Se cancelli la cronologia di una conversazione con un agente IA, ti chiedi davvero se i tuoi segreti siano dimenticati. La risposta, secondo la ricerca più recente, è negativa: la cosiddetta “cancellazione superficiale” non elimina le catene di evidenza implicite che rimangono impresse nella memoria a lungo termine dei Large Language Model (LLM).

Il problema del “dimenticare” nei LLM

Il long‑term memory è diventato un elemento centrale negli agenti basati su LLM. La maggior parte degli studi si è concentrata sul migliorare il recupero delle informazioni, ma ha trascurato il lato opposto: la capacità di cancellare in modo definitivo i dati sensibili richiesti dagli utenti per motivi di privacy o conformità, come il diritto all’oblio previsto dal GDPR.

In scenari pratici, anche se l’utente ordina al sistema di eliminare la frase contenente il segreto (disclosure), altre voci apparentemente innocue – appuntamenti, indirizzi, relazioni – rimangono nella cronologia e formano una “evidence trail”. Quando queste tracce vengono combinate, è possibile ricostruire il segreto originale.

Il problema è più grave quando l’agente non risponde a una domanda non perché il dato sia stato davvero cancellato, ma perché il meccanismo di recupero non individua tutti gli indizi presenti nel “sottosuolo” della memoria.

MEMCUT: un benchmark di alta qualità

Per affrontare questa lacuna, il team della Hong Kong University of Science and Technology (Guangzhou), in collaborazione con l’University of Science and Technology of China e la Hong Kong University of Science and Technology, ha sviluppato il benchmark MEMCUT (Memory Erasure and Confidentiality Understanding Test).

MEMCUT introduce un doppio indicatore di valutazione:

    • Native Recovery (Nat.): misura quanto un agente riveli superficialmente il segreto usando il normale meccanismo di recupero.
    • Residual Recovery (Res.): fornisce al modello di lettura tutti gli oggetti di memoria rimasti, valutando quanto il segreto possa ancora essere ricostruito dal “sottosuolo”.

Il rapporto tra i due indicatori definisce l’Hidden‑risk Share (Hid.), ovvero la quota di rischio non evidente che rimane nascosta.

Metodologia rigorosa

Il benchmark è costruito senza affidarsi alla generazione automatica di fatti da modelli. Il processo segue:

    • Progettazione manuale completa delle scene.
    • Rifinitura tramite modelli per la generazione del testo.
    • Verifica manuale riga per riga.

Ogni scena è sviluppata per almeno 12 ore, risultando in 15 scenari multisesione che coprono da 1 a 3 mesi di interazioni.

Nel totale del dataset troviamo:

    • 490 sessioni
    • 43.402 turni di conversazione
    • circa 1,74 milioni di token
    • 456 segreti sensibili

Per ogni segreto, sono contrassegnate le round di disclosure e in media 8,1 prove implicite distribuite su 8 sessioni, oltre a 26,6 “distrattori” per confondere il modello.

Risultati sorprendenti

L’analisi di cinque architetture di memoria e quattro grandi modelli linguistici ha rivelato che, anche dopo la cancellazione dei dati espliciti, la percentuale di segreti recuperabili da prove residue varia dal 85 % al 99 %. Quando si impiega un LLM per aiutare la pulizia delle voci correlate, la percentuale scende ma resta comunque alta: dal 39 % al 76 % dei segreti può ancora essere ricostruito.

Il collo di bottiglia principale è la copertura insufficiente del pool di candidati da parte dei meccanismi di recupero attuali, che impedisce il vero dimenticare.

Tipologie di catene di evidenza

Le catene di evidenza sono classificate in quattro logiche:

    • Fact Assembly: combinazione di attributi della stessa entità (es. nome in codice + indirizzo + azienda = obiettivo di acquisizione).
    • Relation Chain: collegamenti multi‑passo tra entità diverse (es. contratto → studio di consulenza → rappresentante legale → cena con il coniuge).
    • Aggregation: somma o calcolo di valori numerici; la perdita di un singolo elemento impedisce la ricostruzione del totale.
    • Temporal & State Reasoning: tracciamento di aggiornamenti di stato lungo una timeline (es. proposte, modifiche, revoche).

Per cancellare completamente un segreto è necessario “tagliare” tutte le combinazioni minime sufficienti (cut). In media, basta eliminare 3,04 round di prova per interrompere la catena.

Implicazioni per la privacy e le normative

Il benchmark MEMCUT fornisce uno strumento standardizzato per valutare la conformità dei sistemi IA alle normative sulla privacy. Evidenzia che la semplice rimozione di messaggi espliciti non è sufficiente per garantire il rispetto del diritto all’oblio.

Le organizzazioni devono considerare meccanismi di cancellazione profonda che rimuovano anche le tracce implicite, oppure adottare architetture di memoria che permettano una cancellazione verificabile a livello di evidenza.

Prospettive future

Il lavoro di MEMCUT apre la strada a:

    • sviluppo di protocolli di pulizia basati su taglio di catene di evidenza;
    • creazione di agenti “privacy‑by‑design” con capacità di auto‑audit della memoria;
    • definizione di metriche di rischio “nascosto” da integrare nei requisiti di certificazione.

In sintesi, la ricerca dimostra che la cancellazione superficiale è un’illusione pericolosa. Solo una valutazione sistematica, come quella offerta da MEMCUT, può guidare lo sviluppo di agenti IA veramente rispettosi della privacy.