厂商的现代 LLM 上测试了 Whiteout，其中包括一个被广泛使用的 OpenAI 模型。结果显示：Whiteout 能有效阻止目标 PSI 的泄露，对模型效用和安全性的影响可以忽略不计，并且整体表现优于现有替代方案。作者还针对多种对抗手段进行了压力测试，涵盖黑盒攻击（如越狱）以及白盒自适应攻击（如重新学习 relearning、量化 quantization），以检验覆盖效果是否会被逆转。论文最后讨论了 Whiteout 在安全与伦理层面的影响，包括个人数据删除请求的可执行性、模型提供方的责任边界，以及这类机制可能被滥用的风险。整体而言，这是一项面向「模型侧个人数据删除」的工程化方法研究，适合隐私工程、AI 治理、模型安全评估方向的从业者阅读。

该论文研究的是大模型微调过程中的隐私风险复发问题。已有研究表明，在下游微调之后，模型可能重新暴露出经过对齐或遗忘处理后已无法通过直接查询获取的私有信息（即“微调恢复攻击”）。然而，此前的方法大多依赖一个不现实的假设：攻击者能够获得与原始训练数据同分布的真实私有标注数据作为监督信号。本文质疑这一前提，并提出：即使没有此类真实私有监督，恢复依然是可行的。作者提出的 ReGap 是一种“无数据”（data-free）的恢复方法，它只利用任务结构本身来构造监督信号：由 LLM 自行生成候选答案，再依据答案 token 的似然度对候选进行筛选，最后通过低秩适配（LoRA）方式对目标模型进行更新，从而把此前习得但被压制的私有关联重新“唤醒”。ReGap 既不需要目标答案，也不需要任何真实的私有辅助监督，因此大幅降低了攻击的现实门槛。实验覆盖六种模型（GPT-2、OPT、Qwen3 系列），结果显示：相对于微调后的目标模型，ReGap 将目标关联的恢复率提高了 6 到 21 个百分点；即便适配过程中使用的身份与所有被记忆和用于评估的身份完全不相交，且生成或筛选出的监督中不含任何精确的目标答案，恢复效果依然显著。作者进一步做了对照实验：同一个训练出的适配器将某个此前已被暴露过的检查点上的恢复率从 42% 提升到 63%，但在一个从未接触过这些目标、条件匹配的检查点上却不产生任何增益。这一对比说明，单纯的低秩适配不足以解释所观察到的恢复现象，模型此前是否接触过目标内容会强烈影响其被微调后的可恢复性。论文的结论是：常规的模型定制化流程本身就可能导致潜在隐私风险的再度激活，学术界与工业界应给予紧迫关注。

本论文关注大语言模型(LLM)安全对齐中的机器遗忘(machine unlearning)机制。移除模型中的危险知识、实现安全对齐通常依赖遗忘技术,但近期研究揭示了一个持续存在的安全风险:被「遗忘」的模型在面对再训练攻击(retraining attacks)时依然高度脆弱——只要经过一次良性微调,原本被抑制的恶意行为就会迅速重新浮现。作者深入分析了遗忘过程的优化动力学,指出这一脆弱性的根源在于「浅层对齐」(shallow alignment):模型并没有真正擦除目标知识,而是走了捷径,把此前处于休眠状态的参数激活起来充当「虚假抑制器」(spurious suppressors),从而在完好无损的恶意表征之上搭建出一层脆弱的抑制外壳。换言之,危险能力仍然存在于模型内部,只是被表面性地遮盖,因此极易在后续训练中被重新释放。为解决这一问题、实现真正的记忆删除,作者提出 FDCU——一种新的双约束子空间投影框架。FDCU 通过可高度扩展的逐元素双重掩码(element-wise dual-masking)规则来约束参数更新:一方面利用 Fisher 信息(Fisher Information)保留通用知识流形,避免遗忘过程破坏模型正常能力;另一方面依据「最小功能干预原则」(Principle of Minimal Functional Intervention, PMFI)严格禁止虚假抑制器的异常激活。通过可靠地阻断模型「表面上把知识藏起来」的能力,FDCU 促使模型真正拆解目标表征。作者在特定知识擦除与安全输出控制两类任务上开展了大量实验,结果表明 FDCU 在对抗再训练攻击的鲁棒性上达到当前最优水平,同时保持近乎无损的通用效用,为 LLM 提供持久的安全保障。该工作适合关注模型对齐、遗忘技术、微调安全与 AI 安全评估的研究者与安全工程师阅读。

本文关注大语言模型（LLM）的机器遗忘（machine unlearning）问题：模型在预训练阶段可能记忆敏感、隐私或受版权保护的内容，需要在尽量不重训的前提下定向移除特定知识。现有基于偏好优化（PO）的遗忘方法相比梯度上升（GA）类方法在训练稳定性上更优，能够有效压低遗忘目标（forget target）的 token 概率。但作者指出，仅做目标抑制并不足以约束遗忘后的 next-token 分布：现有方法对“被抑制的概率质量如何重新分配”控制有限，也未根据目标置信度与分布集中度自适应调整遗忘强度；即使目标概率被压低，概率质量仍可能集中在少数非目标 token 上，导致模型输出重复、空洞或无信息。为此，作者提出无参考自适应负偏好优化 RADNPO：它不需要参考模型（reference-free），在训练中将每个遗忘目标与当前 next-token 分布所偏好的替代 token 进行对比（contrast），并依据目标置信度和 next-token 分布集中度自适应地调节 token 级遗忘强度，从而显式引导概率质量向更合理的替代 token 重分配。在 TOFU 与 MUSE 两个遗忘评测基准上，RADNPO 在遗忘质量与模型可用性（utility）之间取得了优于现有基线的折中，说明对概率重分配与自适应强度的显式建模是提升遗忘效果的重要方向。

这篇论文关注视觉-语言模型(VLM)中的隐私删除问题,指出现有研究与评测体系存在一个关键盲区。作者认为,从 VLM 中抹除某个具体个人的身份信息,远比抹除单条属性困难,因为个人数据并非以孤立字段形式存储,而是跨图像、文本等多种模态相互纠缠、互为索引。然而现有的多模态遗忘(unlearning)基准大多只做"属性中心"的评测,即检查模型是否还能说出某人的年龄、职业、住址等单项属性,却忽略了更关键的目标——个体级遗忘(individual-level unlearning):让模型失去跨模态访问、关联并重建目标个体信息的能力。为填补这一空白,作者提出 IDUnlearn-Bench,声称是首个面向 VLM 的个体级多模态遗忘基准。该方法将每个个体表示为一组相互连接的多模态证据,并据此设计四个任务族来分层考察遗忘效果:属性访问(能否读出该人的具体属性)、身份访问(能否直接识别出该人)、身份绑定(能否把不同来源的记录关联到同一人)以及身份重建(能否依据模型内部知识复原该个体的画像)。作者在具有代表性的 VLM 与多种遗忘方法上进行了实验,得到两点重要发现:第一,属性中心遗忘即使表面上"成功",模型中仍可能大量残留身份级知识,即删掉了零散事实却没有删掉这个人;第二,遗忘效果可能是非单调的,压制某一类风险反而会放大另一类风险,例如某些信息被抑制后模型仍能识别目标、仍能将多条记录链接到同一人,甚至仍可重建该个体。论文由此揭示出一个根本性差距:"忘记关于某人的信息"并不等于"忘记这个人整体"。其核心贡献在于提出个体级多模态遗忘的问题定义、可操作的评测框架与四个任务族,并用实证说明现有遗忘方法的评测结论存在系统性乐观偏差,适合从事模型遗忘、多模态隐私、数据合规与模型治理的研究者和工程师阅读。

本文是一篇关于大语言模型机器遗忘（Machine Unlearning, MU）的综述性研究，作者系统梳理了该领域的基础理论、最新进展，并首次将讨论范围从单一模型扩展到包含检索、外部记忆、工具调用和多智能体交互的复杂系统。论文的核心出发点是：机器遗忘的目标是移除特定目标数据的影响，同时保持模型其余能力不变，但在真实部署中，'被遗忘'的判定远比模型权重层面复杂。为统一庞杂的研究现状，作者提出一个五层分析框架，把遗忘请求、系统边界、目标所在位置（如参数、检索库、外部记忆、上下文缓存、日志与工具状态）、可采取的干预手段以及这些手段所能支撑的结论主张逐层对应起来。同时引入七阶段生命周期模型和六个证据维度，用于横向比较不同方法、基准与实验证据，避免仅凭单一指标判断遗忘是否成功。综述的关键结论是：报告中的遗忘效果高度依赖于目标如何构造、保留数据如何选取，以及是否进行恢复测试；许多看似成功的删除，在更换构造方式或引入恢复探测后即出现反弹。论文进一步指出，仅凭模型层面的评估不足以证明外部状态及后续更新中目标影响已被彻底移除，因此主张建立能够追踪数据依赖关系、并显式检验目标影响是否会重新出现的评测体系。该工作适合隐私合规、模型治理、红队评测及智能体系统安全方向的研究者与工程师阅读，为理解'删除请求'在 LLM 及智能体栈中究竟意味着什么提供了概念工具与评测路线图。

该论文研究开放权重大模型时代的一个关键安全问题：模型编辑（model editing）与机器遗忘（machine unlearning）被广泛用于在不重新训练的前提下修改或删除模型中的特定知识，以支撑合规删除（如被遗忘权）和有害内容抑制。但作者指出，下游用户既然能掌控完整推理栈（包括分词器与推理引擎），发布方对“知识已被修改或删除”的保证就可能失效。现有针对这些技术安全性的评估存在两个明显短板：其一是通常需要拿到编辑前的原始模型，或依赖辅助分类器、影子模型来检测改动、重建原行为，现实攻击者往往不具备这些条件；其二是评估几乎都在输入的“规范分词”下进行，隐含地把分词当作无害的预处理步骤。论文指出这一假设构成了安全缺口：同一个输入字符串可以对应多种合法分词，而不同分词会引导模型走上不同的计算轨迹，攻击者因此能够绕过被局部修改的参数区域，把本应被抑制的信息重新取回。为此作者提出 Toketive——一种简单但有效的无参考（reference-free）攻击方法，仅依赖已发布的模型本身，不需要编辑前模型、训练数据、影子模型或辅助分类器，可同时完成两件事：检测某条知识是否已被修改，以及重建编辑前的原始响应。实验覆盖 5 个 LLM、6 个数据集和 6 种编辑/遗忘技术，结果显示 38.6% 的替代分词能够绕过修改并成功恢复编辑前响应；Toketive 检测被修改事实的 F1 达到 84.2%，相对最强基线提升 26.2%；重建编辑前响应的 top-5 准确率为 74.5%，比最佳基线高 21.7%。论文的核心结论是：局部参数修改不应被当作稳健的知识控制边界，除非在多种替代表示（分词）下做过对抗性评估；分词层面的侧信道应被视为模型发布后安全保证的一部分。

本文关注强化学习（RL）人形机器人控制中的「运动遗忘」问题。近年来，借助人类动捕示范数据训练的策略已能让实体人形机器人完成多样化、敏捷且自然的运动（如舞蹈、格斗、翻腾等）。然而，一旦这些策略训练完成，如何从已学习的策略中定向「抹除」某几类特定运动，此前几乎没有被系统研究。作者指出该问题背后有两类现实驱动力：一是安全与隐私，例如被投毒、被注入恶意行为或训练质量欠佳的运动需要从策略中剔除；二是合规与版权，在 GDPR 等法规的「被遗忘权」框架下，受版权保护的运动数据需要能够从模型中移除。为此，作者提出 ForgetMimic，自称是首个面向物理世界人形机器人控制的运动级遗忘（motion-level unlearning）方法。其核心设定是：给定一个在 N 种运动上训练好的策略 πθ，方法需要让策略在目标 K 种运动上的表现显著退化（遗忘），同时保持其余 N−K 种运动的能力不受影响（保留）。作者进一步指出，机器人控制训练中存在两个关键训练机制会导致遗忘失败，并给出了相应的解决手段，这构成方法的技术要点。实验在 Unitree G1 与 H2 两型人形机器人、共 12 种运动（含舞蹈、格斗、翻腾等）上展开，结果表明 ForgetMimic 能有效消除指定运动的记忆，同时让其余运动维持正常工作。该工作把机器遗忘从分类/生成模型拓展到连续控制的物理机器人领域，兼具安全、合规与模型治理意义。适合从事机器人学习、RL 安全、模型遗忘与 AI 治理的研究者与工程师阅读。

该论文关注电力配电网数字化带来的安全后果：工控与关键基础设施侧的网络暴露面扩大，而现有入侵检测系统（IDS）多依赖计算开销大的深度学习模型，难以在边缘侧部署；同时，为适应数据分布漂移而进行的周期性重训练，又使模型暴露于「机器遗忘攻击」（machine unlearning attack），攻击者通过有选择地删除或污染训练数据，可显著削弱检测性能。作者提出一种混合架构：以脉冲神经网络（SNN）承担时域特征提取，利用神经形态编码把时间序列（如同步相量测量）转成稀疏脉冲表示，再将对齐后的嵌入向量送入 XGBoost 作为轻量分类器。其关键设计是「一次训练、固化复用」——SNN 只在干净数据上训练一次，之后作为固定特征提取器不再更新，模型迭代时仅重训练 XGBoost 分类器，从而在结构上降低攻击者通过数据投毒影响特征表示的空间。在公开的真实电力系统数据集上评估：Synchrophasor 数据集取得 99.9% 准确率、F1-macro 0.999；MSU/ORNL 数据集取得 95.0% 准确率、F1-macro 0.943，均优于单模型基线。在选择性标签翻转投毒场景下，10% 投毒比例时混合模型 F1-macro 仅下降 0.9%，且将目标类别的性能崩塌点从 60% 投毒比例推迟到 70%，表明神经形态时域编码既能提供高精度的攻击检测，也能提升信息物理系统对数据投毒的鲁棒性。论文属方法论与实验评估类工作，适合关键基础设施安全、边缘侧 IDS 与鲁棒机器学习方向的研究与工程人员参考。

本文是理论计算机科学与数据隐私方向的研究论文，研究机器学习中的“机器遗忘”问题。传统机器遗忘旨在模拟“从头重新训练”的效果：当收到删除请求时，遗忘算法应产生一个结果，该结果与从未包含被删除数据点时从头训练得到的结果一致。近期研究表明，对于一个能观察一系列发布结果的攻击者而言，这种模拟要求并不具有有意义的隐私语义。因此，机器遗忘本质上并非隐私问题，而是数据维护问题——这正是“追溯算法”的课题。追溯算法支持对过去操作的修改，并保证所有后续回答都反映修正后的历史，仿佛该修正一直生效。本文提出“私有追溯算法”的正式定义，将追溯性要求与持续观察下的差分隐私相结合。作者展示了针对线性统计、聚类和直方图问题的构造方案，这些方案在渐近成本上并未比单独实现隐私保护更高，同时满足隐私与追溯性。此外，文章还给出不可能性结果，界定了该框架下的基本限制。该研究为深入理解隐私保护与数据动态修改之间的理论关系提供了新视角，适合理论计算机科学家、差分隐私研究者以及关注数据删除合规与隐私语义的安全研究人员阅读。由于本文仅为摘要，尚未验证实验细节或同行评审状态。

本文标题为'UBA-Inf: Unlearning Activated Backdoor Attack with Influence-Driven Camouflage'，提出了一种名为UBA-Inf的新型后门攻击方法。根据标题推测，该攻击利用机器学习中的'遗忘'（unlearning）机制作为激活后门的触发器，即当模型执行数据删除或遗忘操作时，预先埋藏的后门被激活，导致模型在正常推理时表现出恶意行为。同时，攻击者采用'影响力驱动'（influence-driven）的伪装策略，利用影响力函数等工具生成与正常样本难以区分的触发器，以绕过传统的后门检测。该研究将攻击与模型生命周期中的隐私合规环节绑定，尤其针对必须支持'被遗忘权'的场景（如 GDPR 等法规驱动的数据删除需求），揭示了机器遗忘功能可能引入新的安全攻击面。由于仅提供标题，具体的技术细节（如攻击流程、触发条件、实验设置）尚不明确，但该方向具有重要的学术价值和现实意义，可启发后续对模型遗忘安全性的深入研究。该论文适合AI安全研究员、模型部署工程师，以及关注隐私保护与合规的团队阅读，以便提前防范此类新型攻击。

本文针对机器学习即服务（MLaaS）中机器遗忘（machine unlearning）与推理服务之间的交互缺陷展开研究。MLaaS 基于从众多数据所有者收集的数据训练模型，提供低延迟的推理服务。为满足数据保护法规中的“被遗忘权”（RTBF），现有机器遗忘方法能够根据数据所有者的删除请求从已训练模型中移除其数据影响。然而，几乎现有方法都将遗忘请求与推理请求独立处理，这引入了新的安全问题：推理服务过时（inference service obsolescence）以及隐私泄露风险。当模型参数因遗忘更新后，若推理服务未同步调整，可能导致服务行为异常或泄露已删除数据的信息。为此，作者提出 ERASER 框架，一种推理服务感知的机器遗忘方法。其核心思路是在处理遗忘请求时，同时考虑推理服务的状态和依赖，确保模型更新后推理服务仍然正确且不会暴露已遗忘数据。该方法有望在不牺牲效率的前提下，同时保障数据遗忘的合规性和推理服务的可靠性。论文主要贡献包括：形式化定义推理服务感知的遗忘问题，设计 ERASER 架构，并可能在真实 MLaaS 环境中验证其有效性。本文适合从事隐私保护机器学习、MLaaS 架构设计、合规性工程以及安全研究的人员阅读。由于当前仅基于论文摘要，尚未获取实验细节，因此具体性能指标和实现方案有待进一步查阅原文。

本文提出一种新型的干净标签休眠后门攻击框架，其核心特点是模型在训练后保持良性表现，只有在用户发起特定机器遗忘（machine unlearning）请求后才会被激活。现有后门攻击通常在植入后立即生效，容易在利用前被发现；而基于机器遗忘激活的休眠后门能够规避这种风险，但其难点在于同时满足低休眠期攻击成功率和强激活后攻击效果，尤其是在干净标签约束和现实遗忘请求下。为此，作者设计了基于双生成器学习的双层优化框架：一方面学习特定的样本触发器以建立持久的潜在触发-目标关联，另一方面学习标签一致的伪装样本以提供可移除的抑制作用。当一小部分伪装样本被遗忘后，抑制被解除，休眠后门被激活。在CIFAR-10和ImageNet-10上的实验表明，与代表性后门基线相比，该方法在多种机器遗忘算法下均实现了更低的遗忘前攻击成功率与更强的遗忘后激活效果，验证了通过协调持久潜在关联和可移除抑制可实现可靠的休眠到激活转变。该研究揭示了机器学习遗忘机制可能被滥用为后门激活开关，对模型合规删除和数据遗忘场景构成新的安全威胁。

本文提出了一种可审计的勒索软件检测与遗忘框架，旨在解决现有机器学习检测器不支持选择性样本移除的问题，以满足GDPR和CCPA等隐私法规要求。该框架将深度强化学习与多分片SISA（分片隔离状态聚合）重训练相结合：核心检测器采用双深度Q网络（DDQN），从行为特征中学习奖励引导的检测策略，并考虑不对称的安全成本；而多分片SISA则通过分片级重训练实现隐私合规的选择性样本移除，并支持审计验证。在包含2000个样本和103个特征的平衡Windows 11行为数据集上，基线DDQN检测器取得了0.9925的F1分数和0.9983的AUC。实验评估了四种指标：效用保持、基于oracle的遗忘验证、成员推断审计和计算效率。结果表明，单分片遗忘仅引起极小的效用下降且oracle分歧较低，而中等分片数量（M=5-10）提供了最佳的效率-性能权衡，将重训练时间从完全重训练的80-330秒降低至5-30秒。此外，大多数配置下成员推断分数接近0.5，表明遗忘后隐私泄露风险有限。这些发现证明，一个隐私合规的勒索软件检测框架可以同时实现高检测性能、可审计的删除验证和高效的样本移除。

本文针对机器学习模型遗忘算法是否真正消除了训练数据影响的问题，提出了一种实用的审计方法。研究者设计了一个基于成员推断攻击的审计器，通过计算与数据相关的遗忘参数ε的下界，来评估遗忘算法是否达到其声称的隐私保证。在CIFAR-100和Shakespeare文本数据集上测试了多种遗忘算法，发现具有严格理论保证的算法（如模型剪枝、回退删除）能实现非常小的ε界，与它们的遗忘保证一致；而经验性方法（如基于Hessian的遗忘、交替上升-下降、遗忘集上升、保留集微调）则显示出较大的ε界，表明遗忘效果不佳。该审计器通过假设检验框架，为经验性地证伪遗忘声明提供了实用工具。这项工作对隐私保护机器学习领域具有重要价值，为第三方审计遗忘算法提供了可操作的方法。

联邦学习（FL）允许多方协作训练模型而不共享原始数据，但分布式特性使其易受后门攻击——恶意客户端在本地训练数据中嵌入隐藏触发器，操纵模型预测。现有防御主要在聚合前或聚合中生效，无法完全消除收敛后全局模型中残留的后门行为。此外，服务器在训练后缺乏触发器模式或恶意客户端的信息，导致后门残留或正常准确率下降。为此，本文提出SCRUB-FL（通过遗忘后门来净化和清洗表示），一种两阶段后门清除方案。训练阶段：客户端使用频谱分析和激活聚类识别可疑样本，然后训练轻量级WGAN-GP（带梯度惩罚的Wasserstein生成对抗网络）捕获触发器相关分布；服务器端聚合生成器参数，构建可疑模式的全局表示而不暴露原始数据。收敛后阶段：服务器合成近似触发器的样本，应用机器遗忘（machine unlearning）通过将预测分布重定向为均匀分布来擦除触发器-目标关联。在CIFAR-10和GTSRB数据集上，针对三种攻击类型和高达40%的恶意参与率，实验表明SCRUB-FL将后门攻击成功率降至3.88%，同时保持超过91%的正常任务准确率，优于现有最先进防御，且无需服务器预先知道触发器模式或拥有大型干净代理数据集。

随着隐私合规AI需求的增长，机器遗忘变得愈发重要。然而，现有的基于重新训练或知识蒸馏的方法不仅计算成本高，而且难以验证。本文提出了TrustErase，一个可验证的无数据遗忘框架，利用护照嵌入表示实现即时、模块化且可审计的遗忘。核心思想是将护照视为参数高效适配层中的加密密钥，通过简单去激活即可移除特定类别或数据集，无需重新训练、微调或访问原始数据。框架采用基于奇异值分解的方法将护照隐藏在模型权重中，确保遗忘操作透明且可证明合规。在MNIST、CIFAR10和CIFAR100上的实验表明，TrustErase在数据无限制条件下，性能匹配甚至超越了DELETE、L2UL和Boundary Shrink等现有基准。该工作为构建可信、负责任且可即时遗忘的AI系统建立了新范式。

联邦学习（FL）允许多方协作训练模型而不共享原始数据，但标准方法（如FedAvg）将每个客户端视为黑盒，无法隔离对抗性贡献者、审计每个客户端的影响，或尊重已退出参与者的被遗忘权。本文提出Fed-FBD（联邦功能块多样化），一种模块化联邦架构，将ResNet骨干网络分解为六个功能块（stem、四个残差组和分类头），并维护一个包含N种颜色变体的仓库，每种变体由独立跟踪和贡献者标记的块组装而成。Fed-FBD提供FedAvg所不具备的三种能力：(i) 架构保障的块级隔离，使对抗性或错误标记的客户端无法污染干净的变体；(ii) 设计上的隐私保护，在应用任何隐私机制之前，成员推断优势已与随机猜测无异；(iii) 在亚秒级成本且无需重新训练的情况下，外科手术式地遗忘已退出参与者的贡献。在六个MedMNIST-2D数据集、224x224的PathMNIST和CIFAR-10上的实验表明，在规模足够的数据集上，Fed-FBD以0.3%-3.1%的IID准确率下降换取这些保证，在四个数据集中的三个上，在Dirichlet alpha=1.0时与FedAvg的差距保持在0.8%-4.0%以内，并且所有六种对抗性攻击都被限制在中毒客户端的自身块内，对干净变体的AUC漂移不超过±0.01。

本文提出了一种名为 PURGE 的机器遗忘算法，其核心思想基于持续学习（Continual Learning, CL）与机器遗忘（Machine Unlearning, MU）的本质二元性：持续学习旨在学习新任务而不遗忘旧知识，而机器遗忘则旨在擦除特定数据的同时保持模型在保留集上的性能。PURGE 通过借鉴 A-GEM 的梯度投影方法，将遗忘步骤的梯度约束在保留集损失不增加的可行方向内，从而在每次更新时保护保留集性能。在此基础上，PURGE 进一步实现了多层表示擦除：它不仅关注输出层，而是在中间隐藏层将遗忘集样本的激活分布推向保留集分布，从而更彻底地移除信息，避免仅在输出层压制。一个关键设计是“保留混淆目标”（retain-confusion target）：不同于将遗忘集输出推向均匀分布（作者发现均匀分布易被成员推断攻击检测到），PURGE 将遗忘集输出推向模型在保留集上的自然混淆分布，使得遗忘后的模型难以与从头重新训练的模型区分。算法还引入了两个自调节停止准则：保留损失预算和遗忘准确率目标，使算法自动决定何时停止，无需手动调整训练轮数。在 CIFAR-10、MNIST、SVHN、STL10、PathMNIST 五个数据集上的 22 个类别级遗忘任务实验中，PURGE 持续保持了保留集准确率高于 96%，同时成员推断攻击的 AUROC 趋近于理想值 0.5，在隐私-效用前沿上优于梯度上升、KL-均匀分布以及多个已发表基线方法。该方法对于大语言模型中特定数据遗忘场景（如版权内容移除、隐私数据擦除）具有潜在迁移价值。

本文研究了机器学习中的“遗忘”（unlearning）问题，即如何从已训练好的模型中移除某个用户数据的影响，以满足如“被遗忘权”等法律和用户需求。针对光滑强凸损失函数下的随机优化场景，前期工作已经提出了一些遗忘算法及其误差界，但遗忘的统计代价——即与从头再训练相比，遗忘算法在泛化误差上的额外成本——尚未明确。本文几乎完全解决了这一问题：作者证明了近似ε-遗忘的额外种群风险（excess population risk）的上界和下界，并且这些界除了一个条件数因子外是紧的。对于单位球上的均值估计，上下界完全匹配。最优遗忘率等于通常的统计误差加上一个遗忘惩罚项，该惩罚项在从头再训练率和随ε/d增长而指数级减小的项之间插值，其中d是模型维度。特别地，当ε远大于d时，所提出的ε-遗忘算法相比从头再训练和差分隐私基线，在精度上呈指数级提升；而当ε小于等于d时，从头再训练是最优的。该工作为理解遗忘的基本统计成本提供了理论基础。

该论文提出了一种高效的联邦学习因果遗忘方法 HF-KCU，用于在不完全重训练的情况下移除特定客户的数据贡献，以满足隐私法规（如 GDPR）的数据删除要求。传统方法从头重训练计算成本极高（O(d^3)），而 HF-KCU 通过 Krylov 子空间中的共轭梯度迭代近似影响函数，将复杂度降至 O(kd)（k<<d）。其核心创新包括：(1) 因果加权机制，仅让持有被删除数据的客户端接收参数更新，避免对其他客户端产生虚假影响；(2) 能够处理有界对抗性扰动（对 Hessian 和梯度的扰动），在现实威胁模型下提供优雅的性能退化。实验在 CIFAR-10、MNIST、Fashion-MNIST 上使用 ResNet-18、SimpleCNN 和 ViT-Lite 架构验证：在 CIFAR-10 上，HF-KCU 比重训练快 47.75 倍，测试精度仅下降 0.60%（71.16% vs 71.76%）；成员推理攻击在遗忘集上的成功率为 0.499，与重训练模型一致，证明有效恢复了隐私。论文还提供了收敛性保证，证明 Krylov 近似误差随 O((κ^(1/2)-1)/(κ^(1/2)+1)) 衰减（κ 为 Hessian 条件数）。该方法的精确性和效率使其适用于异步删除请求且计算预算受限的生产联邦学习系统。

本文首次系统性地研究了强化学习中的机器遗忘问题，即“强化遗忘”。传统机器遗忘研究主要关注监督学习和无监督学习，而强化学习领域中，智能体在与环境交互过程中会记忆环境特征，引发隐私风险。根据数据保护法规，环境所有者有权撤销智能体对训练数据的访问，因此需要让智能体遗忘特定环境的知识。然而，强化遗忘面临三个独特挑战：1) 如何设计针对环境的遗忘方案；2) 如何避免遗忘过程损害智能体在其他环境中的性能；3) 如何有效评估遗忘效果。针对这些挑战，作者提出了两种强化遗忘方法：第一种基于递减强化学习，通过逐步减少目标环境中的奖励信号，使智能体逐渐擦除先前学到的知识；第二种利用环境中毒攻击，在目标环境中注入误导性反馈，迫使智能体学习错误知识以覆盖原有记忆。此外，为了评估遗忘效果，作者引入了“环境推断”概念，即通过分析智能体在目标环境中的行为来判断遗忘是否成功。实验部分（依据摘要推断）在多个连续控制环境中验证了两种方法的有效性，表明它们能在保持其余环境性能的同时实现遗忘，且环境推断能够可靠地量化遗忘程度。该研究填补了强化学习遗忘领域的空白，为隐私合规提供了新的技术路径。

本文研究了基于噪声的认证机器学习遗忘问题。现有方法面临一个硬性天花板：为保证遗忘认证所需添加的噪声量通常会严重破坏模型效用，尤其是在大规模删除请求场景下。结合公共数据是差分隐私中缓解这一矛盾的常用技术，但在遗忘领域尚未被充分探索。本文提出非对称朗之万遗忘（ALU）框架，利用公共数据来降低隐私成本。理论证明，注入公共数据能使遗忘成本以 $O(1/n_{\mathrm{pub}}^2)$ 的因子降低，保证了相对于重新训练的计算优势，从而建立了一种新的控制机制：从业者可以通过增加公共数据量来减少高噪声需求及其伴随的效用损失。此外，本文分析了分布不匹配的现实场景，明确刻画了公共与私人源数据之间的分布偏移如何影响效用。实验表明，ALU 能够在模型需要批量遗忘固定比例数据（标准对称方法在此情况下变得不切实际）时保持高效用。基于变分 Rényi 散度与成员推断攻击的实证评估证实，在合理的分布偏移下，ALU 能有效抵御隐私攻击同时保留模型效用。

该论文研究了机器遗忘（Machine Unlearning）领域中的类别级遗忘问题，提出了一种基于 SISA（Sharded, Isolated, Sliced, and Aggregated）框架的改进方案，用于卷积神经网络（CNN）架构。随着图像生成模型等AI系统的普及，数据隐私和用户同意问题日益突出，当用户要求删除其数据时，模型需要能够移除特定数据的影响而无需完全重新训练。论文提出的方法在标准SISA基础上引入了强化重放机制（reinforced replay mechanism）和门控网络（gating network），以增强选择性遗忘的效率。实验在多个图像数据集和不同CNN配置上进行，结果表明该方法能够有效实现类别级遗忘，在保持模型性能的同时显著降低重新训练的开销。论文还指出了SISA类遗忘方法在隐私敏感型AI应用中的部署潜力，并公开了实现代码。适合对机器学习隐私、数据删除合规性以及模型维护效率感兴趣的研究人员和工程师阅读。