学习方式如何影响遗忘：记忆与泛化谱系下的机器遗忘研究

遗忘带来多大的 retain damage，取决于训练时靠逐样本记忆，还是靠 forget set 与 retain set 共用的规则。

• 场景： 作者称，预训练网络可能含有数据所有者事后要求删除的隐私或版权材料。Machine unlearning 要去掉从这类数据学到的知识，同时保住一般能力；作者称现有方法很少做到这种平衡，常损失无关知识与技能，并称之为 retain damage。
• 已有缺口： 作者称，先前工作从数据纠缠或语料出现频率讨论遗忘难度，但没有把难度直接连到泛化与记忆；作者称 unlearning、泛化与记忆的关系在很大程度上仍未被考察。
• 假设： 作者认为 unlearning 是在逆转训练，拟合数据的策略会决定后来多容易被忘掉。若 Df 与 Dr 共用同一解法，破坏该机制就会伤到 retain。
• 做法： 作者把记忆与泛化当作谱的两端：用模加法 grokking 对比两端，用 bucketed modular addition（BMA）调节二者比例，再在 LLM 的逐字回忆与事实回忆中检验，并讨论两条方法设计上的含义。

记忆与泛化

• 可迁移模式与样本绑定信息： Bengio et al.（2013）、Liu et al.（2022）讨论泛化如何学习可迁移到同分布未见样本的模式；记忆则绑定具体训练样本而非底层分布。
• 机制状态与 grokking： Nanda et al.（2023）在模加法中追踪记忆、电路形成与 cleanup，并把泛化解识别为 Fourier circuit。作者用这一设定分开记忆型与泛化型模型。
• LLM 与信息论分解： Prashanth et al.（2025）、Chughtai et al.（2024）把 LLM 的记忆对应到具体知识，把泛化对应到语言或语义规律。Morris et al.（2026）用信息论分解量化二者，并提出 unintended memorization；作者用它估计 LLM 的 memorization floor。

Machine unlearning

• 目标与重训： Cao & Yang（2015）、Patel et al.（2020）把目标写成去掉 Df 上学到的信息并保住 Dr。Bourtoule et al.（2021）把不含 Df 的从头重训当作去除其训练贡献的 gold standard。
• 效用损失： Maini et al.（2024）、Shi et al.（2025）报告去掉 Df 信息往往会降低 Dr 表现。作者把这种损失称为 retain damage。

遗忘难度的已有分析

• 纠缠与频率： Zhao et al.（2024）报告，遗忘样本训练后概率更高、或与 retain set 在嵌入空间更纠缠时，遗忘更难。Krishnan et al.（2025）报告，语料中出现更频繁的知识更难选择性删除。作者称这些工作未把难度直接连到泛化与记忆。
• 规则与冗余成分： Zhou et al.（2026）区分由学到的规则生成和由记忆召回，并分析一种具体遗忘方法。Wei et al.（2026）把与 retain set 冗余的成分和目标数据信息分开，以更好保住 retain。作者称，unlearning、泛化与记忆三者的关系仍 largely unexplored。

所比较的方法与数据

• 方法： 模加法比较 RL 与 GD；BMA 另加 DPO、ME。逐字回忆用 GA、GD、NPO、CEU；事实回忆用 GA、GD、NPO、DPO。
• 数据： 模加法（p=113）、BMA（256 类）、Hubble 受控插入的 Gutenberg Popular、Wikipedia 与 YAGO biographies。

作者把本文放在上述缺口上：用可定位的记忆–泛化谱衡量 retain damage。作者称，据其所知，这是首次用 grokking 视角解释 unlearning。

作者沿记忆–泛化谱给训练后的模型定位，再在匹配的遗忘程度上比较 retain damage。记忆指绑定单个训练样本的信息；泛化指跨样本共用的解法。

问题设定

• 集合： D 为训练集，Df ⊆ D 为 forget set，Dr = D \ Df 为 retain set。目标是去掉从 Df 学到的信息，同时保住 Dr 上的表现。
• 谱上的位置： 作者称精确位置一般不能直接读出，因此用 grokking、BMA 的任务设计，以及 unintended memorization 作代理。
• 损伤： 模加法用 retain accuracy；BMA 在正确答案概率 Pf、Pr 上比较 1−Pr；LLM 用概率或准确率相对遗忘前的下降。

模加法：用 grokking 分开两端

• 任务： 一单层 transformer 预测 y=(a+b) mod p，p=113，在全部输入对的 30% 上训练。作者沿用 Nanda et al.（2023）的三阶段：memorization、circuit formation、cleanup。cleanup 后，训练样本与未见样本走同一 Fourier circuit。
• 对比： 取 epoch 1,000、3,800、10,000、25,300 四个 checkpoint。训练准确率均为 100%，测试准确率从泛化差到 100%。Df 为训练集的 10%，五个选取种子，训练 run 与划分固定。
• 遗忘： RL 把标签换成固定的错误类；GD 在提升 forget 交叉熵的同时，以 retain 权重约束 Dr。停在 forget accuracy 首次 ≤ τ=1/113。
• 电路量： key frequencies 为 K={14, 35, 42, 52, 55}。FVE 是这些成分解释的 logit 方差比例；restricted loss 是只用这些成分重建 logit 后的测试交叉熵。附录 B.4 在反传前去掉对应方向上的 RL logit 梯度，并与同样数量的 non-key 频率对照。

BMA：用 bucket 控制 floor

• 任务： 答案空间固定 256 类。正确答案为 y(a,b)=M((a+b) mod p)+u_a,b, pM=256。模运算选出 bucket，ua,b 在该 bucket 内均匀抽取后固定，不能跨输入对泛化。
• floor： 作者把 memorization floor 定义为学会共享解法之后仍须逐样本记忆的最少信息。BMA 中它等于 log2 M 比特/例。M∈{1, 4, 16, 64, 256} 对应 0 到 8 比特。M=1 退化为模加法；M=256 只有一个 bucket，标签全随机。
• 训练读出： bucket accuracy 看预测是否落入正确 bucket；within-bucket accuracy 看正确 bucket 内最高分是否为正确索引。
• 遗忘： 每种 M 训练 30,000 epoch。Df 占训练集 1%、5% 或 10%，三个选取种子。方法为 GD、RL、DPO、ME。在 Pf=0.1 处比较 1−Pr。

LLM：用参考似然估计 floor

• 估计： 作者用 unintended memorization 作代理，即 log₂ p_target(x)−log₂ p_ref(x)。作者称，若 reference 只在正确 bucket 的 M 个成员上均匀分配、target 把概率 1 给正确答案，该差等于 log2 M。
• Hubble： perturbed 模型的预训练包含受控插入文本，standard 模型不含。估计为 log2 ppert−log2 pstd。主文使用 8B、100B 与 500B tokens；1B 结果在附录 D.2、D.3。NPO/DPO 的冻结参考是遗忘前的 perturbed checkpoint，不是 standard 模型。
• 逐字回忆： Gutenberg Popular 段落在 teacher forcing 下评分。P̄(x) 是正确 token 概率的几何平均。floor 为各 token 估计之和。按 floor 取前、后 30% 为 High、Low forget set。方法为 GA、GD、NPO、CEU，在 P̄f=0.1 比较。
• 事实回忆： 合成 YAGO 传记的四个关系：nationality、birthplace、email、UUID。给定实体与关系，从正确答案加 15 个同关系干扰项中选似然最高者。floor 是候选集上归一化似然的 log2 差。方法为 GA、GD、NPO、DPO。

作者讨论的两条设计含义

• 两个目标： 作者区分去掉 Df 的训练贡献，与抑制它诱发的答案。作者称重训是前者的 gold standard；当 floor 很小、共享机制决定大部分预测时，不含 Df 的重训仍可能给出目标输出。作者因此认为方法应写明追求哪一个目标。
• 概率去向： 作者称，从目标答案移走的概率质量必然被重新分配，去向会影响 retain。BMA 中把错误标签限制在正确 bucket 内，与从全部其余类中抽取相对。附录 E.2 把同一原则接到 token 级损失权重：用未见目标样本的参考模型标出共享机制已经预测的 token。

实验设置

• 模加法： 单层 ReLU transformer，p=113，训练/测试对为 3,830/8,939。Df/Dr 为 383/3,447。五个 Df 种子；训练 run、划分与 unlearning 种子固定。RL 学习率 10−4、权重衰减 0；GD 学习率 10−4 或 3×10−4、权重衰减 1、retain 权重 10。40 个 checkpoint×方法×种子组合都达到 forget accuracy≤1/113。报告五种子均值与 95% Student-t CI。
• BMA： 宽度加倍的单层 transformer。五种 M 共用同一 30% 输入对与 train/test 划分，各训练到 epoch 30,000，训练准确率均为 100%。种子 17、26、42。GD、RL、DPO（β=0.1）、ME。180 个方法×bucket×比例×种子组合都越过 Pf=0.1。区间描述固定模型下的种子变异。
• 逐字： Hubble-1B 与 8B，各 100B、500B tokens 的 perturbed 模型；standard 模型只提供参考似然。Gutenberg Popular 256× 共 80 段。8B 的 High/Low 各 24 段，ID-seen 为中间 32 段；OOD-seen 为 Wikipedia 256× 的 76 段；unseen 为 400 段。1B-500B 先限制 P̄pert≥0.6，High/Low 各 18 段。GA、GD、NPO（β=0.1）、CEU。附录称 GD 的 retain 项锚在 ID-seen 上，故其 ID-seen 是 cheating baseline，OOD 与 unseen 仍独立。
• 事实： YAGO 64×。每模型每关系取 50 条 perturbed 已正确回忆的事实，种子 42 分出 15 条 Df、35 条 Dr，方法间划分固定。8B 跑四个关系；out-relation 池为其余三关系再加从未被遗忘的 university，共 4×35 条。1B 不跑 birthplace，论文写明是正确回忆的事实不够组成 50 条。停在 forget accuracy 首次≤10%。
• 评审与重复： 论文未使用 LLM 裁判。模加法与 BMA 用准确率或正确答案概率；逐字用 P̄；事实用 16 候选上的准确率。逐字的 95% CI 是 retain 段落上的变异，不是多次划分或多次训练。事实回忆的划分种子只有 42。

主结果

据 Table 1，forget accuracy 首次≤1/113 时的 retain accuracy（%）。均值为五个 Df 种子 ±95% CI。四阶段训练准确率均为 100%。

Swipe horizontally to read the table

阶段	Epoch	RL	GD
Memorization	1,000	59.5 ± 3.3	23.0 ± 6.5
Circuit formation	3,800	52.4 ± 7.3	19.3 ± 5.3
Cleanup	10,000	14.2 ± 1.5	8.7 ± 3.2
Grokked	25,300	8.1 ± 0.7	3.3 ± 1.0

• 作者称，四个 checkpoint 都能以 100% 准确率拟合训练集，但 forget 降到同一机会水平时，越靠近 grokking 完成，retain accuracy 越低；电路形成与 cleanup 落在两端之间。
• Figure 2（RL，Df 种子 1）中，记忆期 forget accuracy 下降快于 retain；grokked 期二者一起下降。作者认为这与遗忘作用在共享机制上一致。
• 该表只覆盖模加法的一个训练 run。BMA 与 Hubble 的数字在下面各节，不在 Table 1 中。

电路是否被遗忘破坏

• 轨迹： 正文称，Figure 2 的 grokked 模型在 RL 下 FVE 从 0.97 降到 0.33，restricted loss 从接近 0 升到 2.44。这是种子 1 的轨迹，不是 Table 8 的五种子阈值均值。记忆期 FVE 在遗忘前后都低，restricted loss 都高。
• 干预： Table 8 在 grokked 模型、forget accuracy≤τ 时比较。RL 的 retain accuracy 为 8.1±0.7%，FVE 0.186±0.026，restricted loss 2.324±0.183；key 频率过滤为 30.6±4.1%、0.509±0.020、0.167±0.167；non-key 过滤为 8.2±0.7%，FVE 与 restricted loss 接近不干预。
• 作者解读： 作者认为保住该电路会提高 retain accuracy，因而共享机制被破坏会促成 retain damage。Table 7 中，同一过滤在 cleanup 把 retain accuracy 从 14.2±1.6% 提到 51.8±2.4%，在记忆期只从 59.5±3.3% 到 60.2±2.6%。作者称过滤在电路已经承担预测时更有效。附录写明，logit 梯度约束不一定被参数更新保持，因此不保证电路完全不受损。

BMA 谱上的遗忘

• 学习动态： 图注称，M≤64 时测试 bucket accuracy 在训练 exact accuracy 饱和后很久才上升，within-bucket 曲线标着机会水平。Appendix C.1：M=4、16、64 的测试 bucket accuracy 为 93.57%、93.82%、96.63%，within-bucket 为 25.09%、5.98%、1.63%，接近 1/M 的 25%、6.25%、1.56%。M=256 只有一个 bucket，bucket accuracy 平凡地为 100%。
• 遗忘： Figure 3 底部为 5% forget set、种子 17 的 Pf–Pr 曲线，星标理想点为 Pf=1/256、Pr=1。图注称 floor 更大时曲线一般更靠近该点。Figure 5 在 Pf=0.1 汇总三种子的 1−Pr。作者称平均 retain damage 随 floor 增加而下降；0 比特时各方法都略低于虚线 0.9，即非选择性地把 Pr 也降到 0.1 的损伤；8 比特时四种方法都离开该线。遗忘比例更大时，同一 bucket 的损伤更高。初始 Pr 超过 0.999997。
• 相关与例外： Table 11 在每种方法、每种遗忘比例内，对五个 bucket 均值计算 Spearman ρs 与 Pearson r。12 格中 10 格 ρs=−1.000。例外是 1% 时的 GD 与 ME，ρs=−0.900：GD 从 M=16 的 0.627 到 M=64 的 0.643，ME 从 M=64 的 0.086 到 M=256 的 0.090。Pearson r 为 −0.924 到 −0.997。作者称这支持该任务族中的预期关联，不是与方法无关的 retain damage 上界。

LLM 逐字与事实回忆

• 词汇与 floor： Figure 6 中文档级 TF-IDF 与 floor 的 Pearson r，8B-100B、8B-500B、1B-100B、1B-500B 分别为 0.55、0.49、0.63、0.55，图中 p<0.001。附录称段落长度与 floor 的 Spearman 为 0.55；贪心交换使两尾的 token 总量接近，8B-100B 相差 7/6,259 个 token。Table 15：8B-100B 的 High/Low 平均 floor 为 1136±89 与 881±82 比特，区间不重叠。
• 逐字损伤： Table 17 在 P̄f=0.1 报告 P̄r 的下降（百分点）。8B-100B 的 ID-seen：GA 为 High 45.5±3.8、Low 54.0±3.2；GD 17.3±2.3、17.9±1.8；NPO 45.0±3.8、52.8±3.3；CEU 54.2±6.5、74.0±5.1。8B-500B 的 GA 为 14.8±2.1、26.4±2.9。作者称 Low 的损伤大体大于 High，且 ID 大于 OOD，unseen 最多约一个百分点内。例外：1B-100B 的 CEU，ID 为 High 59.7±4.8、Low 58.4±3.3，OOD 为 18.0±3.7、9.5±1.2。8B-100B 的 CEU unseen 为 −0.6±0.1、−0.4±0.1；1B-500B 的 GD ID-seen 为 −2.9±3.1、−3.3±2.8。论文未对这些负值另作解释。
• 事实损伤： Table 18 中 8B-500B 的平均 floor 为 email 0.43±0.42、nationality 1.09±0.31、birthplace 2.30±1.31、UUID 5.70±0.70 比特；8B-100B 为 0.93±0.64、1.61±0.44、4.30±2.05、5.00±0.62。Table 20 中 8B-100B 的 in-relation damage：Email 的 GA/GD/NPO/DPO 为 77.1±14.6、14.3±12.2、45.7±17.4、45.7±17.4；UUID 为 11.4±11.1、14.3±12.2、14.3±12.2、14.3±12.2。Table 21 四方法均值：8B-100B 的 Email in-relation 45.7、UUID 13.6；8B-500B 的 UUID in-relation 0.0、out-relation 4.6、Δ −4.6，作者称四种方法都未改变保留的 UUID 事实。1B-500B 上 nationality 在每种方法的 in-relation damage 都最高（71.4、71.4、71.4、80.0），尽管 floor 1.09 低于 UUID 的 4.43。作者称排序在 8B 上更清楚，在 1B-500B 上最弱。

其他消融与分析

• Table 23：10% forget exact accuracy 时，(P,M)=(131,2) 的桶内错误标签 retain exact accuracy 为 75.7%，全空间为 15.4%；forget bucket accuracy 为 99.9% 与 12.5%。(277,4) 为 71.3% 与 28.0%，forget bucket 为 99.7% 与 14.7%。每种配置一个训练模型、一个划分。
• 附录 E.2：Hubble-1B-100B、三个随机划分、八种 token 权重。停止点权重对 1 比特阈值两侧 token 的 AUC 与 retain 的 Spearman ρ=0.76；起始点 ρ=−0.30。SatImp 的 AUC 为 0.65±0.05、retain 0.236±0.007；Imp 为 0.39±0.03、0.187±0.016。
• Table 22：16 个模型×方法的 Pearson r 中 15 个为负。唯一正值是 Hubble-1B-500B 的 NPO，r=0.435。8B 的 r 从 −0.978 到 −0.517；1B 从 −0.948 到 0.435。
• 附录 D.2.3 称，Low 相对 High 的方向在两个模型规模、两个预训练预算上对几乎每个方法与 retain 组成立；Table 17 的 CEU×1B-100B 是上面的例外。

作者指出的局限与后续方向

论文未专门讨论局限。Discussion 与 Conclusion 讨论的是贡献去除与输出抑制不必重合，以及把概率重分配到与共享规则一致的答案上；这两节没有把未做事项写成局限或后续工作。附录对电路过滤写明梯度约束不一定被参数更新保持，但没有用局限或 future work 的口吻列出未做实验。

实验覆盖范围

• 模加法是一次训练 run、p=113、单层 ReLU transformer；遗忘方法为 RL 与 GD，四个 checkpoint，五个 Df 种子，比较点为 forget accuracy≤1/113（§3.2、Appendix B.1）。
• BMA 的 M 为 1、4、16、64、256，方法为 GD、RL、DPO、ME，遗忘比例为 1%、5%、10%，种子为 17、26、42；比较点为 Pf=0.1（§4.2、Appendix C）。
• LLM 为 Hubble-1B 与 Hubble-8B，预训练预算为 100B 与 500B tokens。逐字用 Gutenberg Popular 256×，事实用 YAGO 64× 的 email、nationality、birthplace、UUID（§5、Appendix D）。1B 事实回忆不含 birthplace，论文写明是正确回忆的事实不够组成 50 条。
• 逐字回忆的 95% CI 取自 retain 段落，不是多次 forget-set 选取或多次训练；事实回忆的划分种子为 42，方法间保持同一划分（Appendix D.2.1、D.3.1）。论文未使用 LLM 裁判。
• 电路梯度过滤只在模加法 RL 上报告（Appendix B.3–B.4）。桶内重分配用 (P,M)=(131,2) 与 (277,4)，不是主扫描那组 256 类模型（Appendix E.1）。token 权重比较只在 Hubble-1B-100B 上、三个随机划分（Appendix E.2）。

作者考察学习方式如何左右 unlearning 的 retain damage：训练越依赖跨样本共享的解法，在匹配的遗忘程度上，retain 上的损失越大。

• 问题： 作者称预训练模型可能含有事后要求删除的隐私或版权内容，而去掉 Df 影响时现有方法常伤到 Dr。作者认为 unlearning 在逆转训练，因此记忆与泛化会决定后来的损伤。
• 做法： 模加法用 grokking 得到训练准确率都是 100%、策略不同的 checkpoint。BMA 把答案空间固定为 256 类，用 bucket 大小规定共享规则只能选 bucket，floor 为 log2 M 比特。LLM 用 Hubble 的 standard 似然作未见插入文本的参考，在 perturbed 模型上做 Gutenberg Popular 逐字回忆和 YAGO 事实回忆。
• 模加法： Table 1 中，forget accuracy 首次≤1/113 时，RL 的 retain accuracy 在记忆期为 59.5±3.3%，在 grokked 期为 8.1±0.7%；GD 为 23.0±6.5% 与 3.3±1.0%。保护 key frequencies 后，grokked 模型的 RL retain accuracy 为 30.6±4.1%（Table 8）。正文另称 Figure 2 种子 1 的轨迹中，FVE 从 0.97 降到 0.33。
• 谱与 LLM： 作者称 BMA 中 floor 越高，Pf=0.1 处的 retain damage 越低；Table 11 的 12 格里 10 格 Spearman ρs 为 −1.000，1% 遗忘比例下 GD 与 ME 各有一次反转。逐字回忆中，Hubble-8B-100B 的 GA 在 P̄f=0.1 时 ID damage 为 High 45.5±3.8、Low 54.0±3.2 个百分点（Table 17）。事实回忆中，同一模型 Email 的 GA in-relation damage 为 77.1±14.6，UUID 为 11.4±11.1（Table 20）。例外包括 8B-500B 的 UUID 在四种方法下 in-relation damage 均为 0，以及 1B-100B 上 CEU 的 ID damage 是 High 略高于 Low。
• 作者的结论： retain damage 应与学习动态一起看。重训去掉的是 Df 的训练贡献，floor 很小时不一定抑制由共享规则决定的输出。把被移走的概率分到与共享规则一致的答案上，损伤更小；Table 23 中 (131,2) 的桶内标签把 retain exact accuracy 留在 75.7%，全空间标签为 15.4%。