这项由以色列巴伊兰大学（Bar-Ilan University）与艾伦人工智能研究所（Allen Institute for Artificial Intelligence）联合开展的研究，以预印本形式于2026年7月4日发布在arXiv平台，编号为arXiv:2607.03973v1，归属计算机科学机器学习领域（cs.LG）。感兴趣的读者可通过该编号在arXiv上查阅完整论文。

神经网络在学习语言和图像时，会在内部形成一种类似"多维度档案"的信息结构。这份档案里塞满了各种信息——一个描述职场女性的句子，它的内部表示不仅记录了"职业"，还悄悄记住了"性别"；一张人脸照片的特征向量，里面既有"是否戴眼镜"，也藏着"是否化妆"。

问题在于，有时候我们希望AI忘掉某些信息。举个具体例子：如果你想让一个语言模型在推荐工作时不考虑性别，你就需要从它的内部表示中"抹掉"性别信息——但偏偏职业和性别在现实数据中高度相关，一不小心，你在抹掉"护士往往是女性"这条信息的同时，也把"护士这个职业的语义"一并破坏了。这就是所谓的"概念擦除"难题：如何在不损坏其他信息的前提下，精准移除目标概念。

研究团队把这个两难困境形象地称为"可手术性"（surgicality）——好的擦除操作应该像外科手术一样，只切掉肿瘤，不伤周围健康组织。而这篇论文的核心贡献，正是提出了一个更聪明的手术方案：MANCE，全称"流形感知概念擦除"（MANifold aware Concept Erasure）。

一、为什么之前的"手术刀"总是误伤好肉

要理解MANCE解决了什么问题，先得搞清楚神经网络的"档案室"长什么样。

当一个语言模型处理文字时，它会把每个句子或单词转换成一串数字，通常有几百甚至几千个维度。你可以把这串数字理解成一个多维空间里的一个点——一个句子就是空间里的一个位置。数以万计的句子，就构成了空间里密密麻麻的点云。

关键在于，这些点并不是随机散落在整个空间里的。大量研究表明，由真实输入产生的表示，往往聚集在一个比整个空间小得多的、有结构的区域里——研究团队把这个区域称为"流形"（manifold）。

用一个更直观的比喻来理解：把整个表示空间看作一个巨大的三维房间，而由真实语言输入产生的所有表示，实际上只铺展在房间中央一块弯曲的地毯上——这块地毯，就是流形。地毯上的每个位置都对应着真实世界里某种有意义的语言状态，地毯以外则是无意义的"荒野"。

之前的擦除方法，无论是线性的还是非线性的，在修改一个表示时，往往会把它从地毯上推开，推进荒野里。表面上，"性别信息"被抹掉了，但这个被推进荒野的点，已经不再像任何真实的语言输入了——它周围那些原本编码着"职业"、"语境"、"情感"的微妙结构，也随之被破坏。

研究团队将这一核心观察提炼为"流形约束假说"（Manifold Constraint Hypothesis，简称MCH）：如果真实表示集中在一个结构化的低维流形上，那么被约束在流形内的干预操作，应该比不加约束的操作更能保留其他编码信息，同时同样有效地抹去目标概念。

换句话说，手术刀必须沿着地毯的纹路走，而不是随便往哪个方向切。

二、MANCE如何做到"沿纹路"操作

MANCE的核心机制，用一个生活化的比喻来描述：把修改表示这件事，想象成在一张凹凸不平的地毯上挪动棋子。目标是把棋子从"高性别信息区"挪开，但要求：棋子必须始终贴着地毯表面滑动，不能腾空飞起。

具体做法分三步，每一步都环环相扣。

第一步是估算局部地毯的走向。对于每一个需要修改的表示点，MANCE会在原始的、未经修改的真实表示中，找出距离它最近的一批邻居（K个最近邻）。这些邻居所构成的局部区域，就近似地描述了地毯在这个位置的弯曲方式。接着，MANCE对这批邻居做一个局部主成分分析（PCA），提取出地毯在这里的主要"纹路方向"——在数学上，这些方向被称为切空间的基向量，记作Bi。值得注意的是，这些邻居始终从未经修改的原始表示中取，而不是从已被修改的表示中取。这样做的原因在于：已修改的表示可能已经偏离了地毯，用它们来估算地毯走向会产生错误。因此，随着一个表示被多次修改逐渐远离初始位置，它每次都重新从原始表示中寻找新的邻居，以保证对地毯走向的估算始终锚定在真实流形上。

第二步是把"擦除方向"投影到地毯上。在每一轮擦除迭代中，系统会用一个非线性探针（一个小型神经网络）来判断当前表示是否还能预测目标概念，然后计算这个探针预测值对表示的梯度——梯度告诉我们，沿哪个方向修改表示能最有效地降低目标概念的可预测性。但这个梯度方向可能指向空中（地毯外）。于是MANCE把它投影到第一步估算出的切空间上，只保留在地毯方向上的分量。更精妙的是，投影后还要用奇异值（即各方向的局部"地形起伏幅度"）对各方向的贡献进行加权——地毯延伸得越宽广的方向，得到的权重越大；几乎没有延伸的"细丝"方向，权重越小。这样做的直觉在于：地毯延伸最宽广的方向，是有真实数据支撑、最可靠的方向；而细丝方向更接近噪声，贸然沿这些方向移动更容易"撕裂"地毯。

第三步是决定每步走多远。不同的表示点，周围的邻居密度是不一样的：有些点处于拥挤的密集区，邻居挨得很近；有些点处于稀疏区，邻居离得很远。MANCE为每个点单独计算步长上限：步长不超过该点到K个邻居的平均距离的ε倍（ε固定为0.1）。密集区的点每步走得小，稀疏区的点每步可以走得稍大。这个自适应步长有双重好处——既避免了对密集区的过度扰动，又允许稀疏区做出足够的调整，而且因为步长是相对于局部邻居距离而非绝对数值来定义的，这个0.1的参数在横跨13个不同规模语言模型的实验中无需任何调整即可直接使用。

整个过程是迭代进行的，共60轮，每8轮重新训练一次探针（因为随着表示被修改，原来的探针可能已经不能准确反映剩余的目标信息，需要"升级换代"）。

三、MANCE家族的三个成员：从基础版到旗舰版

论文不只提出了基础MANCE，还在此基础上推出了两个"升级版本"，形成了一个完整的方法家族。

基础MANCE直接在原始表示上运行上述三步迭代流程，主要处理非线性编码的概念信息。这类信息藏得比较深，线性方法无法触及。

MANCE+在运行迭代流程之前，先执行一个叫做LEACE的线性擦除步骤。LEACE（由外部研究团队于2023年提出）能够以封闭形式一次性消除两类表示的均值差异——换句话说，它会让"正类"和"负类"（比如男性句子和女性句子）的平均表示点重合，这样任何线性分类器都无法再通过均值差异区分两类。这一步处理速度极快，只需几秒钟，却能消灭最表层、最容易提取的线性信号，从而让后续的迭代流程专注于处理更深层的非线性残余信号。

MANCE++在LEACE的基础上，又额外加入了一步"协方差不对称投影"（CovMatch）。LEACE处理了均值差异，但两类表示的方差结构可能仍然不同——比如男性相关句子在某几个方向上方差很大，女性相关句子在另几个方向上方差很大，这种差异本身也可以被非线性探针利用来识别性别。CovMatch计算两类表示的协方差矩阵之差（ΔΣ = Σ? – Σ?），取其绝对值最大的两个特征向量，并将这两个方向从表示中投影去除。整个操作只去掉了最多3个维度的信息（均值差方向加上两个协方差差异方向），对于动辄768到5376维的表示空间来说，这不过是九牛一毛，对保留其他信息几乎没有影响。但它有效地消除了二阶矩结构中可被利用的信号，使后续迭代流程只需对付那些真正藏在非线性"褶皱"里的残余信息。

研究团队通过消融实验证实，对于性别这个概念，仅做LEACE之后的非线性探针仍然能以远高于随机猜测的准确率预测性别；加上CovMatch后残余信号降低，但仍有14.8个百分点高于随机；只有在MANCE++的完整流程之后，这个差距才接近零。对于安全性这个概念，规律类似：LEACE之后仍有大量残余，MANCE++将其压缩到几乎为零。而谄媚性（sycophancy）这个概念则很特殊——仅做LEACE和CovMatch就已经达到了接近随机的效果，说明这个概念本身编码得相对线性，MANCE的非线性迭代对它几乎没有额外贡献。

四、实验怎么设计，用什么来衡量"手术是否成功"

研究团队设计了迄今为止概念擦除领域最大规模的评测框架，涵盖119个设置，横跨文本和图像两种模态。

在文本方面，他们选择了13个不同规模的大型语言模型，包括Qwen2.5系列（0.5B到3B参数）、Gemma-2系列（2B到27B）、Gemma-3系列（1B到27B）、Llama-3.2（1B和3B）以及Mistral-7B。对于每个模型，实验都在模型深度约50%处的中间层提取隐藏状态，因为这个位置通常编码最丰富的语义信息。三个擦除目标分别是：谄媚性（模型是否会迎合用户预期答案）、性别（从传记文本中读取职业时是否包含性别信息），以及安全性（对话内容是否涉及不安全内容）。对应的保留目标分别是：回答偏好、职业信息、有帮助性。

在图像方面，他们使用CLIP模型对CelebA人脸数据集的40个二元属性（如"是否戴眼镜"、"是否化妆"、"是否是男性"等）逐一进行擦除测试，并为每个属性设计了两种保留场景：一种选择与目标属性相关性最低的5个控制属性（测试操作的地域精准度），另一种选择相关性最高的5个控制属性（测试在高纠缠情况下的可手术性）。例如，在擦除"男性"这个概念时，相关性最高的控制属性包括"涂口红"（相关系数约0.80）、"浓妆"、"没有胡须"、"有吸引力"和"络腮胡"，这些属性在数据中与性别高度相关，若擦除操作不够精准，极易在擦除性别的同时破坏这些属性的预测准确性。

衡量标准方面，论文定义了两个关键指标。目标泄漏（target leakage）衡量擦除后目标概念是否真的被清除干净：在被修改的表示上重新训练一个非线性探针，看它的预测准确率与随机猜测（多数类准确率，即始终猜"最常见的那个类别"）相比差多少。差距为零，说明彻底擦除；差距越大，说明擦除越不干净。可手术性损失（surgicality degradation）则衡量控制概念的预测准确率下降了多少：理想的手术应该让控制概念准确率保持原样（差距为零），差距越大说明误伤越严重。

为了公平比较，研究团队引入了"可手术性预算"的概念：允许控制概念准确率下降不超过1、3、5或10个百分点，在此约束下比较各方法能达到的最小目标泄漏。这就像规定"手术不能伤害超过X毫升好的组织"，在这个约束内比谁能更彻底地清除肿瘤。

五、实验结果讲述了一个怎样的故事

结果给出了非常清晰的图景，而且在文本和图像两个领域高度一致。

在文本实验的39个设置中（13个模型×3个概念），MANCE++展示出了其他方法无法企及的综合表现。现有最强的非线性基准方法Obliviator，在允许控制准确率下降不超过1个百分点的严格预算下，能够达到随机猜测水平的只有13个设置，其余26个设置要么超出了预算，要么留有可观的残余泄漏。MANCE++在同样的预算下，有19个设置达到随机猜测，并随着预算宽松逐渐扩展：预算放宽到3个百分点时，32个设置达到随机；放宽到5个百分点时，34个；放宽到10个百分点时，35个，平均泄漏为零。

更重要的是，Obliviator之所以在某些设置上表现得好，部分原因是它在那些设置上根本没有满足可手术性预算的有效步骤——也就是说，它的"好成绩"是建立在大量"没有结果"的基础上的，只在最容易的那几个任务上交出了漂亮的答卷。MANCE++则相反，它能在更多、更难的设置上保持在预算内，并且在这些更难的设置上同样将泄漏压到零附近。

性别擦除任务最能说明问题。职业和性别在真实数据中高度纠缠，这正是方法可手术性最受考验的场景。在允许1个百分点控制损失的严格预算下，MANCE++能在13个模型中的3个上将性别信息擦除到随机猜测水平；Obliviator一个都做不到。把预算放宽到5个百分点，MANCE++有12个模型达到随机，Obliviator仍然一个都无法在预算内完成。安全性任务居中：MANCE++可以让11个模型在严格预算下达到随机，Obliviator在2个模型上超出了预算。谄媚性任务则是个有趣的例外——所有方法（包括最简单的线性方法）都能轻松把它压到随机，说明谄媚性信息在语言模型的中间层里本质上是线性可分的，不需要非线性手段。

在图像实验的80个设置中（40个属性×2个控制相关度场景），故事同样清晰。在相关度低的控制场景下（属性之间几乎不纠缠），MANCE++在允许1个百分点控制损失时，有39个属性保持在预算内并达到随机，Obliviator只有15个；在允许3个百分点时，MANCE++覆盖全部40个属性，Obliviator只有29个。在相关度高的控制场景下（这才是真正的难题），MANCE++在1个百分点预算下覆盖19个属性，Obliviator只有2个；在3个百分点预算下分别是34个对15个。Obliviator在最高相关度、最严格预算的组合下，38个属性都没有任何满足预算的有效步骤——这意味着它的操作太过激进，在清除目标概念的同时已经大幅破坏了与之相关的控制属性。

六、"是流形约束的功劳"——消融实验如何证明这一点

有人可能会问：MANCE++的成功，究竟是来自流形约束这个核心设计，还是仅仅因为它使用了更好的非线性探针或更多迭代步骤？

研究团队专门为此设计了一个对照实验，称为AmbCE++。它与MANCE++在各方面完全相同——同样有LEACE和CovMatch的预处理，同样用非线性探针计算梯度，同样迭代60轮——唯一的区别是：AmbCE++去掉了切空间投影，直接在整个表示空间里沿梯度方向迈步，步长设定为MANCE++实际使用的平均步长29.31（这个值是从MANCE++在39个NLP设置上的每轮每样本步长统计出来的）。

结果：AmbCE++留下了6到10个百分点的残余泄漏，而且在许多设置上，它的整条迭代轨迹都无法满足可手术性预算，这些设置因此被排除在它的平均值计算之外——也就是说，即便那个6到10个百分点的平均值，也只是在它能完成的较简单设置上测出的，实际整体表现更差。

这个对比非常直接地证明了：MANCE++的性能提升确实来自流形约束本身，而不是其他辅助设计。沿着地毯纹路走，才是手术精准的关键。

七、流形假说的直接验证：真实表示空间真的是低维的吗

研究团队还专门对流形约束假说的前提条件进行了验证，毕竟整套理论的根基在于"真实表示确实集中在低维流形上"这一假设。

他们使用一种叫做TwoNN的方法来估算表示的"内在维数"——简单地说，这个方法通过分析每个点与其邻居的距离关系来推断数据实际上在多少维的空间里展开（而不仅仅是被嵌入在多高维的向量空间里）。对谄媚性概念的分析结果显示：尽管表示向量本身的维度在768到5376之间，其内在维数只有34到53——也就是说，真实数据实际上只在不到百分之十的维度上展开，其余维度上几乎没有有意义的变化。

与此同时，他们还计算了"全局概念方向"（在所有样本上统一计算的单一擦除方向）与"局部概念方向"（在每个样本的邻域内单独估算的方向）之间的夹角。对于谄媚性，这个夹角在76.9到82.6度之间——几乎垂直！这意味着单一的全局方向在不同局部几乎毫无代表性，局部的流形方向因位置不同而大幅变化，正是一个高度弯曲的低维流形应有的特征。相比之下，性别概念的这个夹角在51.8到55.8度之间，内在维数高达365到461——更接近线性分布，这与前面观察到的"线性方法就能很好处理性别"高度吻合。

这些几何分析不仅支持了流形约束假说的前提，也解释了为什么不同概念需要不同的处理方式：越是非线性、低维弯曲的概念，流形约束的收益越大。

八、计算代价值不值：速度对比

研究团队也如实报告了计算开销。在同一块NVIDIA B200 GPU上测试，处理一个典型NLP设置（Qwen2.5-1.5B模型的性别概念）时，LEACE只需约3.7秒，加上CovMatch也只需7.3秒；IGBP需要约20秒；Obliviator约24秒；INLP约286秒（主要因为它的每轮都需要在CPU上做逻辑回归）；而MANCE家族的三个版本则分别需要约459秒、471秒和475秒——大约8分钟。

主要的时间开销来自两部分：每轮对所有样本做K近邻查找和局部SVD（占运行时约50%），以及CPU和GPU之间的数据传输（占约40%）。研究团队指出，目前的实现并未针对速度优化，一个完全在GPU上运行的实现可以将速度大幅提升。这8分钟是针对7200个训练样本、60轮迭代的一次性拟合时间，不影响推理速度。

归根结底，MANCE++用大约8分钟的预处理时间，换来了其他方法无法达到的精准擦除质量。对于需要在生产环境中做表示级别信息控制的场景（比如确保招聘推荐系统不编码性别偏见，或者确保对话模型不泄露安全敏感信息），这个代价是值得的。

这项研究真正让人着迷的地方，在于它把一个数学上的几何直觉——"真实表示集中在低维流形上"——转化成了一个可操作、可验证、可推广的工程方法，并通过横跨两种模态、13个模型、43个不同概念的大规模实验证实了这一直觉的有效性。

更深层的含义或许比方法本身更值得思考：AI系统的内部"记忆空间"并不是一片混沌，而是高度结构化的。这种结构一方面使得精准干预成为可能，另一方面也意味着，任何破坏这种结构的操作都会带来意想不到的副作用。未来在激活引导（activation steering）、概念迁移乃至模型行为控制等方向上，尊重这种内部几何结构，可能都是比暴力干预更明智的选择。

对这一方向感兴趣的读者，可以通过arXiv编号2607.03973查阅完整论文，研究团队也已在GitHub（MatanAvitan/mance）上开放了代码。

Q&A

Q1：概念擦除和直接在训练数据中删除某类信息有什么区别？

A：直接修改训练数据需要重新训练整个模型，代价极高，而且训练本身的信息提取过程难以精确控制。概念擦除是在已训练好的模型的内部表示上直接操作，无需重新训练，适用于需要快速调整的生产场景，且可以在保持模型其他能力不变的前提下定向移除特定信息。

Q2：MANCE擦除后的表示还能插回原模型继续使用吗？

A：可以。MANCE修改的是表示向量本身，输出的向量保持原始维度不变，这正是Obliviator等方法无法保证的一个实用优势。保持维度意味着被修改的表示可以直接插回模型计算流，用于激活补丁等下游操作。

Q3：流形约束假说在什么情况下会失效？

A：当数据的内在维数接近表示空间的全维度时，流形约束的优势会缩小——因为几乎每个方向都有数据支撑，约束效果趋近于无约束。另外，当用于估算局部切空间的自然表示样本数量不足或分布稀疏时，切空间估算的精度会下降，效果也会受影响。从实验来看，性别概念的内在维数达到365至461，接近部分模型的全维度，这与性别适合用更简单线性方法处理的观察一致。