大语言模型仅用 1,000 条良性样本即可遗忘拒答
LLMs Can Unlearn Refusal with Only 1,000 Benign Samples
论文速读
据论文全文整理（AI 生成），以原文为准
新加坡国立大学、北京航空航天大学等机构的研究者提出一种拒答遗忘方法，仅用 1,000 条良性样本微调即可让已对齐的大语言模型遗忘拒答行为。
- 现有对齐过的 LLM 面对不安全提问时，几乎都以固定前缀（如‘I'm sorry’）开头来拒绝回答。作者认为这种僵化的拒绝模式本身就是漏洞，少量前缀一旦被扰动或遗忘，安全对齐就可能被绕过，而这在开源与闭源模型上普遍存在。
- 提出 refusal unlearning：只用 1,000 条良性 Alpaca 样本，把随机抽取的拒绝前缀（共 23 种）拼在每个回复前做全参数 SFT，让模型忘掉如何完整拒绝、却在有害指令下继续作答。作者还给出理论证明：前缀诱发拒绝的强度 ρ 与遗忘效果 Φ 正相关。训练中不引入任何有害数据。
- 在 16 个模型（Llama、Qwen、Gemma、GPT-oss 及 Gemini、GPT 闭源模型）和 AdvBench、Sorry-Bench、HEx-PHI 上评估，安全分数平均大幅下降（开源模型降低超 60%，总体约 50 个百分点）。对照实验显示：普通良性微调、随机前缀都无法造成同等退化；换成 Dolly-15K 同样有效；样本量约 1,000 时效果饱和；工具（SQL、摘要）能力下降小于安全退化。
- 方法不以击败最强 jailbreak 为目标，训练与推理均不注入有害内容；拒绝遗忘无法通过 in-context learning 实现，作者猜测拒绝行为被硬编码在特定参数或神经元中。后续方向：探索 RL/DPO 是否与 SFT 等效，并把这套方法扩展到代码生成（如删除操作系统）与 agentic AI（工具误用）等场景。
新加坡国立大学、北京航空航天大学等机构的研究者提出一种拒答遗忘方法，仅用 1,000 条良性样本微调即可让已对齐的大语言模型遗忘拒答行为。方法是在 Alpaca 等良性数据的每条回答前加上拒答前缀（如 I'm sorry）再做全参数 SFT，以打断完整拒答的生成路径。研究在 16 个模型上验证，包括 Llama、Qwen、Gemma、GPT-oss 等 13 个开源模型（0.6B 至 72B）以及 Gemini 2.5-flash-lite、Gemini 2.0-flash-lite、GPT-4.1-nano 三个闭源模型，开源模型平均安全分下降超过 60%，闭源模型的安全对齐同样受损。作者称该退化不能归因于普通良性微调或随机前缀，并给出理论证明，认为当前安全对齐依赖 token 序列记忆而非推理。代码已发布在 github.com/guoyang9/refusal-unlearning。
推荐理由论文在 16 个开源与闭源模型上验证，仅用 1,000 条良性样本微调即可让模型遗忘拒答，为评估微调带来的安全退化提供了可复现方法。