K-Bench評測框架公開：LLM代理部署環境下機器遺忘洩漏率高達86%

最新基準測試顯示，大型語言模型即使在終端給出拒絕回答，一旦以代理（Agent）形式部署，仍有高達22%至86%的查詢會洩漏機密資訊。研究團隊於2026年9月14日發表全新評測框架「K-Bench」，全面檢驗ReAct代理架構的6條傳輸管道，揭露既有機器遺忘認證在實際應用中失效的現狀。

Background

在人工智慧領域，「機器遺忘」（Unlearning）指的是讓模型安全抹除特定機密、個資或受版權保護的訓練數據。而在文化領域同名概念中，加拿大創作歌手麥特·布勞爾（Matt Brouwer）曾於2005年2月發行其第二張正規專輯《Unlearning》，透過網站、數位平台與實體門市發行，其中收錄曲目在2006年登上告示牌基督徒歌曲榜第30名 [2]。兩者雖名稱相同，但AI領域的遺忘技術涉及資訊安全的關鍵機制。

傳統評測框架如TOFU與MUSE在驗證模型是否成功「遺忘」時，主要僅讀取模型的最終文字輸出管道。只要模型生成拒絕回答的語句，便被判定為通過遺忘認證。然而，當模型被部署為具有自主呼叫與推理能力的ReAct代理時，運作架構已不再只有最終回覆通道。

由Guangsheng Yu、Yanna Jiang、Qin Wang、Baihe Ma與Xu Wang組成的研究團隊於2026年9月14日在arXiv（論文編號：arXiv:2609.12808）發布v2版本研究成果（初版於9月11日提交），正式推出「K-Bench」評測框架 [1]。該測試涵蓋思維鏈、工具呼叫、工具觀察及摘要等6條傳輸管道，指出既有驗證機制在實戰場景中存在重大漏洞。

Key figures

研究團隊針對20種公開的機器學習遺忘技術進行實測，核心數據與比較結果如下：

• 模型權重清除成功率：0%（評估的20種技術中成功證明移除的為0種，即 0 ÷ 20 × 100 = 0%）
• 檢測管道數量：全面檢測ReAct代理架構下的6條傳輸管道（包含思維鏈、工具呼叫、工具觀察、摘要等）
• 評估技術範疇：20種已公開的機器學習遺忘方法
• 評分指標：K-Score，分別針對權重、提示詞與檢索儲存庫三個來源獨立計分

Impact

這項發現對導入AI代理的企業與一般使用者的隱私防護帶來直接衝擊。當企業將AI模型部署於內部網路並串接工具時，原以為已刪除的密碼或商業機密，可能在外部查詢過程中透過代理的運作細節被完整還原。

在結構化檢索環境下，即便模型最終輸出的回答管道未顯示機密，機密內容仍以原文形式殘留在「工具觀察」管道中，導致整體洩漏風險並未降低。研究團隊指出，現行的「拒絕微調」（Refusal Tuning）手法僅是防禦評估階段的直接提取，並未在權重內部真正消除既有知識，無法視為真正的遺忘。此外，最佳遺忘方法的排名會隨基礎模型而異，目前業界並不存在單一通用的解方。

Outlook

隨著K-Bench論文於2026年9月14日更新釋出，AI系統部署的安全性認證標準預計面臨重構 [1]。K-Score評分架構明訂，只有在AI代理的功能性與可用性維持正常的前提下，才能採計遺忘成果，且權重、提示詞與檢索儲存庫皆須分開檢驗。

未來在部署AI代理時，開發團隊無法再僅憑終端輸出無異常即判定安全；只要ReAct代理的思維鏈、工具呼叫、工具觀察或摘要等6條傳輸管道中任一處出現機密，就必須被判定為資訊洩漏。技術人員需重新審視內部代理系統的全部6條傳輸管道，以防範未被清除的機密資料外洩。

來源

1. K-Bench: A Benchmark for LLM Unlearning in Agentic Deployments — arXiv cs.AI 신규 논문
2. Unlearning — Wikipedia (en)