该论文研究成员推断攻击(Membership Inference, MI)在“单轮(one-round)”设定下的信号校准问题。当前最先进的 MI 方法依赖参考模型(在排除目标样本的数据上训练的辅助模型)对每个样本单独进行逐样本校准,从而得到很强的成员信号。然而这一范式对现代大模型难以扩展:复现一次训练成本过高,几乎不可能为同一目标训练出多个参考模型。于是在实际场景中往往只剩单个已训练模型可用,即 one-round 设定;但缺少参考模型后,驱动最强攻击的逐样本校准无法估计,成员信号显著变弱,攻击性能下降。作者提出核心问题:能否在不训练任何额外模型的前提下,利用目标数据点自身的“邻居”来恢复这种校准?其关键观察是,参考模型的作用本质上只是揭示“某个样本在未见过它的模型上会呈现怎样的行为”;而在目标模型上查询与该样本邻近的样本,可以提供同等的信息——邻居样本本身大概率未被训练集包含,因此其行为可充当局部基线。基于此,作者提出两种互补的邻居构造方式(即如何获得与目标点语义/特征接近的邻近样本),并进一步发现:将这些邻居查询结果与训练早期的检查点(early training checkpoint)进行对比,可以进一步锐化成员信号。实验在三个图像分类数据集和三种训练配置下展开,结果显示邻居校准能够产生强成员信号并取得有竞争力的攻击性能,且不带来任何额外训练开销。该工作为缺少参考模型的大模型隐私审计提供了低成本、可操作的替代校准思路,也对隐私保护评估与防御设计提出了新的威胁模型考量。