TRACE 框架证明 LLM 近似遗忘的模型快照差异可被用于无数据先验重建训练数据

该论文提出 TRACE 框架，证明在大型语言模型（LLM）的近似遗忘（approximate unlearning）场景中，维护审计和回滚所需的预遗忘与后遗忘模型快照会形成侧信道，导致隐私泄露风险。研究者无需任何特定数据先验知识，即可通过对比两个快照的参数差异，从嵌入层识别候选 token 集并基于困惑度差距构建序列，成功重建被遗忘的训练数据。

实验在 TOFU、MUSE 和 WMDP 等多个数据集上，针对六种代表性遗忘方法进行了验证，结果显示 TRACE 能够实现高保真度的数据重建。这一发现表明，当前广泛采用的近似遗忘方案在参数差异泄露管理和模型快照访问控制方面存在显著缺陷，原本旨在防止隐私违规的技术手段反而可能成为新的攻击入口。

事实层面确认了快照差异包含可恢复信息；推断层面指出若缺乏对快照访问的严格限制或防御机制，现有合规流程无法真正保障数据移除的有效性；猜测层面在于攻击者是否能在实际生产环境中低成本获取成对的快照以实施此类攻击，这取决于各厂商的内部审计策略和 API 权限设计。