该论文研究了真实数据与文本到图像（T2I）生成数据混合训练（RSMT）对隐私泄露的影响。尽管在学术界和工业界，使用T2I合成数据扩充真实数据已成为缓解数据稀缺和隐私限制的常见做法，但先前研究主要关注合成数据替代敏感样本对隐私的保护作用，而忽略了混合训练中剩余真实样本的隐私风险。本文首次揭示RSMT会显著放大真实训练样本的隐私泄露。作者建立了理论框架“RSMT记忆放大”，证明合成数据的加入会将真实样本推向混合特征空间的边缘区域，导致模型更主动地记忆这些样本。基于此理论，提出了系统性评估风险的成员推断攻击方法RSMIXLeak，包括两种变体：非对抗变体用于评估良性RSMT管线下由真实与T2I数据固有差异导致的下界泄漏；对抗变体则考虑攻击者控制T2I模型或贡献恶意数据，通过高级语义属性绑定或不可察觉的像素级涂层人为扩大目标类的分布差异，进一步放大隐私泄露同时提升下游模型效用。最后，提出一种轻量级泄漏倾向指标，仅需真实数据即可计算，可靠识别不适合进入RSMT的高风险数据集，作为可自评估的缓解措施。该研究对数据隐私保护、机器学习安全及合成数据应用有重要警示意义。

模型剪枝是深度学习中常用的压缩技术，迭代式剪枝能在保持较低效用损失的同时实现更好的压缩效果。然而，本文分析表明迭代剪枝显著增加了模型的记忆化程度，使得剪枝后的模型更容易受到成员推断攻击的威胁。现有的大多数成员推断防御方法都是针对原始未剪枝模型设计的，无法直接应用于迭代剪枝模型。为此，作者提出了一个新的防御框架WEMEM，旨在削弱迭代剪枝过程中的记忆化。具体而言，作者识别出导致迭代剪枝中记忆化增加的两个关键因素：数据重用和固有记忆性。这两个因素单独或共同作用形成了三种导致记忆化增强的场景。针对这些因素的特征，作者设计了三种防御原语，并通过组合这些原语提出了针对每种场景的定制防御方法。在10种自适应成员推断攻击下的全面实验表明，所提出的防御方法有效，并且在隐私-效用权衡和效率方面优于五种现有防御方法。此外，作者还增强了所提出防御方法的自动设置调整能力，以提高其实用性。

本研究提出了一种针对大型语言模型（LLM）的成员推断攻击方法——PopQuiz攻击。成员推断攻击旨在判断某个特定数据样本是否被用于模型训练，从而泄露训练数据的隐私。该方法将目标数据转化为多项选择题的格式，通过黑盒访问模型（即仅能获取模型输出，无法访问内部参数或梯度）来测试模型是否能正确回忆特定训练样本。攻击者构造问题，要求模型从多个选项中选出正确答案，并根据模型的回答模式推断成员身份。实验在六个广泛使用的LLM（GPT-3.5、GPT-4o、LLaMA2-7b、LLaMA2-13b、Mistral-7b和Vicuna-7b）以及四个数据集上进行，平均ROC-AUC达到0.873，比现有方法高出20.6%。研究还分析了影响攻击成功率的因素，包括查询复杂度、数据类型、数据结构以及训练设置（如模型大小、训练轮数等）。此外，论文评估了三种防御机制：基于指令的防御、基于过滤器的防御和基于差分隐私的防御。这些防御虽能一定程度降低攻击性能，但并未完全消除风险。研究表明，现代LLM中仍存在显著的隐私漏洞。本工作对于理解LLM的隐私风险、设计更安全的模型部署方案具有重要参考价值。

本文针对联邦学习中的成员推断攻击提出了一种统一的防御框架。成员推断攻击旨在判断某个特定数据样本是否被用于训练模型，严重威胁用户隐私。现有防御方法存在计算开销大或可用性-隐私权衡不佳的问题。作者提出通过知识蒸馏和贡献感知聚合来协同防御：首先，服务器利用全局模型对客户端更新进行蒸馏，生成软标签指导本地训练，减少过拟合从而降低成员推断风险；其次，引入贡献感知聚合机制，根据客户端数据质量动态调整聚合权重，使聚合器对异常更新更鲁棒。实验在多个基准数据集（如CIFAR-10、MNIST）上验证，结果表明该方法在保持模型可用性的同时，显著降低了成员推断攻击的成功率（AUC下降超过10%），且计算开销低于现有对抗训练方法。该框架无需修改客户端训练过程，易于部署。