OLMo 2受控实验：训练数据成员推断的真相

语言模型是否在训练中见过某篇文档，直接关系到版权、隐私和基准测试污染。然而，大多数针对语言模型的成员推断（Membership Inference, MI）评估都是事后收集成员与非成员样本，成功可能只是分布偏移的假象，失败也无法得出明确结论。最近一项针对OLMo 2 1B的受控研究，通过重跑官方训练阶段，给出了更清晰的答案。

受控实验设计：用反事实对照消除分布偏移

研究团队重跑了OLMo 2 1B官方的500亿token中期训练阶段，但做了一处关键改动：将选定的训练数据块替换为来自7,814对匹配文档中的文档。这些文档对在领域和难度上经过匹配，每对文档通过抛硬币决定哪一篇被插入训练、哪一篇被保留在外。AI2从相同随机种子发布的原始运行在其他地方数据完全一致，作为反事实参考。

这种设计直接解决了传统MI评估的痛点——成员和非成员来自同一分布，且唯一变量就是是否被训练过。研究代码已在GitHub开源（OLMo-Twin项目）。

反事实参考（counterfactual reference） 是因果推断中的核心概念，指在相同条件下、仅改变一个处理变量时本应出现的结果。在本研究中，原始 OLMo 2 1B 模型的训练数据与实验模型几乎完全相同，唯一区别是训练集中是否包含某对匹配文档中的特定一篇。因此，原始模型可以看作“如果这篇文档没有被插入训练”的反事实世界，而实验模型则是“文档被插入训练”的事实世界。通过比较两个模型对同一文档的似然差异，研究者能够剥离文档内容、领域、难度等混杂因素，把“是否训练过”这一变量的因果效应单独估计出来。这种设计在观察性研究中通常无法实现，只有重跑训练流程并控制随机种子才可行。

核心发现：一次曝光改变似然，但难以精确定位

实验得出了几个值得关注的结论。一次训练曝光确实会提升未见文档的平均似然，但很少能据此识别出具体是哪篇文档。以反事实模型为参考时，参考比值的ROC曲线下面积（AUC）达到0.767，但若跨领域使用单一阈值，在1%假阳性率下只能捕获3.8%的成员。

这意味着，即便有近乎完美的对照条件，文档级别的成员推断依然面临巨大挑战。研究进一步指出，13对匹配文档就能让配对检验在5%显著性水平下达到80%的统计功效，用于检测某个集合是否被训练——这比逐文档识别要现实得多。

ROC 曲线下面积（AUC） 是衡量二分类器整体性能的常用指标，取值范围为 0.5（随机猜测）到 1.0（完美区分）。在成员推断中，AUC 表示随机抽取一个成员文档和一个非成员文档时，攻击者给成员文档打分更高的概率。本文报告的 AUC 0.767 说明，在反事实参考下，模型对训练过的文档赋予的似然确实系统性地高于未训练文档，区分能力明显优于随机猜测。但 AUC 是一个全局平均指标，高 AUC 并不意味着在低假阳性率下仍有高召回率。实际审计场景往往要求“在 1% 假阳性率下尽可能多地识别成员”，此时单一阈值跨领域应用只能捕获 3.8% 的成员，暴露出文档级推断在操作层面的脆弱性。

参考模型的选择至关重要

研究对比了不同参考策略的效果。用另一个随机种子训练的参考模型，能恢复反事实参考相对随机猜测的AUC优势的92%；而无参考攻击在跨领域汇总时，与随机猜测的差距不超过0.07。这说明参考模型的质量直接决定了攻击的上限，但即便如此，文档级别的个体差异仍然显著限制了推断精度。

另一个关键数据是：完整的官方后训练流程在两个模型上重跑后，平均效应保留了89%。这提示后训练阶段并不会大幅抹除训练暴露留下的痕迹。

统计功效（statistical power） 指当备择假设为真时，检验正确拒绝原假设的概率，通常以 80% 为可接受下限。本文中，配对检验的原假设是“某集合中的文档与对照文档在似然上没有系统差异”，备择假设是“该集合被训练过”。由于逐文档的效应量很小且方差大，单个文档的检验几乎不可能达到足够功效；但将 13 对匹配文档的似然差合并后进行配对检验，就能在 5% 显著性水平下达到 80% 功效。这里的“13 对”是一个关键样本量结论：它意味着集合级检测不需要海量文档，只要精心匹配对照组，较小规模的数据集合也能被可靠地检测出来，这对版权审计和基准污染检测具有直接的操作意义。

对版权与隐私评估的启示

这项研究传递的核心信息是：成员推断在文档级别仍然不可靠，但集合级别的检测是可行的。对于版权诉讼或隐私审计，要求逐文档证明“模型见过这篇”在统计上非常困难；而检测“模型训练数据中包含某个特定集合”则现实得多。

研究团队承诺释放检查点、逐token对数概率和评估文档，这将为后续MI研究提供难得的受控基准。对于关注训练数据治理的从业者，这项工作的价值不在于给出一个攻击工具，而在于划清了当前技术能力的边界。

后训练（post-training） 通常包括监督微调、偏好对齐等阶段，会显著改变模型的行为分布，因此一个自然的问题是：中期训练中留下的成员信号是否会被后训练抹除。本研究重跑了完整的官方后训练流程，发现平均效应保留了 89%，说明训练暴露在似然上留下的痕迹具有相当的持久性。但需要注意，“平均效应保留”不等于“逐文档可识别性不变”：后训练可能改变似然的绝对水平，也可能对不同文档产生异质性影响。这一结果提示，即使模型经过了后训练，基于参考模型的集合级检测仍然有效，但文档级攻击不会因为后训练而变得更容易或更困难，其根本瓶颈仍在于单次曝光效应太小。