Claude Opus 5.5 直接修改模型权重，让AI遗忘指定事实

Arun S 2026年11月7日 1 1 分享 几天前（2026年11月），我看到MIT CSAIL的一篇论文：《Sparks of Weight-Space Programming》（Takehi、Teoh、Zhang和Khattab）。这篇论文让一个AI模型直接访问另一个模型的权重，并要求它手工改进那个模型。不重新训练。只靠仔细阅读和小的、直接的编辑。 论文把这种方法用在了一个数学任务上。我想把它用在企业更有共鸣的问题上。我还想知道一件论文没有测试的事：Claude Opus能做这项工作吗？论文只使用了一个编辑器，OpenAI的GPT-6 Astra。 这篇文章讲的是我两个实验中的第一个：让模型忘记特定事实。结果：Claude Opus 5.5改动了一个4.94亿参数模型中的17个权重矩阵。改动之后，模型忘记了20个客户和10个密钥。它的表现就像一个从未见过这些内容的模型。其他客户的准确率只下降了2.5个百分点。三种标准重训练方法无法同时做到这两点。它们要么把事实藏起来，要么在移除事实的同时损坏了模型。 论文给一个AI模型（“编辑器”）一个Python内核，让它能访问一个较小模型的权重。编辑器有三条规则： 它不能使用梯度下降。它不能重新训练。 它有一个小的、固定的“前向传播”预算：10次、25次或50次。一次前向传播是模型在一组输入上的一次运行。 它必须在执行每一步之前解释这一步。 所以编辑器的工作方式像外科医生。它读取模型的内部信号。它对某个行为所在的位置提出假设。它写入对特定权重的改动。然后它测量结果。 在论文的实验8中，编辑器（GPT-6 Astra）在Qwen3.5-0.8B和MATH-500测试上工作。它发现模型经常陷入推理循环，这是Qwen自己的模型卡中警告过的问题。它通过编辑0.016%的权重修复了这个问题。MATH-500准确率从7.9%上升到48.1%。 最让我感兴趣的是方法，而不是数学分数。诊断一个特定行为。找到它所在的位置。用一个可以检查的小改动来改变它。对照基准真值检查这个改动。这正是对齐工作所需要的。 来源：Sparks of Weight-Space Programming，MIT CSAIL，2026年11月2日。 我寻找了对公司重要且有明确正确答案的问题。我选了两个： 遗忘（本文）。让模型忘记它在训练中学到的特定事实。 诚实（第二部分）。让模型在不知道时说“我不知道”，而不是编造答案。 每个训练或微调模型的组织都应该预料到会收到这样的请求： 某人根据GDPR第17条行使删除权。 权利持有人发送下架通知，要求删除模型逐字复制的文本。 客户离开，合同规定其数据也必须删除。 一个密钥误入训练数据。 法院命令公司删除关于某人的虚假陈述。 删除源文档很容易。删除模型从中学到的东西很难。模型不保存文档。它保存权重，而事实分散在这些权重之中。 今天有两个诚实的选项，而且都很糟糕： 在没有数据的情况下重新训练模型。这是黄金标准，但对每个请求来说都太慢、太贵。 屏蔽或拒绝回答。这把事实藏了起来。模型仍然知道它。 本文测试第三个选项：直接更改权重。它还测试了同样重要的一件事：一种证明更改有效的方法。 论文表明，一个前沿模型可以进行权重手术。一个模型不是一种模式。如果来自另一家公司的第二个模型也能做到，那么这种方法就比单个模型的技能更具普遍性。 我还有一个实际理由。我每天都使用Claude Code。我想知道我已经在与之合作的AI能否做这项工作。它必须小心谨慎，在严格规则下一步步进行。 论文使用了服务器。我用了我的笔记本电脑，一台带48 GB内存的Apple M4 Pro。所以我做了一些改动。 编辑器除了一个锁定的Python内核和一个前向传播服务之外没有其他工具。沙箱屏蔽了网络和我的项目文件。它还屏蔽了我自己的Claude Code对话记录。这是必要的：那些对话记录包含测试设计。一个AI编辑器与研究工作者的AI助手在同一台机器上，是一条论文中没有的泄露路径。 测试案例：一家虚构公司 要精确检查遗忘，你必须确切知道模型学到了什么。用真实数据，你永远不知道这一点。所以我创建了一家虚构公司“SynthCorp”。 500个虚构客户。每个客户有六个事实：城市、账户层级、产品、客户经理、注册年份和一个随机工单ID。 50个秘密字符串，像API密钥一样，植入训练文本。这些充当泄露的凭证。 我在所有这些内容上微调了模型。这是完全微调，不是LoRA之类的轻量适配器。全部4.94亿权重都可能改变，就像真实公司模型的微调一样。我是故意这样选择的。适配器把新事实保存在一个小的、单独的改动中，这会让它们被找到和移除变得不切实际地容易。在完全微调中，事实分散到模型的所有权重中。这对编辑器来说是一个更难、更现实的测试。 配方：对18,750个样本进行3轮训练，学习率2e-5，混入通用指令和文本数据，以便模型保留其他技能。 然后我训练了第二个副本，只有一个区别：它从未见过20个“遗忘”客户和10个“遗忘”密钥。它使用了相同的配方、相同的设置和相同的训练轮数。我把这个副本称为答案键。它展示了完美的遗忘是什么样子，因为它从未知道那些事实。这给出了成功的精确定义：编辑之后，模型必须表现得像答案键。它不能拒绝。它不能表现异常。它必须 simply 不知道。

（原文较长，此处译出前 6000 字，完整内容请点「打开原文」。）