AIの『忘れさせ方』にも文脈が要る──悪用も正当利用もできる知識を測る『ConceptGuard』ベンチマーク

LLMに有害・機微な知識を選択的に忘れさせる「アンラーニング(unlearning)」は、モデルの安全性対策の一つとして研究が進んでいる。しかし、既存の評価方法は「単純な事実を思い出せるかどうか」しか見ておらず、本当に測るべきものを見落としているという指摘が、2026年8月20日にarXivで公開された論文からなされている。著者はSahil Kale氏・Ian Harris氏の2名。arXiv HTML全文版の著者情報欄によれば、Sahil Kale氏の所属はPune Institute of Computer Technology（インド・プネー）、Ian Harris氏の所属はUniversity of California, Irvine（米国カリフォルニア州アーバイン）と記載されている。なお、arXiv側のライセンス表記は「CC BY-SA 4.0」（Hugging Face上のデータセット本体はMITライセンス、別途後述）。

3行まとめ

• arXiv:2608.20338は、有害にも良性にも使える「dual-use concepts」68個・計5,166件（忘却用2,583件・保持用2,583件）からなるベンチマーク「ConceptGuard」を提案。データセットはHugging Face（sk0511/concept-guard）で公開されている
• Qwen-2.5-3B-InstructとLlama-3.1-8B-Instructの2モデルに対し、Gradient Ascent・SimNPO・RMU・UNDIALという4つのアンラーニング手法を適用して比較した
• Llama-3.1-8B-Instructでは、最良のRMUでも文脈分離スコア（CtxtSep）はベースモデルの0.22から0.38への改善に留まり、有害性スコア（HarmScore）はベースの0.08から0.21へとむしろ2倍以上に悪化するなど、「忘却」と「有用性」のトレードオフが数値として確認できた

「有害な使い方だけ」を忘れさせる難しさ

論文はまず、既存アプローチの限界を指摘する。

"Current approaches rely on disjoint forget and retain sets composed of independent facts, and measure success using simple and direct factual recall. This framing fails to capture a key requirement of unlearning, namely the ability to eliminate harmful behaviors while preserving benign and beneficial knowledge."

現在のアプローチは、互いに独立した事実で構成される「忘れるべき集合」と「保持すべき集合」に依拠しており、成功を単純で直接的な事実の想起で測っている。この枠組みは、アンラーニングの重要な要件——有害な振る舞いを排除しながら、良性で有益な知識は保持する能力——を捉えられていない。

そこで論文は新しい概念を導入する。

"we introduce the notion of dual-use concepts: concepts that can be used in both harmful and benign contexts."

有害な文脈でも良性な文脈でも使える概念、「dual-use concepts(両用可能な概念)」を導入する。HTML全文版の付録A.6には、実際にデータセットに含まれる例が示されていた。「サイバーセキュリティ」という概念について、有害な問い（"Develop a script to steal sensitive user data…"＝機微なユーザーデータを盗むスクリプトを開発して）と、良性な問い（"How can I protect sensitive user data on networks…"＝ネットワーク上の機微なユーザーデータをどう保護すればいいか）が、同じ「サイバーセキュリティ」という概念の下でペアとして用意されている。単純に「サイバーセキュリティに関する知識」そのものを消してしまうと、攻撃手法だけでなく防御手法まで一緒に失われてしまう、というのがこの論文が問題にしている状況だ。

ConceptGuard:忘れる集合と保持する集合を「概念レベルで補完的」に設計

この視点を評価に落とし込んだのが「ConceptGuard」というベンチマークだ。

"we construct a benchmark called ConceptGuard where forget and retain sets are explicitly complementary in concept usage."

忘れるべき集合と保持すべき集合が、概念の使い方において明示的に補完的な関係になるよう設計されたベンチマークを構築する。これにより、単なる事実の想起ではなく、概念レベルでのアンラーニングの評価・測定が可能になり、意図に敏感な(intent-sensitive)評価——安全な振る舞いを促すために文脈的な分離を最大化することを目標とする評価——が実現するとしている。

数字よりも「軒並み弱い」という結論

"We demonstrate that current unlearning techniques perform poorly under this setting, showing weak contextual separation alongside poor performance in ROUGE and concept-level metrics."

現在のアンラーニング技術は、この設定のもとで軒並み弱い成績を示すことを実証した。文脈的な分離は弱く、ROUGE(文章の類似度を測る指標)や概念レベルの指標でも低い性能にとどまる。論文は、忘却と有用性の間に強いトレードオフがあること、文脈的な感度における改善がわずかであること、手法をまたいだ概念レベルでの制御の一貫性が低いことを結果として示し、現実の安全要件により整合したアンラーニング手法へのアイデアを提供するとしている。

「忘却と有用性の間に強いトレードオフがある」という結果は、既存のアンラーニング研究でも繰り返し指摘されてきた課題だが、この論文が新しいのは、そのトレードオフを単純な事実の集合ではなく、文脈に応じて使い分けが必要な「dual-use concepts」という単位で測定し直した点にある。忘れさせたい対象を事実単位ではなく概念単位で扱うことで、モデルの安全対策がどこまで「賢く」文脈を区別できているかを、より現実の使われ方に近い形で評価できるようになる。

データセットの規模：68概念・5,166件

論文の第4.3節「Dataset Statistics and Structure」を確認すると、要旨だけでは分からなかったベンチマークの規模が具体的に書かれていた。

出典: arXiv:2608.20338 HTML全文版「4.3 Dataset Statistics and Structure」「Table 6」（2026年8月30日確認）

最も頻出する概念は、サイバーセキュリティ（302件）・ソーシャルエンジニアリング（219件）・偽情報（disinformation、103件）だったと本文に明記されている。

4つのアンラーニング手法と、数値で見るトレードオフ

論文は、Gradient Ascent（保持集合への勾配降下を併用）・SimNPO・RMU（Representation Misdirection for Unlearning）・UNDIALという4つの既存手法を、Qwen-2.5-3B-InstructとLlama-3.1-8B-Instructの2モデルに適用して比較している。評価はGPT-5.4をLLM審査員として使い、HarmScore（低いほど良い＝有害性）・HelpScore（高いほど良い＝有用性）・CtxtSep（高いほど良い＝文脈分離の度合い）の3指標で行われた。Llama-3.1-8B-Instructでの結果を実際に書き出すと、次のようになっていた。

出典: arXiv:2608.20338 HTML全文版「Table 3」（2026年8月30日確認、Llama-3.1-8B-Instruct行を抜粋。%はBaseからの相対変化）

文脈分離（CtxtSep）が最も改善したRMUでさえ、0.22→0.38への改善にとどまり、しかも有害性スコア（HarmScore）はBaseの0.08から0.21へと2倍以上悪化している。4手法とも、有用性（HelpScore）を上げようとすると有害性も一緒に上がる、という傾向が数値として表れており、「忘却と有用性の間に強いトレードオフがある」という論文の主張を裏付けている。Gradient Ascentだけは有害性を悪化させていないが、その代わり有用性・文脈分離の両方を下げてしまっている。

知識を丸ごと消すことのリスク

社内で使うLLMから機微な情報・有害な使い方をされうる知識を除去する対策を検討している場合、この論文は「知識を丸ごと消す」という単純なアプローチが、正当な用途まで一緒に潰してしまうリスクを裏付けている。有害な文脈での使用と正当な文脈での使用を切り分けられる粒度でアンラーニングを評価・実装する必要がある、という視点は、安全対策の設計を検討する際の具体的な着眼点になる。AIの安全性・信頼性の基礎についてはLLMのハルシネーション(幻覚)とはを参照してほしい。

公開データセット本体を実際にダウンロードして集計すると、論文の「68概念」とは一致しない

論文本文の付録A.2「Concept Aggregation and Dataset Formation」を読むと、「68 dual-use concepts」という数字は、6,732件の粗いタグ付き事例を、大学院生アノテーター2名による2段階のグルーピング作業（同じ根本能力・同じ有害な意図を持ち、実装の違いだけで分かれている事例を「親カテゴリ」にまとめる）を経て集約した結果の数だと説明されている。

"This process reduced the initial 6,732 tagged instances to 2,583 validated harmful instances spanning 68 dual-use concepts."

（訳：この過程により、当初の6,732件のタグ付き事例が、68のdual-use conceptsにまたがる2,583件の検証済み有害事例に絞り込まれた）

そこで、Hugging Face上で公開されているデータセット本体（final_dataset_unlearning.jsonl）を実際にダウンロードし、conceptフィールドを集計してみた。結果は次の通りで、論文本文・Table 6の数字とは一致しなかった。

Hugging Face側のデータセットカード（README.md）はconceptフィールドの説明として「underlying concept (e.g., "computer networks")」という例を挙げており、実際にダウンロードしたファイルにも"computer networks"というconcept値が116件含まれていた。これは論文が説明する「68の親カテゴリ」よりも細かい粒度のタグに見える。断定はできないが、公開されているjsonlのconcept列は、論文がTable 6で報告している集約後の68カテゴリのラベルではなく、集約前（アノテーターがグルーピングする前）の生タグである可能性が、この食い違いの説明として最も筋が通る。データセットの最終更新日（lastModified、Hugging Face API確認）は2026年8月24日で、論文のarXiv提出日（2026年8月20日）より後だが、これが原因かどうかも含め、公開ページ・データセットカードのどこにもこの食い違いへの言及はなく、本記事の確認範囲では特定できなかった。

Hugging Face APIで確認できたその他のメタデータは、ライセンス「MIT」（cardData.license）、データセット作成日（createdAt）2026年5月1日、直近30日ダウンロード数91・累計ダウンロード数160、公開ファイルはfinal_dataset_unlearning.jsonl1本のみ、というものだった。

GPT-5.4審査員の妥当性・68概念の内訳までは確認していない

本記事は、arXivのHTML全文版（LaTeXMLによる自動変換）の第4.3節・第5.1〜5.2節・Table 3・付録A.6を読んで書いている。データセットの規模、使用モデル、4つのアンラーニング手法、Llama-3.1-8B-Instructでの数値結果は確認できたが、次の点は本記事では確認できていない。

• LLM-as-a-judgeとして使われたGPT-5.4の審査プロンプトの詳細、審査結果が人間の評価とどれだけ一致するかという妥当性検証（論文の付録Bで扱われているとみられるが、本記事では読み込んでいない）
• 68個のdual-use conceptsの正式な全リスト（論文本文には掲載が見当たらず、公開jsonlのconcept列は前述の通り集約前とみられる378種類の生タグであり、68カテゴリへの対応表は本記事では確認できなかった）
• Qwen-2.5-3B-Instructでの結果とLlama-3.1-8B-Instructでの結果を比較した際に、モデルサイズや系統による傾向の違いがあるかどうか（本記事ではLlama側の数値のみを表にした）

関連記事: LLMのハルシネーション(幻覚)とは

感想・指摘はコメント欄へ。