RAG 系统常默认「未学」就能遗忘。arXiv 2607.00605(Raeesi & Roed, 2026-07-01)把这条契约拆开:模型冻结、只换数据库,在 FULL/DEL-ON/DEL-OFF 三态推理,把「删除后还能召回」拆成参数泄漏 L(f)、检索修正 R(f) 与伪影率三个分量。 实验覆盖 12,228 次删除、13 个数据库、4 种对抗拓扑、6 种 prompt。结果:参数泄漏在所有变体里接近零,模型权重并不「偷藏」被删事实;真正泄露的是检索图——R(f) 与伪影率四舍五入一致,删除后还答对的样本几乎全是邻接拼回的伪影,不是模型真的记得。 0.7%–13.6% 这个区间:官方库 0.7%,最对抗的 Collision 拓扑拉到 13.6%,靠数据库结构就把残留放大近 20 倍。prompt 改写不独立改变残留,真正能压住它的,是 alias-closure 边界外的图结构。 文章把「遗忘」从模型侧推回数据治理侧:未学不等于真删,除非把检索图一并清理。GDPR、《个人信息保护法》下「被遗忘权」审计必须落到向量库/键值库。RAG 想真合规,这篇因果审计几乎是必读。