すべての人に一次情報を
拡散モデルは大規模な画像集合で学習されますが、その中には私有画像が含まれることがあります。メンバーシップ推定攻撃（MIA）は、ある画像がモデルの学習データセットに属していたかを判定します。従来は、モデルが画像を再構築できる程度（再構築損失）を測定することで判断していましたが、画像ごとの難易度の違いにより、学習データでなくても低い損失を示すことがあり、誤判定が生じていました。
そこで提案されたのが「Reference‑Model Calibration（RMC）」です。RMCは微調整済みモデルの損失と、学習前のチェックポイントの損失を比較し、差分を取ることで新たに記憶された情報だけを抽出します。これにより、テキストキャプションがなくてもほぼほぼ完全に検証が可能となりました。実際、Stable Diffusionの実世界微調整では、画像ごとに2回のクエリで99％を超える真陽性率が達成され、15回のクエリを要する従来手法をはるかに上回っています。
| Pokémon | MS COCO | Flickr | ||||||||
| Method | AUC | ASR | TPR@1%FPR | AUC | ASR | TPR@1%FPR | AUC | ASR | ||
| TPR@1%FPR |
| CLiD | (q=15) | 96.98 | 91.83 | 64.75 | 95.55 | 88.72 | 44.04 | 95.22 | 88.16 | 47.14 |
|---|
| RMC | (q=2) | 99.44 | 96.51 | 90.63 | 99.88 | 98.52 | 96.60 | 99.80 | 98.14 | 96.86 |
|---|
| (q=20) | 99.73 | 97.84 | 96.64 | 99.94 | 99.04 | 98.52 | 99.96 | 99.50 | 99.82 |
|---|
また、チェックポイントが利用できない場合に備えて「Temporal Self‑Calibration（TSC）」が開発されました。TSCは単一のモデルで異なるノイズレベルにおける損失を比較し、時間軸に沿った難易度を調整します。CIFAR‑10ベンチマークでは、1％の偽陽性率で62.3％の真陽性率を達成し、ベンチマーク上で最高だった30.9％を2倍にしました。
| CIFAR-10 | Tiny ImageNet | STL-10-U | ||||||||
|---|---|---|---|---|---|---|---|---|---|---|
| Method | AUC | ASR | TPR@1%FPR | AUC | ASR | TPR@1%FPR | AUC | ASR | TPR@1%FPR | |
| Naive | (q=20) | 85.39 | 78.21 | 7.35 | 64.37 | 60.52 | 2.93 | 64.15 | 60.50 | 2.51 |
| SecMI | (q=12) | 88.24 | 80.91 | 10.20 | 66.37 | 61.88 | 2.91 | 68.12 | 63.33 | 3.03 |
| PIA | (q=2) | 91.90 | 84.88 | 25.80 | 68.99 | 64.25 | 4.43 | 69.46 | 64.51 | 4.08 |
| PIAN | (q=2) | 89.26 | 83.32 | 30.90 | 67.04 | 63.44 | 6.10 | 66.72 | 63.36 | 4.32 |
| TSC | (q=15) | 95.91 | 90.15 | 62.31 | 78.63 | 72.18 | 12.27 | 77.84 | 71.29 | 9.57 |
これらの結果は、学習時間と拡散時間という2軸にわたる難易度補正が、メンバーシップ推定の精度向上に不可欠であることを示します。一方でRMCは元のチェックポイントへのアクセスが必須であり、チェックポイントが無い環境では適用できません。今後は、RMCのような外部リファレンスが不要なTSC型手法を、より幅広いシナリオへ拡張する研究が必要とされています。