Learning the Signature of Memorization in Autoregressive Language Models¶

会议: NeurIPS 2026
arXiv: 2604.03199
OpenReview: https://openreview.net/forum?id=uRaG7wkAol
领域: 安全
关键词: 成员推理攻击, 记忆特征, 跨架构迁移, 零样本迁移, 序列分类

一句话总结¶

本文提出首个可迁移的学习型成员推理攻击（LT-MIA），通过将微调记忆特征建模为逐token分布统计量的序列分类任务，利用微调数据自带成员标签的天然优势消除影子模型瓶颈，实现了在纯Transformer上训练并零样本迁移至Mamba、RWKV及RecurrentGemma等完全不同架构的高精度检测。

研究背景与动机¶

成员推理攻击（Membership Inference Attacks, MIA）旨在判定特定文本是否存在于模型的训练或微调数据集中，对于评估大语言模型的隐私泄露、数据合规以及版权侵权审计至关重要。长期以来，自回归语言模型的成员推理方法完全被手工设计的启发式统计量所主导，包括损失阈值法（Loss）、Min-K%概率法、Zlib压缩熵归一化以及基于预训练基准模型的参考校准方法（RefLoss和EZ-MIA）。然而，这类方法的设计完全受限于研究人员对“何种统计量能表征记忆”的直觉猜想，不仅检测性能受限于单一聚合统计量的表达瓶颈，而且难以捕捉token序列中动态且局部的记忆模式。

传统深度学习领域在图像分类等任务中早已广泛证明：基于影子模型（Shadow Models）训练的有监督分类攻击能够大幅超越手工启发式方法。然而在百亿参数级的大模型时代，影子模型方案遭遇了难以逾越的算力壁垒——为了获取带成员标签的训练数据，攻击者必须从头训练数十个规模与目标模型相当的模型，计算成本极高；更严重的是，在单一模型和数据集上训练的判别器往往会严重过拟合于特定分词器（tokenizer）或架构层面的Logit尺度偏差，根本无法泛化到不同模型。

面对这一两难困境，本文提出了关键洞见：语言模型微调本质上无需昂贵的影子模型预训练，任何公开预训练模型在任意公开语料上的微调过程，都会在构造时自动生成完美的正负样本成员标签。更重要的是，基于交叉熵损失的梯度下降优化所引入的记忆效应，在输出概率分布上留下了独立于底层计算机制的内在特征。核心 idea：将微调成员推理重新表述为对目标模型与参考模型输出差异特征的逐token序列分类问题，仅在多样化Transformer微调任务上训练轻量级分类器，利用训练多样性过滤架构特异性伪影，从而捕获完全独立于模型计算图的跨架构通用记忆特征。

方法详解¶

整体框架¶

LT-MIA将成员推理建模为一个两阶段的序列特征抽取与判别流程：第一阶段接收待测文本序列，通过黑盒查询微调目标模型与其同架构的预训练参考模型，在每一个token位置抽取涵盖单模型统计与跨模型对比的154维特征向量；第二阶段将该特征序列输入一个参数量低于500K的轻量级Transformer编码器中，通过自注意力机制动态加权各位置的记忆信号，最终由MLP输出候选文本为成员样本的概率。

%%{init: {'flowchart': {'rankSpacing': 24, 'nodeSpacing': 28, 'padding': 6, 'wrappingWidth': 400}}}%%
flowchart TD
    A["候选文本序列<br/>x = (x_1, ..., x_T)"] --> B["逐Token分布特征提取<br/>目标模型与参考模型黑盒查询"]
    B --> C["尺度与词表归一化<br/>最大值偏移与对数词表归一化"]
    C --> D["特征序列维度投影与位置编码<br/>d=128 + 正弦绝对位置编码"]
    D --> E["轻量级Transformer编码器<br/>2层多头自注意力自适应加权"]
    E --> F["学习型查询聚合与MLP分类<br/>输出成员归属概率与决策判定"]

关键设计¶

1. 逐token多维差异特征提取：解耦局部与全局记忆偏置 手工启发式方法通常将整条序列压缩为单一标量（如平均损失或极值百分位损失），丢失了记忆信号在文本中的分布轨迹。LT-MIA在每个token位置 $t$ 提取154维特征向量，显式细分为三类信息：目标模型特征（45维）、参考模型特征（45维）以及跨模型对比特征（64维）。其中，目标与参考特征分别包含各模型的逐token交叉熵损失、真实token的Logit与对数排名、模型Top-20和Bottom-20的Logit，以及全序列损失的均值与标准差广播；跨模型对比特征则重点捕捉微调引起的分布相对位移，包括逐token损失差值 $\ell_t^{\text{tgt}} - \ell_t^{\text{ref}}$、全序列对数似然比 $\sum_t (\ell_t^{\text{tgt}} - \ell_t^{\text{ref}})$，以及目标与参考模型高低置信度token在对方预测分布中的交叉排名（cross-model ranks）。这种构造确保判别器不仅感知模型当前的置信度，更专注于微调带来的相对概率跃迁。

2. 架构无关的特征归一化与序列建模：自适应捕捉局部显著信号 不同架构的语言模型和分词系统在Logit尺度和词表大小上存在巨大差异，直接学习会导致分类器过拟合于特定词表空间的数值范围。为此，LT-MIA对所有Logit特征进行组内局部最大值减法归一化，并将所有token排名 $r$ 通过词表规模 $V$ 进行对数压缩归一化： $$r_{\text{norm}} = \frac{\log(r + 1)}{\log(V + 1)}$$ 随后，归一化特征经线性层投影至128维并叠加正弦绝对位置编码，送入2层Transformer编码器（4头注意力，前馈隐层256）。该设计使模型能够利用自注意力机制自适应地聚焦于记忆发生的局部敏感token（如生僻实体、长尾数字），而无需像传统池化或MLP那样将序列平均化或固定拍平。最后，分类器通过一个可学习查询向量（learned query）对编码器输出进行注意力加权汇总，经双层MLP生成成员概率。

3. 多样性微调驱动的训练范式：彻底消除影子模型瓶颈 针对以往学习型攻击因影子模型训练过重而无法适用的痛点，LT-MIA指出微调任务天然具备“免费且无限”的监督标签。攻击者仅需在3个不同文本语料库上对10个开源小型Transformer模型（涵盖DistilGPT-2、Pythia、Gemma、Falcon等）进行标准交叉熵微调，分别提取正负样本对，构建包含30个模型-数据集组合的训练集（每个组合仅采样600个样本，共1.8万个训练样本）。多样化的模型架构、分词器与语料迫使判别器过滤掉单模型的数值伪影，仅提取跨架构通用的交叉熵记忆特征。在完成单次轻量训练后，该检测器即可直接“一次训练，到处攻击”，零样本迁移到完全未知的黑盒模型。

实验关键数据¶

主实验¶

主实验在零重叠的评估集上进行，涵盖7个未见过的Transformer模型以及3个完全不同计算范式的非Transformer架构：Mamba-2.8B（选择性状态空间模型）、RWKV-4-3B（线性注意力）和RecurrentGemma-2B（门控循环与局部滑动窗口混合）。评价指标为受试者工作特征曲线下面积（AUC）以及严格低假阳率（FPR）下的真正率（TPR）。

架构 / 评估设置	指标	本文 (LT-MIA)	强基线 (EZ-MIA)	传统基线 (RefLoss)	传统基线 (Loss)
Held-out Transformers (7模型均值)	AUC	0.908	0.887	0.760	0.622
Mamba-2.8B (状态空间)	AUC	0.963	0.931	0.892	0.867
RWKV-4-3B (线性注意力)	AUC	0.972	0.971	0.915	0.786
RecurrentGemma-2B (门控循环)	AUC	0.936	0.915	0.800	0.860
全架构均值 (All Architecture Mean)	AUC	0.945	0.926	0.842	0.784
Held-out Transformers	TPR @ 1% FPR	0.375	0.230	0.056	0.036
Held-out Transformers	TPR @ 0.1% FPR	0.171	0.061	0.014	0.009
Non-Transformer 均值	TPR @ 1% FPR	0.520	0.413	0.249	0.216
Non-Transformer 均值	TPR @ 0.1% FPR	0.233	0.248	0.083	0.084
跨领域代码数据集 (Swallow-Code均值)	AUC	0.865	0.845	0.741	0.628

消融实验¶

1. 分类器结构消融 在相同的30组模型-数据集训练特征上，比较不同判别器架构在未见组合上的泛化表现（固定样本特征）：

分类器架构配置	Train AUC	Eval AUC	Eval TPR @ 1% FPR	说明
Transformer (序列建模，本文完整模型)	0.914	0.925	0.459	动态注意力自适应加权关键token
MLP (展平输入 Flattened)	0.885	0.877	0.343	拼接固定位置，丢失相对注意力灵活性
MLP (均值池化 Mean-pooled)	0.885	0.875	0.319	序列均值平均，抹去局部稀疏记忆峰值
Logistic Regression (线性回归)	0.838	0.839	0.237	线性聚合，无法建模高阶特征交互

2. 训练多样性消融 保持总训练样本数固定为18,000个不变，改变模型与数据集组合数量对泛化性能的影响：

训练组合数	每组合样本数	Train AUC	Eval AUC	泛化差距 (Train - Eval)	Eval TPR @ 1% FPR
1 组组合	18,000	0.998	0.796	20.2%	0.185
10 组组合	1,800	0.875	0.843	3.2%	0.244
30 组组合 (本文配置)	600	0.862	0.860	0.2%	0.284

关键发现¶

记忆特征存在跨架构普适性：在仅使用Transformer微调样本训练的情况下，LT-MIA零样本迁移到Mamba、RWKV和RecurrentGemma上的AUC分别高达0.963、0.972和0.936，全部超过未见Transformer的平均AUC（0.908）。即使最简单的Loss阈值在Mamba上也达到0.867 AUC，说明记忆特征的泄漏是自回归交叉熵训练带来的固有属性，而非特定计算图的偶然缺陷。
序列建模是低假阳率下的制胜关键：Transformer序列分类相较于均值池化MLP在Eval AUC上提升了5.0个百分点，在0.1%的极低FPR下，LT-MIA的真正率达到最强基线EZ-MIA的2.8倍（0.171 vs 0.061）。在WikiText等高难度子集上，EZ-MIA等启发式方法的TPR@1%严重退化至接近0，而LT-MIA依然能维持在0.130以上。
训练多样性显著压倒数据规模：当固定18,000总样本量时，单组合训练发生极其严重的过拟合（Train 0.998 vs Eval 0.796，泛化差距达20.2%）；而增加到30组组合时泛化差距锐减至0.2%，充分证明多样性迫使模型过滤掉特定分词器和结构伪影。
对比特征起绝对主导作用：特征排列重要性分析表明，在所有四个架构家族中，跨模型对比特征的消除导致AUC下降最为剧烈（Transformer降0.390，Mamba降0.421，RWKV降0.395，RecurrentGemma降0.266），显著高于目标模型独立特征和参考模型特征，证明记忆本质上是模型相对初始状态的漂移。

亮点与洞察¶

跳出影子模型定势的范式突破：敏锐地抓住语言模型微调阶段“正负样本标签由构建过程天然赠予”这一特点，无需付出不可承受的预训练重训代价，以仅50万参数的分类器将语言模型MIA推入可泛化的深度学习时代。
架构创新未能规避记忆泄漏：首次在无注意力机制的非Transformer架构（如状态空间模型Mamba、线性RNN架构RWKV）上系统揭示了记忆特征的零样本可迁移性，证明试图通过更换骨干架构来逃避隐私审计和版权保护是行不通的。
跨模态与跨领域的泛化潜力：仅在纯自然语言上训练的判别器在未见过的代码数据集（Swallow-Code）上依然取得了0.865的平均AUC，验证了逐token相对概率位移在代码等结构化文本中同样保持稳定。

局限与展望¶

参考模型先验已知引发的信号衰减：当预训练参考模型本身已包含候选文本知识（如Llama-2和Pythia在WikiText-103上的AUC跌落至0.781-0.796）时，微调带来的相对似然增量微乎其微，导致基于参考差异的攻击面临信噪比下降的物理瓶颈。
需要严格同源的预训练参考底座：攻击要求黑盒访问与微调模型同架构、同底座的预训练模型权重以提取高质量154维特征；这一假设对开源社区权重完全成立，但对于未公开底座版本或隐藏全部Logit的闭源API模型难以直接适用。
尚未扩展至预训练与强化学习对齐：当前研究仅验证了交叉熵SFT微调阶段；在预训练数据检测（数据量极大、单样本曝光少）以及RLHF/DPO偏好对齐等更复杂的训练管线下，记忆特征是否具备同等的可检测性仍待探索。

评分¶

新颖性: ⭐⭐⭐⭐⭐ 首次打破LLM成员推理仅靠手工启发式设计的局限，发现并验证了跨架构的记忆特征通用性。
实验充分度: ⭐⭐⭐⭐⭐ 涵盖4大完全不同的模型架构体系、10+款模型、多领域数据集，并进行了深度的特征重要性与多样性消融。
写作质量: ⭐⭐⭐⭐⭐ 逻辑严密，论述深入浅出，实验设计极具说服力。
价值: ⭐⭐⭐⭐⭐ 为大模型数据合规、版权追溯及隐私保护评估提供了全新的实用工具与坚实的理论视角。