扩散模型成员推理：时间维度难度校准新方法

扩散模型在训练时使用了海量数据集，其中可能包含受版权保护或私密图像。成员推理攻击（MIA）正是用来检测某张图像是否属于训练集的。传统方法通过重建损失打分，将低损失图像标记为成员。但这种方法常常失效，因为有些图像本身就更易重建，一张简单的未见图像可能比复杂的训练图像损失更低。难度校准将记忆性与图像固有难度分开。近期研究提出了沿时间两个轴进行校准的方法：训练时间和扩散时间。

训练时间维度：参考模型校准（RMC）

第一轴是训练时间。研究者引入了参考模型校准（RMC），它将微调模型的损失与早期检查点进行比较。这种方法能干净地分离出新近记忆的数据，即使没有文本描述也能实现近乎完美的审计。RMC的核心在于：通过对比不同训练阶段的模型对同一图像的损失变化，区分“模型记住了”和“图像本来就简单”。

然而，早期检查点并非总是可用。这限制了RMC的实际应用。于是研究者进一步提出了不依赖历史检查点的方案。

扩散时间维度：时间自校准（TSC）

第二轴是扩散时间。时间自校准（TSC）仅使用单个模型，沿扩散时间进行校准。关键观察是：图像的难度在噪声水平上持续存在，而记忆性则局部化于时间。通过比较目标时间步与相邻时间步的损失，TSC利用模型自身的轨迹来衰减图像难度的影响。

具体来说，TSC在目标时间步的损失与邻近时间步的损失之间建立基线，从而剥离图像本身的易重建性。这种方法不需要任何额外检查点，仅凭当前模型即可完成校准。

扩散时间（diffusion time）指扩散模型前向加噪过程中的时间步 $t$，从 $t=0$（干净图像）到 $t=T$（纯噪声）。在训练时，模型学习在不同噪声水平下预测噪声或得分。对于成员推理而言，模型对训练图像的“记忆”往往集中在特定的时间步区间——即模型在该噪声水平上过拟合了训练样本；而图像本身的“难度”（如纹理复杂度）则在整个时间轴上相对稳定地影响重建损失。TSC 正是利用这一差异：在目标时间步附近选取相邻时间步作为参照，构建局部基线，从而抵消图像固有难度带来的损失偏移，仅保留由记忆性引起的异常低损失。这种沿扩散时间轴的校准无需访问训练历史，仅依赖当前模型在不同噪声水平上的行为一致性。

参数化形式（parameterization）指扩散模型在训练时选择让网络预测何种目标量。常见的有三种：$\epsilon$-预测（直接预测加入的噪声）、$x$-预测（预测干净图像）和 $v$-预测（预测噪声与图像的线性组合，即速度）。不同参数化会改变损失函数的尺度与分布，使得基于损失阈值的成员推理攻击在不同模型间难以直接迁移。RMC 和 TSC 的校准机制作用于损失的空间结构而非绝对数值，因此能够泛化到这些不同的参数化形式，这是它们优于传统攻击方法的重要属性。

实验结果与优势

实证表明，这些方法大幅超越了现有最优技术。与大多数现有攻击不同，它们能泛化到不同的模型参数化形式，例如$x$-、$v$-和$ε$-预测模型。代码已在GitHub上公开（https://github.com/MichaelJoseph777/TSC）。

RMC和TSC分别从训练进程和扩散过程两个角度切入，为成员推理中的难度校准提供了新思路。RMC在拥有历史检查点时表现近乎完美，而TSC在只有单一模型时仍能有效工作。两者的共同点在于认识到：难度是图像的固有属性，而记忆性是模型在训练中后天获得的，必须在时间轴上加以区分。

总结

这项研究解决了成员推理中一个根本问题：如何区分图像本身的易重建性与模型对训练数据的记忆。通过沿训练时间和扩散时间两个轴进行难度校准，RMC和TSC显著提升了攻击的准确性和泛化能力。对于关注扩散模型隐私审计的研究者和工程师，这一方法提供了新的工具。