训练数据删除传播：Tombstone、水位与派生制品处置

源表执行 DELETE 后，昨天导出的 Parquet、去重后的代表样本、训练节点缓存和对象存储快照仍可能包含同一记录；已经产出的 checkpoint 更不能靠删文件中的一行来修正。若只清理入口，夜间增量任务或灾备恢复还会把数据重新带回训练集合。

Agent 记忆删除传播 处理交互记忆、缓存和运行中工具的遗忘，本篇处理离线训练数据及 checkpoint、adapter、模型 release 等制品。RAG 授权撤销传播 在查询时阻断已撤权文档；训练管道不能依赖每次推理做同样过滤，必须在数据准入和制品发布前完成处置。

Tombstone 是单调控制事实

法律或合同是否要求删除由组织的数据治理流程判断。工程入口只接受已批准、范围明确的命令，并解析为稳定 recordId、主体键、source grant 或用途授权，不能在所有日志中模糊搜索原文。控制面追加不可变 tombstone，分配单调 sequence 与 policy generation：

{
  "tombstoneId": "ts_01K1...",
  "sequence": 44193,
  "scope": {"sourceGrant": "grant_882", "recordIdsDigest": "sha256:..."},
  "reason": "CONSENT_WITHDRAWN",
  "effectiveAt": "2026-07-19T10:00:00Z",
  "requiredAction": "EXCLUDE_AND_REVIEW_ARTIFACTS",
  "policy": "training-erasure.v3"
}

状态按 REQUESTED -> FENCED -> PROPAGATING -> ARTIFACT_REVIEW -> VERIFIED 前进，任何目标未知都进入 BLOCKED。FENCED 原子推进训练准入的最低 tombstone watermark；之后创建的训练数据集快照必须证明已消费至少该水位且成员无命中。旧 builder、重放 outbox 和恢复环境若低于水位直接拒绝发布，而不是依赖 tombstone 消费“最终会追上”。

已经运行的 job 绑定输入水位。控制面关闭其制品发布 permit，再决定取消、排空或重启；worker 即使在 fence 前读到了数据，也不能在 fence 后提交新 checkpoint。permit 的关闭与 in-flight 登记必须在一致性 gate 内完成，TTL 只回收所有权，不代表旧 worker 已停止。

反向血缘决定影响范围

资产图记录 source -> canonical record -> dedup cluster -> snapshot -> shard -> run -> checkpoint/adapter -> model release，每条边带生成活动、版本和用途。删除 record 时不仅找直接副本，还要检查它是否成为去重 cluster 的代表项、是否参与合成或蒸馏数据，以及哪些模型从相关 checkpoint 继续训练。记忆整合血缘 关注摘要事实和 supersede 关系；训练血缘额外要求覆盖模型制品和发布状态。

结构化数据、成员清单和训练分片可以生成不含目标记录的新版本，并撤销旧版本别名与读取授权。旧对象按保留政策隔离或删除，验证器以稳定 ID、集合摘要和墓碑水位证明新版本无命中。备份若不能逐项擦除，就缩短受限保留并设置恢复门：恢复后先重放完整 tombstone journal，再开放任何数据构建。

模型权重不能默认支持精确逐样本删除。受影响 checkpoint 先从新训练、发布和下载路径隔离，再由批准政策选择从干净快照重训、采用经过验证的 machine unlearning，或在风险评估后记录无需替换。任何 unlearning 都要绑定算法、基线、成员推断与效用评测，不能因为 loss 下降就声称已遗忘。已经外发且无法撤回的模型必须在完成证明中明确列为限制，不能伪造“全链路物理删除”。

证据不复制待删内容

每个 adapter 回报目标版本、扫描水位、命中计数、生成的新摘要、旧对象处置状态和验证器版本。完成证明保存范围 HMAC、计数和制品 ID，不保存原始文本。NIST SP 800-88 可指导介质清理与处置，但对象存储、密钥销毁和备份能力仍需针对实际平台验证；GDPR 第 17 条等要求的适用范围应由法律专业人员确认。

故障注入覆盖 tombstone 与快照提交竞态、去重代表项被删除、builder 离线后恢复、旧 checkpoint 继续训练、灾备漏 journal，以及 unlearning 报告与模型 digest 不一致。任何水位低于 fence 或仍命中 tombstone 的新制品都不得发布；重复命令返回同一 job。

指标包括 tombstone lag、低水位 builder 拒绝数、各资产类型待处理量、未知血缘边、受影响 checkpoint、隔离 release、验证失败和最长完成时延。SLO 到期但仍有未知目标时报告 BLOCKED，绝不能为了看板归零自动标完成。灾难恢复 演练也必须断言删除水位不倒退。

软件可以回滚，tombstone 不可回滚。旧版本上线前必须证明它识别当前最低水位与制品 permit；否则保持训练和模型发布关闭。纠正误删请求只能创建新的授权事实和未来数据版本，不能撤销历史墓碑、恢复旧 checkpoint 的发布资格。可靠传播的标准是所有新读取与新制品都越过 fence，历史影响和无法撤回项则有诚实、可审计的处置结论。

延伸阅读

• Agent 记忆删除传播
• RAG 授权撤销传播
• 训练数据集快照
• 训练分片原子发布