该论文针对新兴的 "Jev" 接口开展首次系统性安全、隐私与双用途研究。Jev 能将自然语言问题转化为带类型的答案与概率，具备低延迟、低成本特点，可作为应用决策层，用于请求路由、工具选择等。作者使用官方 Jev API 与本地可训练、可更新的模型 NanoJev，围绕三个研究问题展开：(1) Jev 作为应用决策层会引入哪些安全威胁；(2) 尽管输出受限于固定类型，Jev 仍可能泄露哪些隐私信息；(3) Jev 的通用决策能力如何被用于防御或恶意目的。在安全方面，作者发现 Jev 的决策依赖应用状态并可能受用户输入影响，因此适配提示注入与对抗后缀来操纵其决策；同时，开源 Jev 的分发与更新会引入供应链风险，作者通过在 NanoJev 训练数据中植入后门来验证该类风险。在隐私方面，由于 Jev 的输出同时反映应用状态与训练中学到的信息，作者改造成员推理、私有属性推理与内部知识推理攻击，证明即便输出格式受约束仍可恢复敏感信息。在双用途方面，作者将 Jev 视为通用决策预言机，通过四类检测任务（提示注入、越狱输入、有害内容、AI 生成文本识别）展示其防御价值，同时也分析了越狱与模型抽取等滥用场景。实证评估表明：Jev 对上述安全与隐私威胁仍然脆弱，而其决策能力既可支撑有益用途，也可被恶意利用。该工作为将大模型作为决策层的系统提供了风险画像与攻击面梳理，适合 LLM 应用架构师、AI 安全研究员、SOC 与模型供应链治理人员阅读。

合成基因表达数据被视为受控访问基因组库的隐私保护替代方案，但其隐私安全性必须通过实证审计验证。成员推断攻击（MIA）通过判断某患者的基因表达谱是否参与生成模型训练来完成这一审计。本文针对 ELSA Health 2026 挑战赛发布的、源自 TCGA bulk RNA-seq 的合成基因表达数据开展红队研究。作者将五种无盒（no-box）成员推断攻击统一到一个加权距离框架下，各变体仅在基因加权方式上不同：均匀加权（基线）、按方差加权、按合成数据与参考数据的 KL 散度加权、通过谱残差化去除主成分的加权、以及基于精选通路成员的加权。在条件变分自编码器（cVAE）上，谱残差化将 pan-cancer TCGA 的 AUC 从 0.8251 提升至 0.8951，1% FPR 下的 TPR 从 0.3842 提升至 0.5970。基于生物通路的先验加权未能跨目标迁移。该工作为合成基因组数据的隐私审计提供了统一方法学参考，并揭示了谱残差化在无盒攻击中的显著优势。适合基因组隐私、合成数据生成与机器学习隐私审计的研究者阅读。

该论文研究成员推断攻击(Membership Inference, MI)在“单轮(one-round)”设定下的信号校准问题。当前最先进的 MI 方法依赖参考模型(在排除目标样本的数据上训练的辅助模型)对每个样本单独进行逐样本校准,从而得到很强的成员信号。然而这一范式对现代大模型难以扩展:复现一次训练成本过高,几乎不可能为同一目标训练出多个参考模型。于是在实际场景中往往只剩单个已训练模型可用,即 one-round 设定;但缺少参考模型后,驱动最强攻击的逐样本校准无法估计,成员信号显著变弱,攻击性能下降。作者提出核心问题:能否在不训练任何额外模型的前提下,利用目标数据点自身的“邻居”来恢复这种校准?其关键观察是,参考模型的作用本质上只是揭示“某个样本在未见过它的模型上会呈现怎样的行为”;而在目标模型上查询与该样本邻近的样本,可以提供同等的信息——邻居样本本身大概率未被训练集包含,因此其行为可充当局部基线。基于此,作者提出两种互补的邻居构造方式(即如何获得与目标点语义/特征接近的邻近样本),并进一步发现:将这些邻居查询结果与训练早期的检查点(early training checkpoint)进行对比,可以进一步锐化成员信号。实验在三个图像分类数据集和三种训练配置下展开,结果显示邻居校准能够产生强成员信号并取得有竞争力的攻击性能,且不带来任何额外训练开销。该工作为缺少参考模型的大模型隐私审计提供了低成本、可操作的替代校准思路,也对隐私保护评估与防御设计提出了新的威胁模型考量。

该论文研究成员推理（Membership Inference, MI）在近重复家族（near-duplicate families）存在时的失效问题。MI 用于判断某条记录是否出现在模型训练集中，正被越来越多地用于数据溯源和版权审计。这类应用需要确定查询记录的精确版本是否被用于训练，而不仅仅是模型是否接触过相似内容。然而，网络规模数据集天然包含近重复项，如联合发布文章、镜像页面和轻微修改的图像。作者指出，这为标准 MI 带来根本性混淆。传统干净参考审计（clean-reference audit）的零假设是查询记录及其近重复家族均不存在，但部署中查询记录可能缺失而其非完全相同的家族成员却被用于训练。为此，作者提出四世界审计（four-world audit），独立变化精确记录包含和家族存在性以区分情况。实验发现，自然近重复家族导致严重错误归因：在 CC-News 数据集上，干净参考 LiRA 审计器在 1.00% 假阳性率下将 99.70% 的家族存在但精确记录非成员的样本标记为成员。该失效在不同分数、模型架构以及执行去重和重训练后依然存在。控制实验进一步揭示，效应取决于学习目标：在分类任务中，忠实家族在很大程度上替代精确记录，使精确给定家族的推理接近随机；在自回归语言建模中，精确序列仍保留可检测残差，但家族存在仍会混淆干净参考决策。结论表明，仅基于模型的阳性成员证据可能建立家族级暴露，但无法建立精确记录溯源。

该论文研究的是「在线策略蒸馏（On-Policy Distillation, OPD）」场景下的成员推断攻击（Membership Inference）。OPD 的训练方式与传统蒸馏不同：它让学生模型在自己生成的轨迹上，去匹配教师模型给出的下一个 token 概率分布。问题在于，教师模型在蒸馏时往往会被喂入一些「特权信息」（privileged information），这些信息可能包含敏感记录（例如私有数据集中的样本、医疗问答记录等）。那么一个自然且关键的安全问题是：学生模型在蒸馏完成后，是否会泄露「某条记录曾被用于教师监督」这一事实？作者指出，此前这一问题几乎没有被系统研究，本文据称是首个针对该场景的成员推断系统性研究。 论文首先观察到：固定参考答案上的损失（fixed reference-answer loss）往往无法暴露成员信号，而学生模型新采样（fresh）的轨迹中却存在稀疏但可用的成员信号。难点在于，这些信号会与其他记录训练所带来的概率变化混杂在一起，形成干扰。 为此作者提出 Leaky 方法：从目标模型（学生）采样新的轨迹，取每个 token 的对数概率，并与「用不含候选记录的数据训练出的一组匹配参考模型」在同一 token 上的最大对数概率进行比较；随后对得到的差值套用 Leaky ReLU，即保留正差值、对负差值进行降权，以此近似修正非成员模型中偶然出现的正差值（假阳性信号）。 实验覆盖数学推理、医疗问答、代码生成三大类共 15 个目标模型。结果显示 Leaky 在所有评估基线上均取得更优表现：主评估中平均 AUROC 达 0.875，而每个目标上最强的基线仅为 0.614；在相同的采样轨迹上，最强基线的平均 AUROC 为 0.826。作者由此得出结论：即便固定参考答案损失几乎给不出成员证据，经由 OPD 训练的学生模型依然会泄露教师监督所用记录的成员身份。对安全从业者而言，这意味着「蒸馏」并非天然的隐私保护手段，反而是新的隐私侧信道。

该论文针对视觉语言模型（VLM）在隐私敏感与带宽受限场景下的视觉问答（VQA）任务，提出名为 QPriv-VL 的「问题引导式、隐私感知」视觉 token 剪枝框架。研究背景是：联邦学习（FL）、拆分学习（SL）与 U 型拆分学习（USL）虽然能保持原始数据本地化，但跨模型分区传输全部视觉 token 依然带来高昂通信开销，并可能通过中间表示泄露隐私信息；而现有固定比例剪枝方案不区分任务相关性与隐私敏感性，容易在压缩的同时保留敏感区域或误删回答所需的关键图像块。核心方法上，QPriv-VL 在传输前对视觉 token 进行剪枝，其关键组件是轻量级动态阈值预测器（DTP），能在单次前向传播中同时估计「样本级剪枝比例」与「token 级保留掩码」。DTP 融合两类信号：一是问题相关性，通过视觉 patch 与池化后的问题嵌入之间的跨模态相似度计算得到；二是敏感性信号，由冻结的 DINOv2 特征导出。二者结合使模型在无需敏感性标注的前提下，抑制潜在敏感区域，同时保留对回答问题有用的图像块。作者在 GQA、OK-VQA、VQAv2、SLAKE、VQA-RAD、PathVQA 六个数据集上，针对四类隐私攻击（FSHA、FORA、iDLG 以及属性推断型成员推断攻击 MIA）进行了评测。实验结果显示：DTP 在传输显著更少 token 的情况下，达到或超过固定比例剪枝的效果；在 VQA-RAD 上把成员推断攻击成功率从 0.99 降至 0.76–0.79；相对固定比例剪枝降低了 FSHA 与 FORA 的重建 PSNR；在仅使用约 40% 原始视觉 token 预算的前提下仍保持有竞争力的 VQA 准确率。此外，敏感性排除比达到 1.20±0.18，表明模型优先剔除隐私敏感图像块；可解释性分析进一步表明保留策略会随问题语义自适应调整，而非简单依据通用视觉显著性。适合拆分学习/联邦学习系统设计者、VLM 隐私保护与模型压缩方向的研究人员阅读。

该论文研究的是针对检索增强生成(RAG)系统的知识库成员推断攻击(Membership Inference

本论文关注机器学习模型隐私审计的可扩展性问题。成员推理攻击（MIA）是评估模型是否泄露训练数据隐私的主流手段，但当前最先进的攻击需要训练大量计算昂贵的影子模型（shadow models），成本和算力开销极高，导致对大规模模型库或频繁迭代的模型进行系统性隐私评估在实践中难以落地。作者提出的核心研究问题是：能否用廉价、无需额外训练攻击模型的谱（spectral）指标，作为 MIA 脆弱性的代理度量？具体做法是采用源自重尾自正则化（heavy-tailed self-regularisation）框架的若干 WeightWatcher 权重谱指标，在图像分类与表格分类任务上进行评估，并将其与成员推理隐私泄露之间的关系，同传统泛化能力度量（如泛化差距 generalization gap）进行对比。实验发现：跨数据集上，稳定秩（stable rank）与整体 MIA 攻击成功率之间存在强正相关；而 Log alpha-Norm 在低假阳性率区间与 MIA 脆弱性呈一致的负相关。更重要的是，这些谱指标与隐私泄露的关联强度明显高于泛化差距所给出的关联。这说明神经网络的权重谱中可能携带了传统过拟合度量未能完全捕捉的隐私泄露信息，即“泛化好”并不必然等价于“隐私风险低”。论文由此倡导将谱分析作为可扩展隐私审计的一条有前景的研究方向，为在不训练影子模型的前提下快速筛查模型隐私风险提供了初步证据。该工作适合隐私审计、机器学习安全、模型发布风险评估方向的研究者与工程师阅读，属于方法论探索阶段的实证研究。

该论文针对自然语言处理中的训练数据隐私风险，系统评估了成员推断攻击（Membership Inference Attack, MIA）在文本分类任务上的实际威胁。MIA 的目标是判断某条具体记录是否被用于训练某个模型；在 NLP 场景下，训练语料往往包含用户文本等敏感信息，因此一旦模型泄露成员信号，就意味着训练数据存在被反向识别的隐私风险。作者在 GLUE 的 SST-2 情感分类数据集上构建了一个受控基准，横向对比了两类典型模型：基于 TF-IDF 特征的传统机器学习流水线（配逻辑回归分类器）与经过微调的预训练 Transformer 模型 DistilBERT。评估使用基于损失阈值的成员推断攻击，同时用开发集准确率和宏平均 F1 衡量模型的正常效用。实验结果显示，DistilBERT 的效用显著更高，准确率 0.9466、宏 F1 0.9460，而逻辑回归为 0.8756 与 0.8727；但两者的成员信号均被攻击成功提取，攻击 AUC 分别为 0.5615（DistilBERT）和 0.5800（逻辑回归），说明更强的模型并不必然对应更差的隐私保护。论文进一步测试了两种缓解手段：其一是加强正则化，能够降低逻辑回归的成员泄露，但会带来可观察到的效用损失；其二是将 DistilBERT 的微调轮数从 3 轮减少到 2 轮，结果在准确率几乎无损的前提下降低了泄露程度。作者据此提出，轻量级的训练过程调整（如早停式的轮数控制、正则化调节）即可改善隐私—效用权衡，无需引入复杂的隐私防御机制。整体而言，这是一项面向基线与可复现性的实证研究，为 NLP 隐私评估提供了参照点与方法论启示。

这篇论文审视大语言模型成员推断（membership inference）证据的可靠性。传统做法是：若模型对某句子预测代价异常低（困惑度低），就推断它出现在训练数据中；但几乎所有已发表的此类检验都必须猜测哪些句子是训练集成员、哪些不是，这种猜测本身就是偏差来源。作者利用 OLMo-2 与 Pythia 两个开源模型族公开的预训练语料，以及覆盖这些语料的公开索引，直接取得任意句子出现的精确重复次数，从而消除猜测。基于精确计数，论文从两侧'夹击'回答三个问题。其一，在普通文本实际具有的重复水平下，从 1B 到 13B 的五个模型对自身暴露最多只留下极微弱痕迹：作者让同一句子在两个模型上读取，在构造上抵消流畅度与文本质量影响，测得秩相关约 -0.08（-1 为完全相关，0 为无关）。其二，只有当重复次数超过约一千次时痕迹才变强，而两个语料库对'哪些句子被重复'判断一致，因为这些句子属于名人名言式的知名文本，暴露程度因此无法与'知名度'区分。其三，作者展示表观成员信号如何被制造：把成员句子改一个词来构造非成员是常见做法，模型确实偏好原句，但该差距与原文出现 1 次还是 100 次无关，说明模型奖励的是作者用词而非记忆；而在重复超过一千次的 12 个可测句子上，差距随模型规模增大，恰在相同临界点。此外，把对照组换成语体（register）不同的句子，可把检测器 AUC 从 0.83 提升到 0.94（0.5 为随机，1.0 为完美区分）。作者开源了句子集、重复计数与代码。结论是：成员证据只在被混淆之处才可检测，现有成员推断结论需谨慎解读。

该论文关注差分隐私（DP）合成文本发布中的残余隐私风险审计问题。合成数据被越来越多地提议作为敏感真实数据的替代品发布，即使通过DP对最坏情况隐私泄露提供理论保证，实践中仍存在残余风险。现有的成员推断攻击（MIA）审计只测量随机抽取记录的平均风险，可能掩盖脆弱子群体面临的风险。为此，作者定义了一种“子群体定向的成员推断博弈”，将目标池作为显式参数，并在四种数据集、三种生成器（DP-SGD微调、基于API的提示生成、激活引导）和五个隐私预算下，用32个代理在三种不同攻击者知识场景中实例化审计。审计结果表明：合成发布确实会泄露子群体成员信息，且既有攻击会系统性地低估这种泄露。DP在聚合层面有效，在所测试的每个预算下都显著降低平均泄露。但有三点观察削弱了这一乐观结论：第一，残余泄露是集中而非均匀分布的，在DP下约十分之一的记录承载约40%的泄露；第二，DP在实践中提供的保护并不均衡——在其最坏情况保证范围内，噪声从随机记录中移除的泄露量多于从高风险记录中移除的量，而将两类记录对共享负样本评分的合并池审计也在记录层面证实了这一点；第三，哪些记录会泄露取决于发布机制本身的属性，而非仅由记录决定，因此记录级风险不能脱离具体发布机制来评估。主要贡献包括：提出子群体定向MIA博弈框架，执行跨数据集、生成器和隐私预算的大规模审计，揭示平均情形审计对子群体风险的低估，以及记录级泄露集中性和DP保护不均衡性的实证证据。

该论文是一篇系统性综述 (SoK), 聚焦于一个长期被分散讨论的安全议题: 可解释人工智能 (XAI) 所输出的解释信息, 如何反过来成为攻击者窃取模型机密与训练数据隐私的入口。作者指出, 机器学习解释原本用于提升模型透明度, 但它揭示的是预测之外的模型内部行为, 因此天然扩大了对模型机密性 (model confidentiality) 与数据隐私 (data privacy) 的攻击面。论文系统梳理了 25 项利用解释信息实施模型窃取 (model extraction)、成员推断 (membership inference) 与模型反演 (model inversion) 的研究, 并将属性推断 (attribute inference) 视为模型反演的部分形式统一纳入分析框架。 论文的核心批评是: 现有工作往往只用黑盒 / 白盒二分法来标注威胁模型, 这种标签掩盖了关键差异 —— 攻击者究竟通过什么途径获得解释信号, 以及获得的是哪种解释信号。为此作者提出两层解耦: 把"对模型的先验知识"与"解释信息的获取方式"分开, 并归纳出五条解释获取路径: 目标方主动发布 (target-released)、攻击者自行推导 (attacker-derived)、二次披露 (secondary disclosure)、特权访问 (privileged access)、以及公开发布的全局产物 (released global artifacts)。 沿这五条路径, 论文给出了机制层面的结论: 解释可以显著降低模型抽取的成本; 通过解释统计量、追索距离 (recourse distance) 以及解释引导的鲁棒性信息, 会暴露成员信号; 解释还可支撑对私有输入的空間或代数重建。随后论文在多维度上对研究进行横向对比, 包括系统与威胁模型、解释信号类型、辅助知识、目标模型、数据模态、查询预算、评估指标、报告性能以及防御手段。 最重要的结论是: 不存在"一律不安全"的解释族, 也不存在"普遍有效"的防御。风险高低取决于四个变量 —— 暴露的是哪种信号、信号如何被获取、攻击目标是什么资产、以及攻击者已掌握哪些先验知识。作者因此主张把"解释隐私"当作端到端的信息披露问题来评估, 并让防御措施与具体的获取路径和被保护资产相匹配, 而不是笼统地禁用或信任某一类解释方法。该文适合 XAI 研究者、ML 隐私与模型安全工程师、以及需要评估第三方解释服务 (如解释 API) 风险的安全架构师阅读。

本文提出了一种名为 DIFFENCE 的新型成员推理攻击（MIA）防御框架，核心思路是利用生成式模型在推理前对输入样本进行“再生成”，从而抹除训练集成员与非成员输入之间的可区分特征。传统防御要么在训练阶段修改模型、要么在推理后修改输出，而 DIFFENCE 是首个在推理前仅对输入样本进行处理的即插即用防御，无需修改目标模型的训练或推理逻辑，因此可以与其他防御机制级联使用。作者设计该防御时特别注意保持模型对每个样本的预测标签不变，从而不影响分类准确率，并通过实验证明置信度向量的有用性也不会下降。在多个数据集上，DIFFENCE 能将未防御模型的 MIA 攻击准确率平均降低 15.8%，攻击 AUC 降低 14.0%；与现有最优防御 SELENA 结合后，攻击准确率进一步降低 9.3%，AUC 降低 10.0%，达到了新的隐私-效用均衡最优。同时，DIFFENCE 仅给每次推理增加约 57ms 的计算开销，实用性较强。该论文的主要贡献在于提出了一种新的防御视角：利用生成模型对输入进行净化，而不是修改模型本身。适合对隐私保护、成员推理攻击防御和生成模型应用感兴趣的安全研究人员阅读。

本文研究车联网边缘智能场景下联邦学习（FL）的隐私泄露问题。虽然FL被普遍视为保护原始传感器数据的隐私方案，但客户端上传的模型更新（梯度/权重增量）仍可能泄露客户端身份，破坏V2X安全关键应用所依赖的匿名性，并增加对抗机器学习、模型中毒和后门攻击的风险。作者提出一种服务端侧攻击视角：一个诚实但好奇的服务器（honest-but-curious server）仅根据客户端发送的权重差异（weight deltas）推断客户端身份，使用惯性测量单元（IMU）数据作为车载传感流的代理，基于UCI人体活动识别（HAR）基准进行实验。研究使用五种攻击分类器和五种非独立同分布（non-IID）数据划分，结果表明在无防御更新下，攻击者几乎总能完美识别客户端（准确率约1.000），证实了具体的可识别性风险。为缓解该风险，作者量化了经裁剪-加噪（clip-then-noise）轻量防御带来的隐私-效用权衡：设置固定裁剪阈值C=1.0，扫描高斯噪声标准差σ ∈ {0.00, 0.05, 0.10, 0.20, 0.50, 1.00}，并通过Rényi差分隐私会计给出形式化的(ε, δ)-DP预算。实验发现实际有效区间（σ∈[0.1, 0.2]）能将攻击准确率降至接近随机猜测，同时联邦学习性能损失小于5%。此外，集成联邦学习（Ensemble FL）提供互补的结构隐私，可实现1/K匿名集边界且不引入噪声代价。所有实验通过SHA-256加密哈希确保训练/评估梯度不重叠、三种随机种子以及计数归一化的攻击者优势指标进行验证。作者将HAR明确作为代理数据集，讨论了在真实车辆遥测数据上验证所需的条件。该研究为车联网场景中的FL隐私风险提供了量化分析，并提出了低成本的实用防御方案。

文本转语音（TTS）基础模型正越来越多地被用于在私有数据集上微调以合成高度个性化的声音，但这同时引入了严重的隐私风险，因为语音既包含生物特征身份又包含敏感语音内容。现有的黑盒成员推理攻击（MIA）通常采用查询生成和表示工程两阶段流程，但直接应用于TTS时会面临特有挑战：在查询生成方面，合成文本与参考语音的双重条件构成一个庞大且未被充分探索的查询空间，缺乏确定有效查询的准则；在表示工程方面，语音的多层次时序特征使得低级表示和直接比较难以有效捕获成员信号。为此，作者提出了第一个专门针对TTS模型的黑盒MIA框架，同时在说话人层面和记录层面开展工作。在查询生成上，他们刻画了可行查询空间的边界，并提出了两个评估标准（可评分程度和记忆诱导），据此比较了五种代表性查询，发现逐字复述（recitation）是攻击效果最强的查询策略。在表示工程上，他们从外部嵌入模型中提取多级语音表示，并对生成音频与目标音频实施时间对齐，以实现细粒度的成员信号比较。实验覆盖三种最先进的TTS模型（CosyVoice2、F5-TTS、XTTS-v2）和两个公开基准数据集（VCTK与British Dialect），结果显示隐私泄漏严重：说话人级别的AUC在最强设置下仍高于0.80并接近1.0，记录级别AUC则稳定在0.80至0.90之间；即使在成员与非成员均来自同一说话人的高难度场景下，攻击依然有效。此外，作者还识别出与过度记忆高度关联的若干语音特征。该研究首次系统揭示了TTS微调模型的成员推理暴露面，为隐私保护和风险评估提供了关键基础。适合关注语音模型隐私、AI安全及数据治理的研究人员与安全工程师阅读。

该论文关注扩散语言模型（DLMs）的隐私风险，这类模型作为自回归语言模型的替代方案，具备并行生成与双向上下文建模等优势，但其成员推理攻击等隐私问题尚未被充分研究。作者首先通过扩散训练动力学的理论分析，识别出一种称为“token级记忆不对称性”的现象，并由此设计了一种名为 Q-Skew 的指标，该指标基于分位数加权的偏度统计，用于对微调后的扩散语言模型进行成员推理攻击。实验在多个微调数据集和不同模型上进行，结果表明 Q-Skew 在成员推理任务上优于现有基线方法。此外，作者进一步展示 Q-Skew 还能辅助其他隐私侵犯场景，如个人身份信息提取。该研究揭示了一个此前被忽视的隐私攻击面，并强调了系统化评估扩散语言模型隐私风险的必要性。论文贡献包括：提出并理论验证了 token 级记忆不对称性；设计高效的成员推理指标 Q-Skew；通过实验验证其有效性；并扩展了该方法的潜在应用场景。适合关注生成式 AI 隐私、成员推理攻击和模型安全评估的研究人员阅读。

差分隐私已成为隐私保护数据发布的标准技术，但其与具体披露风险之间的关系并不直观。特别是在成员推理场景下，一个对手在观察到差分隐私保护后的发布数据时，其对某个目标个体是否被包含进数据集的信念（后验信念）相比先前信念（先验信念）会发生多大变化，一直是悬而未决的问题。本文针对这一核心问题展开了理论研究。作者在“有界差分隐私”（包括有界概率差分隐私和有界近似差分隐私）框架下，推导了包含信念后验-先验比率的严格上界和下界。他们假设了一类最坏情况的对手，即该对手掌握了除一个目标个体之外所有数据参与者的辅助信息（all-but-one知识），从而证明了由此获得的界限对任何对手均适用。由于这些概率性界限在机制随机性下可能以非零概率失效，论文进一步以高斯机制为研究对象，深入分析了其失效概率。作者推导了该失效概率的理论上限，并在广泛的参数设置范围内通过蒙特卡洛模拟估计了实际失效概率。实验结果表明，观测到的实际失效率比理论上的最坏情况上限小了好几个数量级，说明理论上限极为保守。这一发现意味着，在实际运行中，差分隐私机制提供的推断隐私保证可能远比理论上限所暗示的要强。论文为理解差分隐私与成员推断风险之间的量化关系提供了新视角，为隐私保护数据发布的安全性评估给出了更精细的工具。

本文提出了一种实用的盲成员推断攻击方法（Blind Membership Inference Attack），针对机器学习模型的隐私泄露问题。成员推断攻击旨在判断某个具体数据样本是否被用于训练目标模型（如深度神经网络），从而直接威胁用户隐私。现有攻击方法主要分为两类：基于影子模型（shadow model）的攻击和不依赖影子模型的攻击。前者通过训练与目标模型行为相似的影子模型来推断成员关系，其成功率高度依赖影子模型与目标模型之间的可迁移性；后者仅拥有对目标模型的黑盒探测访问权限，但由于缺乏带有真实成员标签的足够样本，其推断未知样本的能力显著弱于基于影子模型的方法。本文的贡献在于提出一种全新的盲攻击框架，通过差分比较（differential comparisons）来有效利用目标模型对多个输入样本的输出差异，从而在无需训练额外影子模型的前提下，在一定程度上弥补传统无影子模型攻击在样本标签不足方面的缺陷。该框架从数学上分析了差分比较信号的可用性，并设计了相应的推断策略。实验结果（基于多个数据集的验证）表明，所提方法在盲设定下能够达到与影子模型攻击相近乃至更优的推理性能，同时显著降低攻击成本。本文适合关注机器学习隐私、对抗性攻击与防御的研究人员、模型部署方以及隐私合规工程师阅读。

本论文针对大规模扩散模型（如 DDIM 和 Stable Diffusion）的知识产权（IP）保护问题，提出了一种新颖的模型所有权验证框架 MiO（Membership is Ownership）。研究背景是：扩散模型在训练过程中消耗大量计算资源和高品质数据，因此被视为 OpenAI、Google 等科技公司的重要商业资产，但这些模型容易被攻击者窃取并用于定制化或商业用途。现有 IP 保护方法主要是训练时水印注入，但会带来可衡量的效用损失，且容易在后续微调中被削弱。MiO 方法不修改原始模型或采样流程，而是基于私有成员证据数据集进行群体水平的假设检验，通过两个标准验证所有权：一是利用成员推断进行模型归因，二是从公开参考模型中分离出待验证模型。两个标准均在 p<10^-6 的显著性水平下成立。作者在 DDIM 和 Stable Diffusion 模型上进行了评估，报告了 ROC-AUC 和固定误报率下的真阳性率。此外，MiO 在对抗场景下（如窃取后微调、权重扰动）保持稳定，表现出比水印方法更好的鲁棒性。该研究的核心贡献在于首次将成员推断用于扩散模型的所有权验证，且无需牺牲模型效用，为 AI 模型 IP 保护提供了新思路。适合 AI 安全研究人员、模型所有者和平台方阅读。

本文针对联邦学习（Federated Learning）场景下大语言模型（LLM）参数高效微调（PEFT）中的隐私泄露问题展开研究。在联邦学习中，客户端通常只共享梯度而非原始数据，但已有研究表明共享梯度仍可能泄露训练样本的成员关系（Membership Inference）。特别是近期提出的 ProjRes 攻击（S&P 2026）表明，攻击者仅利用服务器可观测的梯度所诱导的子空间，通过计算候选表征与该子空间的投影残差（projection residual），就能以较低的信息需求有效区分训练成员与非成员，且无需访问模型输出。现有防御方法多依赖梯度扰动或正则化，不仅会降低模型效用，而且难以有效抵御 ProjRes 这类利用梯度几何结构的攻击。为此，作者提出 FISGuard，一种轻量级防御方法。其核心思想是：利用独立的公共数据构造并固定一个低维表征子空间，从而限制私有表征通过梯度暴露的空间范围，同时保留下游任务所需的主要信息。这样做能大幅缩小成员与非成员在投影残差上的差异。作者在三个 NLP 数据集、两种 LLM（大语言模型）以及两种微调策略（Adapter 和 LoRA）下，将 FISGuard 与五种代表性防御方法进行了对比实验。结果表明，在大多数设置下，FISGuard 能将 ProjRes 攻击的 AUC 降至接近随机猜测的 0.5 水平，同时保持下游任务性能接近未加防御的模型，并且仅引入有限的计算开销，在隐私与效用之间取得了良好平衡。本文的贡献在于提出了一种针对梯度几何结构成员推理攻击的有效且轻量的防御框架，为联邦学习中的隐私保护提供了新思路。

该论文研究了基于局部组合（local combination）方法的合成数据生成技术所导致的隐私泄露风险。合成数据被视为在敏感场景下共享数据的一种有前景的解决方案，但近年来的隐私攻击研究表明，尤其是那些不基于差分隐私等正式隐私框架的合成数据生成方法，仍然存在显著的残余风险。本文重点关注三种局部组合方法：SMOTE、Simulant 和 Avatar，它们近期被用于医疗健康领域以分享“匿名化数据”。作者对这些方法进行了系统性的隐私分析，实施了多种攻击手段，包括成员推断攻击、链接攻击和重建攻击。实验结果表明，这三种方法均存在实质性的隐私泄露，这严重质疑了该类合成数据输出在实践中是否应被视为匿名。论文的核心贡献在于：第一，明确了局部组合合成数据方法在多种隐私攻击下的脆弱性；第二，通过统一的攻击框架对三种代表性方法进行了横向对比；第三，为合成数据的隐私评估提供了实证依据。该研究适合数据隐私研究人员、合成数据开发人员以及依赖合成数据进行数据共享的机构（尤其是医疗健康领域）阅读，以认识局部组合方法的隐私边界。”

DIME 是一篇针对扩散模型成员推理攻击的研究论文。成员推理攻击旨在判断某个数据样本是否被包含在模型训练集中，这类攻击对数据隐私构成直接威胁。已有的扩散模型成员推理攻击大多依赖启发式策略，且需要较大的查询预算，实用性受限。DIME 从理论层面出发，提出了‘去噪器理想成员误差’（Denoiser Ideal Membership Error）框架，首先对有限训练集上的最优扩散去噪器进行了精确刻画，并由此揭示成员泄漏的核心机制来源于去噪器的隐式重构误差。该误差进一步被分解为两个互补信号：偏差项，用于捕捉重构精度；局部拥挤项，用于捕捉训练样本在特征空间中的几何邻近关系。这两项都能够仅通过模型查询进行高效估计，使得 DIME 在极低的查询成本下（最少仅需两次模型查询）即可实现有效的成员推理。作者在 CIFAR-10/100、STL10-U、CelebA 和 ImageNet 等多个图像数据集上开展了实验验证，结果显示 DIME 在 1% 假阳性率（FPR）条件下的真正率（TPR）相比现有攻击方法最高可提升 3 倍；尤其值得注意的是，其两查询变体能够超越需要 30 次查询的既有基线方法。此外，论文还提出了若干针对此类强成员推理攻击的防御思路并进行了评估。这篇文章的主要贡献在于给出了成员泄漏的严格理论解释，显著降低了攻击所需查询成本，并为扩散模型的隐私风险评估提供了新工具。适合关注生成模型隐私保护和安全评估的研究人员、AI 安全工程师以及负责数据合规的蓝队人员阅读。

本文首次提出针对大语言模型（LLM）上下文学习（In-Context Learning, ICL）场景的成员推理攻击（Membership Inference Attack）。ICL作为一种参数高效的适配方法，通过提供少量示例即可让LLM适应新任务，但其隐私风险在现实假设下尚缺乏系统研究。作者设计了四种攻击策略，分别适应不同的受限场景（如仅能访问模型生成的文本、无需概率输出等），并在四个主流LLM上进行了广泛实验。实验结果表明，所提攻击在大多数情况下能准确判断某条数据是否为模型训练成员，例如针对LLaMA模型，攻击准确率优势达到95%，远高于基于概率的现有攻击。此外，作者提出一种混合攻击，综合各策略优势，在多数场景下准确率优势超过95%。最后，作者从数据、指令和输出三个正交维度提出了三种防御方法，综合使用这些防御可以显著降低隐私泄露风险，提供更强的隐私保障。该研究揭示了ICL在隐私保护方面的严重脆弱性，为后续隐私保护研究提供了重要基础。适合关注LLM隐私安全、成员推理攻击防御的学者和安全工程师阅读。

本文提出 MemCatalyst，一套面向视觉-语言模型（VLM）的数据投毒工具，旨在增强数据审计（尤其是成员推理攻击）的有效性。研究背景是：VLM 依赖海量互联网数据训练，数据持有人（如艺术家）迫切需要确认自己的数据是否被未经授权用于模型训练，这涉及知识产权与个人隐私。成员推理（MI）作为一种直接的数据审计手段受到关注，但其在 VLM 上的表现往往不够理想。MemCatalyst 的核心思路是：通过在训练数据中注入精心构造的对抗样本，迫使 VLM 在训练时过度学习图像特征与文本语义之间的特定不一致性，从而使模型对个别样本的“记忆”更强，进而提高成员推理的成功率。具体包含两种策略：文本投毒（PT）和图像投毒（PI）。作者还证明了中毒样本在不同 VLM 架构之间具有迁移性，能在黑盒设置下有效工作。实验基于两个主流 VLM 和五种先进的数据审计方法，结果表明 MemCatalyst 能以极小的中毒样本预算显著提升 MI 的 AUC 分数，同时几乎不损害模型的正常性能。本文的主要贡献在于：首次系统性地利用数据投毒来放大 VLM 的数据审计信号，为数据持有人提供了一种更强大的审计工具；同时揭示了 VLM 训练过程中对不一致特征的过度记忆风险，对模型安全与隐私保护具有重要启示。适合关注数据隐私、模型审计、对抗攻击与防御的研究人员、安全工程师以及 AI 治理从业者阅读。

本文研究多模态视觉-语言模型（VLMs）在成员推断攻击（Membership Inference Attack, MIA）下的隐私泄露问题。随着智能体AI（agentic AI）的发展，多模态模型（MMs）被广泛部署，但其训练数据可能通过黑盒攻击被泄露。现有研究主要针对单模态AI系统的隐私攻击，而对多模态系统关注不足；同时，神经启发（neuro-inspired）的表示方法已被证明能提升单模态模型对对抗攻击的鲁棒性，但尚未有工作验证其对隐私攻击是否同样具有韧性。作者提出了一种基于神经科学的拓扑正则化（topological regularization, tau）框架，用于系统分析多模态VLMs对图文推理隐私攻击的韧性。实验采用三种VLM（BLIP、PaliGemma 2、ViT-GPT2）和三个基准数据集（COCO、CC3M、NoCaps），对比基线模型与使用拓扑正则化的NEURO变体（tau>0）。结果表明，在BLIP模型和COCO数据集上，NEURO VLM的MIA攻击成功率（以ROC-AUC衡量）平均下降24%，同时通过MPNet和ROUGE-2指标评估，其生成的图像描述与参考描述相似度与基线相当，即模型效用没有显著损失。在PaliGemma 2和ViT-GPT2模型以及CC3M、NoCaps数据集上的扩展实验进一步验证了结论的一致性。这项工作增进了对多模态模型隐私风险的理解，并首次提供了神经启发多模态模型对隐私威胁具备韧性的证据。适合AI安全研究员、隐私保护工程师、多模态模型开发者和关注机器学习隐私的从业者阅读。

该论文针对机器学习模型隐私评估中广泛使用的成员推断攻击（Membership Inference Attacks, MIAs）展开系统研究。现有MIA研究主要聚焦于提升AUC、准确率、TPR@低FPR等性能指标，或利用这些指标评估隐私保护方案，但普遍忽略了不同攻击之间的差异。作者指出，这些差异既存在于不同攻击方法之间，也存在于同一方法的多次实例化之间，对MIA作为隐私评估工具的可信度和完整性具有关键影响。为此，论文提出一个基于覆盖率和稳定性分析的新框架，系统性地研究这些差异。大量实验揭示了MIA中显著的差异性、其潜在成因以及对隐私评估的广泛影响。针对上述挑战，论文进一步提出一个集成框架，包含三种不同策略，以在利用现有最先进MIA优势的同时兼顾其差异性。该集成框架不仅能构建更强力的攻击，还为隐私评估提供了更稳健、更全面的方法论。这项工作对于依赖MIA进行模型隐私审计、机器遗忘验证和隐私法规合规的从业者具有重要参考价值，有助于更准确地解读MIA结果并避免因单一攻击方法的偏差而得出误导性结论。

本文研究检索增强生成（RAG）系统中的成员推断攻击（Membership Inference Attack, MIA）问题。RAG 通过将外部知识库中的文档检索结果注入到大语言模型的上下文中，实现无需调整模型参数的接地生成。尽管不更新权重避免了通过模型参数泄露训练数据，但检索到的文档本身可能被攻击者利用，构成新的隐私泄露面。已有的成员推断和数据提取方法通常依赖越狱提示或精心构造的非自然查询，容易被 RAG 系统中常见的查询改写技术检测或拦截。为此，作者提出一种名为“审讯攻击”（Interrogation Attack, IA）的新型成员推断技术，专门针对 RAG 数据存储中的目标文档。其核心思想是构造自然语言查询，使得只有目标文档出现在上下文中时该查询才能被正确回答，从而以黑盒方式推断文档是否在数据库中。实验表明，该攻击仅需 30 次查询即可完成单文档推断，且隐蔽性显著优于现有方法：常规检测器对已有攻击生成的对抗提示的识别频率是对 IA 生成提示的约 76 倍。在多种 RAG 配置下，IA 在 1% 假阳性率下的真阳性率（TPR@1%FPR）相比先前推断攻击提升 2 倍，而单文档推断成本低于 0.02 美元。该研究揭示了 RAG 系统中“通过上下文泄露”的新隐私风险，凸显了检索端防御的重要性。适合关注 LLM 隐私、RAG 安全及对抗机器学习的蓝队研究人员阅读。

本论文针对黑盒语言模型训练数据泄露问题，提出了基于概率视角的成员推断（MIA）审计方法，并批判了传统聚合指标（如ROC-AUC）的误导性。作者首先指出，现有的MIA评估常被无模型盲基线混淆，这类基线仅通过表面文本特征就能较好区分成员与非成员，从而高估了模型实际泄露。通过将采样视为对输出分布的估计，并利用其泛函定义泄露信号，论文在WikiMIA和IID Pile分割上验证了盲基线的强大（WikiMIA上盲词袋分类器AUC达0.97，且采样不增加收益），同时揭示采样在逐文档提取中能发现真实危害。在Pythia系列模型上，实验表明：500个Pile文档中16.6%的文档携带的真实标识符（如邮箱）可被精确提取，并通过错配前缀对照证明泄漏归因于特定文档；泄漏比例随模型容量从410M的5.6%增至6.9B的16.6%。风险分布不均：代码域中标识符泄露强度约为散文域的3倍，且散文域仍有明显正向信号（4.0%到12.1%）；任意保留连续文本的恢复仅显著出现在代码域。温度与核采样影响甚微，16个token前缀即足够，语料去重也未显著降低泄露。论文的核心贡献是发布leakit——一个黑盒提取审计工具，并主张隐私审计应报告按领域分解的逐文档提取率，而非单一聚合AUC。该研究为LLM隐私评估提供了更精确的方法论，适合模型部署方、安全审计人员及AI治理研究者阅读。

本文首次系统研究了神经网络剪枝过程中的隐私风险，特别是成员推理攻击（Membership Inference Attacks）的影响。作者指出，现有的剪枝研究主要关注如何在保持模型精度的同时提高稀疏性，但忽略了剪枝可能带来的训练数据记忆化风险。通过实验，他们发现剪枝过程会导致模型在成员（训练集数据）和非成员（非训练集数据）上的预测行为产生差异（即预测发散），并且这种发散在不同类别上表现不同。基于此观察，作者提出了一种基于自注意力机制的成员推理攻击方法，专门针对剪枝后的神经网络。该攻击利用剪枝导致的预测发散，通过自注意力权重聚焦于发散显著的样本，从而更准确地推断数据是否属于训练集。实验表明，该方法在多个剪枝方法、稀疏度水平和攻击知识假设下，均优于现有的八种成员推理攻击。此外，作者还提出了一种基于KL散度的防御机制，通过最小化剪枝前后模型预测分布的差异来缓解预测发散，从而保护隐私。实验证明，该防御在保持模型稀疏性和精度的同时，有效降低了成员推理攻击的成功率。该研究适合AI安全研究人员、隐私保护工程人员以及模型压缩领域的从业者阅读。

本文针对联邦大语言模型（FedLLMs）中的成员推断攻击（MIA）问题展开研究。FedLLMs允许多方协作微调大语言模型而无需共享原始数据，从而解决资源有限和隐私保护等挑战。然而，即使数据不离本地，共享的梯度仍然可能通过成员推断攻击泄露敏感信息。由于FedLLMs具有参数规模巨大、收敛速度快、梯度稀疏且非正交等独特特性，现有的MIA方法效果不佳。为此，作者提出了ProjRes——首个针对FedLLMs的基于投影残差的被动成员推断攻击方法。ProjRes将隐藏嵌入向量作为样本表示，并分析它们在梯度子空间上的投影残差，以揭示梯度与输入之间的内在联系。该方法不需要影子模型、辅助分类器或历史更新，因此效率高且鲁棒性强。在四个基准测试和四个大语言模型上的实验表明，ProjRes达到了接近100%的准确率，比之前的方法性能提升了高达75.75%，即使在强差分隐私防御下仍然有效。该研究揭示了一个先前被忽视的FedLLMs隐私漏洞，并呼吁重新审视其安全假设。代码和数据已公开。

本文针对机器学习模型遗忘算法是否真正消除了训练数据影响的问题，提出了一种实用的审计方法。研究者设计了一个基于成员推断攻击的审计器，通过计算与数据相关的遗忘参数ε的下界，来评估遗忘算法是否达到其声称的隐私保证。在CIFAR-100和Shakespeare文本数据集上测试了多种遗忘算法，发现具有严格理论保证的算法（如模型剪枝、回退删除）能实现非常小的ε界，与它们的遗忘保证一致；而经验性方法（如基于Hessian的遗忘、交替上升-下降、遗忘集上升、保留集微调）则显示出较大的ε界，表明遗忘效果不佳。该审计器通过假设检验框架，为经验性地证伪遗忘声明提供了实用工具。这项工作对隐私保护机器学习领域具有重要价值，为第三方审计遗忘算法提供了可操作的方法。

本文首次系统地研究了“单数据集多模型”（ODMM）范式下的隐私放大风险。在ODMM中，同一个数据集（如人脸或医疗图像）被重复用于训练多个模型，每个模型独立部署为API服务以完成不同任务（如人脸识别、年龄估计、种族分类）。现有隐私研究工作多关注单个模型泄露，而忽视了多模型共同暴露带来的累积效应。作者首先建立了理论框架，证明隐私泄露会随暴露的ODMM模型数量增加而累积（称为ODMM隐私组合）。基于该理论，他们提出了PRIME方法，通过黑盒访问多个ODMM模型，聚合各模型泄露的隐私信号，并利用元分类器联合推断给定样本的成员身份。实验在五个隐私敏感的数据集（涵盖人脸分析、医学影像、文本归因分析三个领域）和多种模型架构（ResNet、ViT、Qwen3-1.7B）上进行，结果表明数据集在多模型间重用显著放大了隐私风险，PRIME攻击性能稳定优于单任务成员推理攻击。文中还探讨了差分隐私等缓解措施，但其代价是效用损失，且PRIME仍能超越单任务基线。该工作对多模型部署场景的隐私风险评估具有重要指导意义。

本文提出首个统一框架，用于对文本生成、文本到图像、图像到文本三种模态的生成模型进行成员推理攻击（MIA）。现有方法针对单一模态设计，无法跨模态适用。作者发现一个模态无关的观察：生成模型的输出分布可近似其训练数据分布。利用这一特性，他们在共享嵌入空间中建模模型生成输出与辅助非成员样本的分布，通过似然比检验进行成员推理。在严格黑盒设置下（部分知识/零知识威胁模型），针对微调数据和预训练数据进行了广泛实验。结果表明，该方法在跨模态场景下优于针对单一模型类优化的现有最先进方法。这是首个跨模态统一MIA研究，为评估生成模型隐私风险提供了通用工具。

本文针对近年流行的扩散模型（diffusion models）提出了一种新的黑盒成员推理攻击（Membership Inference Attack, MIA）框架。随着预训练扩散模型的高质量发布，越来越多的用户下载这些模型并使用下游数据集进行微调，这带来了显著的隐私泄露风险。作者首次基于分数（scores-based）设计了适用于扩散模型的成员推理攻击，并在更严格的黑盒访问设置下进行。该框架考虑了四种不同的攻击场景和三种攻击类型，能够针对任何流行的条件生成器模型，实现了高达0.95的AUC（Area Under Curve）精度。代码已开源。研究揭示了扩散模型在下游任务微调中的隐私脆弱性，为后续防御研究提供了基准。

本论文研究了机器学习中数据重要性（data importance）与各类攻击脆弱性之间的关系。尽管已有工作表明不同训练样本对模型效用的贡献存在差异，但“高价值数据是否更容易受到攻击”这一关键问题尚未被系统回答。作者分析了五种典型攻击类型（包括成员推断、模型窃取等），发现高重要性样本在成员推断和模型窃取攻击中表现出更高的脆弱性。具体而言，通过将样本特征整合到成员指标中（引入样本特定标准），成员推断的性能得到显著提升。该发现揭示了数据价值与攻击风险之间的正向关联，强调了在设计防御机制时需要平衡模型效用与高价值数据保护。实验部分对多种数据集和模型架构进行了验证，结果表明该现象具有普遍性。论文的核心贡献在于首次系统性地量化了数据重要性对不同攻击类型的影响，并提出了利用重要性信息增强成员推断的新思路。适合机器学习安全、隐私保护领域的研究者和安全工程师阅读。

本文针对黑盒成员推理攻击（MIAs）中存在的查询效率问题，提出了一种预查询样本选择框架PSS-MIA。传统的黑盒MIAs对所有候选样本不加区分地进行查询，导致大量查询成本浪费在信息量低的样本上，且增加了查询暴露风险。作者首先定义了问题：哪些候选样本值得查询？PSS-MIA分为两个阶段：第一阶段使用提出的Loss-Gap Ranking（LGR）方法，通过参考模型计算候选样本的损失差（loss gap），估计其成员信号强度，据此对样本排序并筛选出子集；第二阶段仅对选中的样本进行目标模型查询，并将返回结果用于任意现有的黑盒MIA方法。在CIFAR-10、CIFAR-100和CINIC-10数据集上，结合五种代表性黑盒MIA方法（如LiRA、RMIA等）的实验表明，PSS-MIA在保持或提升推理精度的同时，显著降低了查询预算：在0.1%假阳性率（FPR）约束下，分别节省至少83.1%、60.6%和80.4%的查询次数。研究贡献在于提出了一个通用、即插即用的样本选择框架，揭示了样本非均匀成员信号特性，并提供了理论上的排序依据。适合关注机器学习隐私攻击与防御的研究人员、模型发布者以及AI审计团队阅读。

本文研究了表格基础模型（tabular foundation models）中注意力机制的隐私漏洞。尽管这些模型通常在合成数据上预训练，被认为隐私风险较低，但它们采用上下文学习（in-context learning），在推理时可能直接包含敏感记录作为标注的上下文示例。论文提出了一种基于注意力机制的成员推理攻击（AMIA），该攻击无需影子模型，利用Transformer注意力模式的集中性来推断特定记录是否属于训练集。实验表明，注意力机制泄露了强烈的成员信号，在低假阳性率下平均攻击成功率比传统的基于置信度的攻击高出7.7%。为缓解风险，作者提出了一种基于k-匿名原则的推理时防御方法，通过降低上下文键表示的独特性（不添加随机噪声或重训练模型），仅针对AMIA得分识别的高风险查询进行保护。该防御能将AMIA攻击的成员泄露平均降低50%，对基于置信度的攻击降低25%，同时仅造成3.9%的性能下降。论文还发现，微调会引入额外的隐私风险：微调后预测置信度升高的样本更容易受到成员推理攻击，表明微调可能加剧记忆化并通过置信度变化暴露敏感训练信息。

该论文首次系统性地分析了图神经网络（GNN）在节点级成员推断攻击下的隐私风险。GNN广泛应用于社交网络、蛋白质结构等图数据，但先前对隐私攻击的研究主要集中在欧几里得数据（如图像和文本）上，GNN的隐私漏洞尚未被充分探索。作者定义了三种威胁模型，基于攻击者的背景知识强度：仅知道图结构和部分节点标签、知道目标节点子图、知道完整图结构。针对这些模型，提出了三种成员推断攻击方法，利用节点嵌入的过拟合特性及图结构信息。在三个经典GNN架构（GCN、GraphSAGE、GAT）和四个基准数据集（Cora、Citeseer、Pubmed、Facebook）上评估，结果显示即使攻击者仅有最小背景知识，GNN也显著泄露节点成员信息。实验进一步表明，图的密度和节点特征的相似性对攻击成功率有重要影响：高密度图或高特征相似性会增加攻击风险。最后，作者探索了两种防御机制——差分隐私训练和图扰动，并发现它们能降低攻击性能，但会以适度牺牲模型效用为代价。该工作对理解GNN隐私风险并设计防御策略具有重要意义。

本文针对序列模型（如大型语言模型和自回归图像生成器）中的成员推断攻击进行了研究。序列模型在训练过程中往往会记忆训练数据中的敏感信息，并在生成过程中无意泄露这些信息，这带来了严重的法律和隐私风险。然而，现有的隐私审计工具由于假设与序列生成过程的特性不匹配而效果有限。作者提出，有效测量序列模型中的隐私泄露需要利用序列生成过程中固有的样本内相关性。为此，他们改编了最先进的成员推断攻击，通过显式建模序列内的相关性，将现有攻击自然地扩展以适应序列模型的结构。具体地，他们针对自回归序列生成的特点，在攻击中引入了一个能够捕获序列内依赖关系的统计量，从而更准确地判断一个样本是否出现在训练集中。通过案例研究（可能针对语言模型或图像生成模型），实验证明这种改进能够持续提高记忆审计的有效性，且不会增加额外的计算成本。本文的工作为大型序列模型的可靠记忆审计奠定了重要基础，对于理解和缓解序列模型中的隐私泄露风险具有指导意义。

针对图神经网络（GNN）的现有隐私分析大多继承自非图数据场景的假设，忽略了结构依赖性和随机训练图采样。尤其是节点相关的先验导致仅凭第一类和第二类错误无法充分刻画最佳成员推断测试。为此，本文提出贝叶斯成员隐私（BMP），一种采样感知的节点级成员隐私定义，将节点相关的先验和图采样概率纳入攻击者知识。BMP将成员推断建模为贝叶斯假设检验，并通过后验成员概率量化成员隐私。论文探讨了BMP与现有定义之间的理论关系，并进一步提出一种实用的、采样感知的审计机制来估计BMP参数，作为GNN节点级隐私泄露的度量。在基准图数据集上的实验表明，BMP能提供比全局攻击精度更细粒度的隐私洞见。

本文研究在统计发布场景下的成员推理攻击（Membership Inference Attack, MIA）问题。现有攻击通常仅利用数据集的边缘分布来建模总体，并假设总体服从独立同分布或乘积分布，这忽略了属性之间的依赖关系，从而限制了攻击效果。作者提出一种基于贝叶斯网络的框架，将总体建模为贝叶斯网络（BN），使得攻击者可以利用先验知识（如人口属性依赖结构）发起更有效的定制化攻击。该框架将成员推理问题重新定义为贝叶斯决策问题，并引入概率编程语言Roulette实现贝叶斯后验计算的具体攻击实例。理论证明表明，该攻击在具有强属性依赖的两个总体下等价于最优的似然比检验攻击变体。实验基于五个常用贝叶斯网络数据集，比较了似然比检验和内积攻击等基线方法，结果表明所提方法在总体依赖结构复杂、现有攻击难以手动适配的场景下显著优于基线。本文主要贡献包括：形式化了考虑属性依赖的成员推理问题、设计了基于贝叶斯决策的通用框架、提供了概率编程实现的理论与实验验证。适合从事差分隐私、统计发布安全、以及对抗性机器学习的研究人员阅读。

本文聚焦于聊天代理（chat agent）记忆系统中的成员推断攻击（MIA）。现有MIA研究主要针对训练语料库或检索数据库，但代理记忆包含敏感的用户-代理交互、检索事实和用户偏好，其隐私泄露风险尚未被充分探索。作者提出了一种统一的攻击方法——多召回记忆MIA（MRMMIA），利用多个召回探针（multiple recall probes）从代理中提取成员信号，覆盖黑盒、灰盒和白盒三种设定。实验结果显示，MRMMIA在多个指标上持续优于基线方法。该研究首次系统性地评估了聊天代理记忆系统的成员泄露风险，为相关隐私评估提供了初步框架。主要贡献包括：定义了代理记忆MIA问题、提出了可跨设定使用的通用攻击方法、以及通过实验揭示了代理记忆的隐私脆弱性。适合关注大语言模型隐私、系统安全的研究人员和工程师阅读。

本文研究成员推理攻击（MIA）在评估模型训练数据泄露时的可靠性问题。MIA通过二分类器预测样本是否属于训练集，通常使用假阳性率（FPR）和真阳性率（TPR）衡量漏洞。然而，可靠估计低FPR下的TPR需要大量目标模型，计算成本高昂。为了降低开销，现有工作常将多个个体和多个模型的MIA分数拼接后平均，然后评估TPR。本文指出这种高效评估流程存在两个关键缺陷：第一，拼接后的分数用于低FPR区域时，不同样本的FPR未得到校准，导致差分隐私审计不可靠；第二，Carlini等人（2022）提出的高效似然比攻击（LiRA）实现中存在有限总体偏差，使得每个样本的漏洞评估存在正向偏差。针对第一个问题，作者提出一种后处理方法，通过校准不同样本的FPR来提升可靠性。实验表明，该方法能有效修正评估偏差，使MIA评价更适用于差分隐私审计。本文适合从事隐私保护、差分隐私审计以及成员推理攻击评估的研究人员阅读。

该论文研究了针对表格扩散模型的成员推断攻击（Membership Inference Attack, MIA）。扩散模型在合成表格数据方面表现出色，常被用于共享敏感记录，但其隐私保护能力受到质疑。现有成员推断攻击通常假设单表设置，忽略了真实敏感数据中的多表关系结构。论文指出，在多表场景下评估隐私风险的核心挑战在于如何利用与目标表相关联的辅助信息（如其父表）。然而，在攻击推理时，攻击者只能观察到目标表中目标记录的属性值。为此，作者提出了FERMI（FEature-mapping for Relational Membership Inference）方法，通过将单表特征与关系成员信号相结合来解决这一差距。FERMI 首先在训练阶段利用辅助关系表学习一个特征映射，将多表关系转化为单表特征上的增强信号；在推理时仅需目标记录的属性值即可进行成员推断。实验基于三种表格扩散架构（如 CTGAN、TableDiffusion 等）和三个真实关系数据集（如 IMDB、Airbnb 等），评估了白盒和黑盒设置下的攻击性能。结果显示，FERMI 在假阳性率（FPR）为0.1时，真阳性率（TPR）在白盒设置下比单表基线提升高达53%，在黑盒设置下提升22%。论文的主要贡献在于首次将关系结构引入表格扩散模型的成员推断攻击，并提出了有效的特征映射方法，显著提高了攻击效果。该研究提醒数据发布者：即使在推理时仅释放单表数据，多表关系在训练阶段的存在仍可能被攻击者利用，从而加剧隐私泄露风险。适合从事数据隐私、机器学习安全的研究人员以及使用合成数据发布敏感信息的组织阅读。

本文研究了针对开源大语言模型（LLMs）的成员推理攻击（Membership Inference Attack, MIA），即判断特定数据样本是否被用于模型训练。与现有基于模型输出（如loss、logits）的MIA方法不同，作者提出利用模型内部的神经激活（neural activations）来区分成员和非成员样本。具体地，他们设计了一种攻击方法，通过提取目标模型在特定层上的激活值，并训练一个二元分类器（如逻辑回归或MLP）来预测成员关系。实验在多个开源LLM（如GPT-2、LLaMA、OPT等）和多种数据集（如新闻、医疗、代码）上进行，结果表明基于激活的方法显著优于输出基方法，在低假阳性率下取得高召回率。此外，作者分析了不同模型层、不同样本长度对攻击性能的影响，并探讨了防御措施（如差分隐私训练、激活剪枝）的有效性。该研究揭示了LLM内部状态泄露训练数据的风险，为模型隐私评估提供了新工具。

本文提出了一种新型的成员推理攻击方法——级联代理成员推理攻击（Cascading and Proxy Membership Inference Attacks）。成员推理攻击旨在判断特定数据点是否被用于训练目标机器学习模型，对模型训练的隐私构成严重威胁。现有的攻击方法通常需要访问目标模型的输出或梯度，或者依赖影子模型进行黑盒攻击，但在黑盒场景下效率较低。本文提出的级联代理攻击方法通过构建多个代理模型来模拟目标模型的行为，并利用级联结构逐步提升攻击精度。具体而言，该方法首先训练一个初始代理模型，然后基于该模型对目标模型的输出进行预测，再使用这些预测作为标签训练下一级代理模型，从而逐步逼近目标模型的决策边界。实验在多个标准数据集（如CIFAR-10、ImageNet）和多种模型架构（如ResNet、CNN）上进行，结果表明该方法在攻击成功率上显著优于传统的单代理模型攻击和基于影子模型的攻击，尤其在目标模型参数不可见或仅提供有限输出信息的情况下。此外，该方法还展示了良好的可迁移性，即在一个数据集上训练的代理模型可以有效攻击其他相似数据集上的目标模型。本文的主要贡献包括：1）提出级联代理攻击的通用框架，可适用于黑盒和白盒场景；2）设计高效的训练策略，减少对目标模型查询次数；3）通过大量实验验证了方法的有效性和鲁棒性。该研究揭示了机器学习模型在隐私保护方面的潜在风险，提醒开发者在部署模型时应考虑更严格的防御措施，如差分隐私训练或输出扰动。

本文针对机器学习模型中的成员推断攻击（Membership Inference Attacks）提出一种名为SELENA的隐私保护训练框架。成员推断攻击旨在通过模型对成员与非成员输入的差异行为推断某样本是否属于训练集，是衡量模型隐私泄露的关键指标。现有防御方法如差分隐私虽能提供可证隐私保障，但会显著降低模型效用。本文的目标是在保持模型效用（utility）的同时提高成员隐私，即实现经验性隐私保障。SELENA框架包含两大核心组件：第一，Split-AI集成架构，它将训练数据随机划分为多个子集，并在每个子集上独立训练模型；在推理阶段，对于每个输入样本，仅聚合那些训练数据中不含该样本的模型输出，从而阻断攻击者利用模型行为差异。作者证明Split-AI能防御一大类成员推断攻击，但仍可能受到自适应攻击。因此，第二组件采用自蒸馏（Self-Distillation）方法，通过Split-AI集成对训练数据集进行自蒸馏，无需外部公共数据集，进一步增强对更强攻击的鲁棒性。在多个基准数据集上的实验表明，SELENA在成员隐私与效用之间实现了优于现有技术的权衡。本文适合机器学习安全研究人员、隐私保护从业者以及关注模型隐私泄露的工程师阅读。