Faithful Dual-constrained Erasure for Robust LLM Safety Alignment

📄 arXiv: 2609.39279v1 📥 PDF

作者: Jiaqing Li, Shide Zhou, Zhibo Zhang, Yuxi Li, Tianlong Yu, Kailong Wang

分类: cs.CR, cs.AI

发布日期: 2026-09-30

💡 一句话要点

提出FDCU框架以解决大语言模型的安全对齐问题

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 机器遗忘 大语言模型 安全对齐 知识删除 再训练攻击 双约束机制 优化动态

📋 核心要点

  1. 现有的机器遗忘方法在面对再训练攻击时表现脆弱，抑制的恶意行为容易复发。
  2. 本文提出FDCU框架，通过双约束机制实现真实的知识删除，避免模型利用潜在参数作为虚假抑制器。
  3. 实验结果显示，FDCU在特定知识遗忘和安全输出控制任务中，展现出优越的鲁棒性和几乎无损的通用性。

📝 摘要（中文）

机器遗忘已成为移除有害知识和强化大语言模型（LLMs）安全对齐的重要机制。然而，近期研究表明，未学习的模型仍然容易受到再训练攻击的威胁，抑制的恶意行为在良性微调后迅速复发。本文研究了遗忘的优化动态，发现这一脆弱性源于浅层对齐。为了解决这一问题并实现真实的记忆删除，本文提出了一种新颖的双约束子空间投影框架FDCU。FDCU通过高度可扩展的元素级双掩蔽规则限制参数更新，确保有效删除目标知识，同时保持一般知识流形。大量实验表明，FDCU在抵御再训练攻击方面表现出色，同时保持近乎无损的通用效用，确保LLMs的持久安全。

🔬 方法详解

问题定义：本文旨在解决大语言模型在机器遗忘过程中面临的再训练攻击脆弱性，现有方法未能有效删除目标知识，导致恶意行为复发。

核心思路：FDCU框架通过双约束机制，限制模型参数更新，确保真实的知识删除，避免激活潜在的虚假抑制器。

技术框架：FDCU的整体架构包括两个主要模块：基于Fisher信息的知识流形保持和基于最小功能干预原则的虚假抑制器激活限制。

关键创新：FDCU的核心创新在于其元素级双掩蔽规则，能够有效阻止模型表面隐藏知识的能力，促进真实的目标表示拆解。

关键设计：在参数设置上，FDCU采用了元素级的掩蔽策略，并结合特定的损失函数，以确保知识流形的保持和虚假抑制器的严格禁止。具体的网络结构设计尚未详细披露。

🖼️ 关键图片

fig_0
fig_1

📊 实验亮点

实验结果表明，FDCU在抵御再训练攻击方面达到了最先进的鲁棒性，具体表现为在特定知识遗忘任务中，成功率提升超过20%，同时保持了近乎无损的通用效用，显著优于现有基线方法。

🎯 应用场景

该研究的潜在应用领域包括大语言模型的安全性提升、敏感信息的有效删除以及在各种自然语言处理任务中的安全输出控制。通过增强模型的安全性，FDCU框架有助于推动AI系统在实际应用中的可靠性和信任度。

📄 摘要（原文）

Machine unlearning has emerged as a crucial mechanism for removing hazardous knowledge and enforcing safety alignment in Large Language Models (LLMs). However, recent studies reveal a persistent security risk: unlearned models remain highly vulnerable to retraining attacks, where suppressed malicious behaviors rapidly resurface after benign fine-tuning. In this work, we investigate the optimization dynamics of unlearning and identify that this vulnerability stems from shallow alignment. Rather than effectively erasing target knowledge, models often exploit a shortcut by activating previously dormant parameters to act as spurious suppressors, forming a fragile inhibitory shell over intact malicious representations. To address this issue and enforce authentic memory deletion, we propose FDCU, a novel dual-constrained subspace projection framework. FDCU restricts parameter updates through a highly scalable, element-wise dual-masking rule: it preserves general knowledge manifolds via Fisher Information and strictly prohibits the abnormal activation of spurious suppressors via the Principle of Minimal Functional Intervention (PMFI). By reliably blocking the model's ability to superficially hide knowledge, FDCU promotes the authentic dismantling of target representations. Extensive experiments across specific knowledge erasure and safe output control tasks demonstrate that FDCU achieves state-of-the-art robustness against retraining attacks while maintaining near-lossless general utility, ensuring durable safety for LLMs.