古城有一家声名远扬的私房菜馆“清味居”，招牌是主厨阿福对每位熟客口味的精准拿捏——谁的菜少盐、谁的菜多辣，他全记在心里。阿福的手艺，正是靠着常年与这些熟客“切磋”练出来的。问题来了：米其林评测机构要派一位匿名食客去暗访打分，可他们最担心的是——这位神秘食客，会不会其实就是阿福的老朋友？如果真是老友，这场评测就成了“开卷考试”，满分毫无含金量。 成员推断检测，就是为这类疑问而生的技术。它像一位老练的侦探，通过观察模型（主厨）细微的“差别对待”——比如对熟客格外热情、对陌生客过于拘谨——来判断某个样本（食客）是否曾出现在训练集（熟客档案）中。读完这篇文章，你将弄明白：模型为什么会“漏出马脚”、侦探如何“复刻主厨”来训练攻击器，以及怎样设定一条公平合理的“熟人判断线”。

岗位关联

掌握成员推断检测，你就能为 AI 评测把好最后一道关：识别评测数据是否被模型“偷看过”，这是保障模型公平性与可信度的关键技能，也是 AI 安全评估师与评测工程师的核心职责之一。

目录
  1. 可视化演示
  2. 问题背景：评测污染隐患
  3. 攻击原理：记忆痕迹漏洞
  4. 攻击模型：影子模型构建
  5. 阈值设定：判定边界校准
  6. 评估指标：检测效果度量
  7. 防御对策：隐私防线加固
  8. AI 应用场景
  9. Python 演示
  10. 常见误区
  11. 面试题

可视化演示

展示成员推断攻击的损失分布阈值检测、影子模型攻击技术及AUC评估与污染溯源，帮助理解评测数据污染检测的核心方法。

本节配有交互动效（进入视口后自动加载，约 3KB）。

'+captions.loss+'

问题背景：评测污染隐患

“清味居”私房菜馆的招牌，是主厨阿福对每位熟客口味的精准拿捏。可评测机构的王监督最近发现一件尴尬事：去年派去暗访的匿名食客，居然也出现在阿福的熟客档案里。这说明阿福那道令评委会打高分的“看家菜”，并非临场发挥，而是早有准备——成绩自然失去了含金量。

在 AI 世界，“熟客档案”就是训练集。模型训练时反复“品尝”这些样本，把预测误差压到最低；如果评测集样本不小心混入训练集——无论是爬虫误抓、数据去重失误还是团队疏忽——模型等于提前看到了考题，测试分数虚高而不自知。成员推断检测（Membership Inference Detection）正是用来回答那个让评测人寝食难安的问题：眼前这个样本，模型到底“见过”没有？

这项技术源于 2017 年 Shokri 等人提出的成员推断攻击，相关论文见 [Membership Inference Attacks Against Machine Learning Models](0)。其核心洞察是：模型在训练集上的行为与非训练数据存在系统性差异。训练过程以最小化损失函数为目标，模型对“背过的样本”往往给出更高的置信度、更低的损失值，这些差异被称为“记忆痕迹”，也是后续所有检测手段的立足点。

一句话概括：模型训练就像主厨揣摩熟客口味，损失函数是那本“味觉账本”。账本记得越细，日后的“验亲”风险就越大——评测防污染的第一步，是认清这份风险到底从何而来。

L(θ)=−1n∑i=1nlog⁡pθ(yi∣xi)\displaystyle \mathcal{L}(\theta)=-\frac{1}{n}\sum_{i=1}^{n}\log p_{\theta}(y_i\mid x_i)
这个公式是训练时的“味觉账本”：它把模型在全部训练样本上的犯错程度加起来取平均。账本记得越细，模型的“熟客记忆”就越深，日后被成员推断“验亲”的风险也越大。
  1. 预测概率$p_{\theta}(y_i\mid x_i)$ 表示在参数 $\theta$ 下，模型对第 $i$ 个样本正确类别 $y_i$ 给出的预测概率——好比主厨对某位熟客口味偏好的把握程度，越熟把握越高。
    pθ(yi∣xi)p_{\theta}(y_i\mid x_i)
  2. 对数与负号$-\log p$ 把概率转换成“意外程度”，概率越接近 1，损失越接近 0；概率越低，说明模型越“没把握”，损失越大。
    −log⁡pθ(yi∣xi)-\log p_{\theta}(y_i\mid x_i)
  3. 求和平均$\frac{1}{n}\sum_{i=1}^{n}$ 表示对全部 $n$ 个训练样本的损失取平均，训练就是不断压低这个平均损失，也就是让主厨同时“照顾好”每一位熟客。
    1n∑i=1n\frac{1}{n}\sum_{i=1}^{n}

攻击原理：记忆痕迹漏洞

王监督没有直接质问阿福“你认识他吗”，而是悄悄记录：凡是档案里的熟客进门，阿福出菜平均快 40 秒，笑容也明显多三分；陌生客人进门，他总要反复试味才肯端菜。这些细微的“差别对待”，就是侦探眼中的“记忆痕迹”。

模型同样藏不住差别对待。攻击者只需向模型查询样本，就能拿到两类关键信号：置信度分数与损失值。对于训练成员，模型给出的置信度系统性偏高、损失值系统性偏低——好比主厨对熟客口味的拿捏，远比对陌生客精准。模型过拟合越严重，成员与非成员这两条分数分布的分离就越明显。

攻击者因此可以构建一条简单却有效的判定规则：当样本的置信度分数超过阈值 $\tau$ 时判为成员，否则判为非成员。这个规则虽然朴素，却是后续所有攻击模型的基石。

这一节的启示是：模型“记得”的每个细节，都可能成为出卖它的线索。评测防污染的第一步，是搞清楚这些漏洞长什么样、藏在哪个信号里。

m^=1[c(x,y)≥τ]\displaystyle \hat{m}=\mathbb{1}\bigl[c(x,y)\ge\tau\bigr]
公式的意思是：模型对样本给出的“自信值”超过那条“熟络线” $\tau$，就判定这位食客是主厨的老朋友；否则就当作陌生客放行。
  1. 置信度信号$c(x,y)=p_{\theta}(y\mid x)$ 表示模型对样本 $x$ 属于标签 $y$ 的自信程度，这是攻击者最容易从查询接口获得的特征。
    c(x,y)=pθ(y∣x)c(x,y)=p_{\theta}(y\mid x)
  2. 判定阈值$\tau$ 是“熟络线”，分数高于此线判为成员，低于此线判为非成员；阈值的位置直接决定误报与漏报的多少。
    τ\tau
  3. 指示函数$\mathbb{1}[\cdot]$ 把条件判断转换为取值 1 或 0 的“是/否”结果，即最终成员判定 $\hat{m}$。
    m^=1[c(x,y)≥τ]\hat{m}=\mathbb{1}[c(x,y)\ge\tau]

攻击模型：影子模型构建

聪明的侦探不会只凭“出菜快”就下结论——万一那位客人天生面善呢？要想科学“验亲”，王监督决定先开一家“影子餐厅”：用类似的菜系、类似的菜谱，训练一位“影子主厨”，先观察这位影子主厨面对自己熟客时是什么表现，再拿这套标准去比对正牌主厨。

在 AI 领域，“影子餐厅”就是影子模型（Shadow Model）。攻击者用与目标模型相似的数据分布训练若干个影子模型，这样就能精确标注“谁是成员、谁不是成员”，从而生成一份带标签的攻击训练数据——这些数据是攻击器（Attack Model）的学习素材。

攻击器通常是一个逻辑回归或小型神经网络，输入为置信度、损失值、预测是否匹配真实标签等特征，输出为“该样本是成员”的概率。整个训练流程是：先造影子模型，再采特征样本，最后训练攻击器。

影子模型是攻击者的一把“万能钥匙”：它不需要碰目标模型的任何内部结构，只通过公开的查询接口，就能复刻出一套“识人标准”——这正是成员推断攻击最可怕也最实用的地方。

fattack(c,l,t)=σ(w1c+w2l+w3t+b)\displaystyle f_{\text{attack}}(c,l,t)=\sigma\bigl(w_1 c+w_2 l+w_3 t+b\bigr)
这个公式是攻击器内部的计算方式：它把三条“线索”（置信度、损失、标签匹配）加权求和，再经 Sigmoid 压缩成 0 到 1 的“熟络概率”。
  1. 特征向量$c$ 是置信度、$l$ 是损失值、$t$ 是预测与真实标签是否匹配，三者构成攻击器判断“亲疏”的三条线索。
    (c,l,t)(c,l,t)
  2. 线性加权$w_1,w_2,w_3$ 与偏置 $b$ 是攻击器从影子模型数据中学到的参数，表示每条线索的重要程度。
    w1c+w2l+w3t+bw_1 c+w_2 l+w_3 t+b
  3. Sigmoid 映射$\sigma(z)=\frac{1}{1+e^{-z}}$ 把加权和压到 0-1 区间，输出“是成员”的概率，越接近 1 越可疑。
    σ(z)=11+e−z\sigma(z)=\frac{1}{1+e^{-z}}

阈值设定：判定边界校准

攻击器输出的是 0 到 1 的“熟络分数”，但侦探还需要一把尺子：分数超过多少才算“老朋友”？尺子放得太松，路人甲全被当成熟人（误报）；放得太紧，真熟人又被漏掉（漏报）。这把尺子，就是阈值 $\tau$。

阈值设定的核心是权衡两类错误：把非成员误判为成员（假正例，对应 FPR），以及把成员漏判为非成员（假负例，对应 TPR 下降）。工程上常用 ROC 曲线来观察这个权衡——把每个阈值下算出的（FPR, TPR）点连成一条曲线，曲线越靠近左上角，说明成员与非成员的可分性越强。

具体操作上，先在验证集上枚举一组候选阈值，计算每个阈值下的 TPR 与 FPR，再根据业务需求挑选：追求“零污染放行”时倾向高阈值（低误报），追求“全面排查”时倾向低阈值（高检出）。

阈值没有绝对正确的取值，只有最贴合场景的权衡。AI 评测团队要做的，是画出一条让“漏掉熟客”与“冤枉路人”都尽可能少的线。

TPR=TPTP+FN,FPR=FPFP+TN\displaystyle \text{TPR}=\frac{TP}{TP+FN},\qquad \text{FPR}=\frac{FP}{FP+TN}
TPR 是“老朋友被认出来的比例”，FPR 是“陌生人被误认成老朋友的比例”。阈值就像餐厅门口的贵宾识别线——画在哪里，取决于你更怕漏掉贵人，还是更怕错认闲人。
  1. 真正例率TPR 衡量成员样本中被正确判为成员的比例，也叫灵敏度或检出率；$TP$ 是认对的老朋友，$FN$ 是被漏掉的老朋友。
    TPR=TPTP+FN\text{TPR}=\frac{TP}{TP+FN}
  2. 假正例率FPR 衡量非成员样本中被误判为成员的比例，也叫误报率；$FP$ 是被冤枉的陌生人，$TN$ 是正确放行的陌生人。
    FPR=FPFP+TN\text{FPR}=\frac{FP}{FP+TN}

评估指标：检测效果度量

尺子有了，还差一份体检报告。侦探的识人系统到底准不准？王监督把结果摊开在桌上：认对了 80 位老朋友，但把 10 位陌生客也当成了熟人，还漏掉了 20 位真朋友。这些数字，就是评估检测效果的基石。

评估成员推断攻击的效果，最常用的两个指标是精确率（Precision）与召回率（Recall）：精确率回答“说认识的人里真认识的有多少”，召回率回答“老朋友里被认出多少”。而从隐私保护视角看，业界更常用隐私提升率（PPR），它把检出率与误报率捏成一个比值，衡量攻击相对随机猜测的提升幅度。

当 PPR 接近 1 时，说明攻击几乎等同瞎猜，模型没有明显泄露痕迹；当 PPR 明显大于 1（通常以 2 为经验线）时，说明训练成员可以被可靠区分，评测污染风险较高，需要警惕。

体检报告的意义在于“用数据说话”：侦探不能只说自己眼光毒，要拿出精确率、召回率来证明。AI 评测团队同样依赖这套指标，来判断一套检测系统是否可以真正上线。

Precision=TPTP+FP,Recall=TPTP+FN\displaystyle \text{Precision}=\frac{TP}{TP+FP},\qquad \text{Recall}=\frac{TP}{TP+FN}
PPR=TPRFPR\displaystyle \text{PPR}=\frac{\text{TPR}}{\text{FPR}}
精确率和召回率分别回答“认得准不准”和“认得全不全”；隐私提升率则把两者压缩成一个比值，一把尺子量出泄露风险。
  1. 精确率被判为成员的样本中真正成员的比例，回答“侦探说认识的人，真的是老朋友吗”。
    Precision=TPTP+FP\text{Precision}=\frac{TP}{TP+FP}
  2. 召回率所有成员中被找出来的比例，回答“老朋友都认全了吗”。
    Recall=TPTP+FN\text{Recall}=\frac{TP}{TP+FN}
  3. 隐私提升率用 TPR 除以 FPR，数值越大说明攻击者越容易把成员与非成员分开；接近 1 表示接近随机猜测。
    PPR=TPRFPR\text{PPR}=\frac{\text{TPR}}{\text{FPR}}

防御对策：隐私防线加固

面对越来越精明的侦探，主厨阿福决定改变策略：不再把每位客人的口味背得滚瓜烂熟，而是对所有客人保持“一碗水端平”的职业距离。这正是模型防御成员推断的底层思路——抹平成员与非成员在行为上的差异。

常用的防御手段有四类：权重正则化限制模型的“死记硬背”能力；差分隐私在训练过程中注入噪声，让单个样本的存在与否对模型输出的影响变得有界；知识蒸馏让小模型学习大模型的“通用智慧”而非逐样本记忆；输出截断与置信度校准则直接抑制模型给出过于自信的分数，削平成员与非成员的分数差。

以正则化为例：目标函数从“只看训练损失”变为“训练损失 + 权重惩罚”，模型被迫用更平滑的决策边界去拟合数据，记忆痕迹随之淡化。

防御不是让模型变笨，而是让模型“专业而不熟络”。一张对谁都不偏不倚的“脸”，既保护了食客的隐私，也守住了评测的公平底线。

L~(θ)=L(θ)+λ∥θ∥22\displaystyle \tilde{\mathcal{L}}(\theta)=\mathcal{L}(\theta)+\lambda\|\theta\|_2^2
公式的意思是：在原来的“味觉账本”之外，再加一条“不许死记硬背”的规矩——谁的权重增长得越夸张，谁受的惩罚就越重。
  1. 原始损失$\mathcal{L}(\theta)$ 是未加约束的训练损失，代表模型对训练集的“记忆程度”。
    L(θ)\mathcal{L}(\theta)
  2. 惩罚项$\lambda\|\theta\|_2^2$ 是所有权重平方和再乘以系数 $\lambda$，权重越大惩罚越重，逼迫模型用更小的参数拟合数据。
    λ∥θ∥22\lambda\|\theta\|_2^2
  3. 权衡系数$\lambda$ 控制“记忆”与“归纳”的平衡，$\lambda$ 越大，模型越不敢死记硬背，成员痕迹也就越淡。
    L~(θ)=L(θ)+λ∥θ∥22\tilde{\mathcal{L}}(\theta)=\mathcal{L}(\theta)+\lambda\|\theta\|_2^2

AI 应用场景

大模型评测集洁净度审计

阶段：评测前的数据审计阶段

解决的问题：传统做法依赖人工查重和模糊匹配来排查评测集与训练集的重叠，但对改写、翻译、同义替换等变形文本几乎无能为力。成员推断检测直接从模型自身的行为痕迹出发，无需访问训练集原文，就能批量筛查评测样本是否被模型“背过”。

具体案例：某团队要在开源大模型上跑中文知识问答榜单，先用基于影子模型的成员推断器对 5000 道评测题逐一打分，发现其中 320 道疑似被模型“见过”，及时剔除后榜单说服力大幅提升。

模型发布前的隐私风险评估

阶段：模型发布前的安全审计阶段

解决的问题：隐私法规要求模型不得泄露训练集中的个人信息，但传统指标无法证明“模型没有记住某个用户”。成员推断以攻击者视角量化泄露风险，为合规报告提供可量化的证据。

具体案例：某医疗 AI 厂商在发布病历问答模型前，随机抽取 1000 条训练病历与 1000 条非训练病历进行成员推断，测得 TPR 为 60%、FPR 为 5%，隐私提升率超过 10，据此决定引入差分隐私训练后再上线。

训练数据合规审计

阶段：数据治理与版权合规阶段

解决的问题：面对“模型是否背下了受版权保护的书籍内容”的质疑，传统方法难以从黑盒模型取证。成员推断可以把疑似侵权文本作为候选样本，逐一判断它们是否落在训练集里，为版权纠纷提供技术层面的参考证据。

具体案例：某出版机构怀疑大模型“背诵”了自家小说片段，法务与技术团队协作，抽取 3000 段疑似文本做成员推断，发现高风险样本占比显著高于随机基线，推动平台下架争议模型并补充数据合规声明。

Python 演示

python43 行
# -*- coding: utf-8 -*-import numpy as npfrom sklearn.datasets import make_classificationfrom sklearn.linear_model import LogisticRegressionfrom sklearn.model_selection import train_test_split  def conf_scores(model, X, y):    """Return confidence scores of true labels for every sample."""    proba = model.predict_proba(X)    return proba[np.arange(len(X)), y]  def main():    # 1. 构造合成数据集: 模拟"老主顾"(训练成员)与"新食客"(非成员)    X, y = make_classification(n_samples=2000, n_features=12, random_state=42)    X_member, X_guest, y_member, y_guest = train_test_split(        X, y, test_size=0.5, random_state=42)     # 2. 目标模型: 只在老主顾的反馈上练过手艺    target = LogisticRegression(max_iter=2000)    target.fit(X_member, y_member)     # 3. 收集两拨人的"熟络度": 置信度分数分布    member_scores = conf_scores(target, X_member, y_member)    guest_scores = conf_scores(target, X_guest, y_guest)     # 4. 阈值攻击: 分数超过阈值就判为训练成员    best = (0.0, 0.0, 0.0)    for t in np.linspace(0.5, 0.99, 50):        tpr = (member_scores >= t).mean()        fpr = (guest_scores >= t).mean()        if tpr - fpr > best[0] - best[1]:            best = (tpr, fpr, t)     tpr, fpr, threshold = best    print("best threshold = %.2f" % threshold)    print("TPR = %.3f, FPR = %.3f" % (tpr, fpr))    print("privacy gain PPR = %.2f" % (tpr / max(fpr, 1e-6)))  if __name__ == "__main__":    main()
目的：用逻辑回归训练一个“目标模型”，再通过置信度阈值攻击判断某样本是否是训练成员，最后输出最优阈值与隐私提升率，复现正文第 2-4 节的核心流程。
  1. X_member, X_guest, y_member, y_guest = train_test_split(...)把数据分成“老主顾”与“新食客”，模拟成员与非成员两个群体
  2. target.fit(X_member, y_member)让“主厨”只跟老主顾学习，制造训练记忆
  3. conf_scores(target, X_member, y_member)提取模型对每个样本真实标签的置信度，即“熟络度”
  4. (member_scores >= t).mean()用阈值 t 裁定成员，并统计检出率 TPR
  5. if tpr - fpr > best[0] - best[1]:以“检出减去误报”最大化为标准，搜索最优阈值
  6. tpr / max(fpr, 1e-6)计算隐私提升率 PPR，量化泄露风险

常见误区

误区“我训练的模型在训练集上准确率接近 100%，几乎完全过拟合，成员推断攻击肯定能百分百命中所有训练成员。”

正解训练误差低只说明模型“记住了答案”，但攻击能否成功，取决于成员与非成员在输出行为上的分离程度。如果模型泛化能力强，对非成员样本同样给出低误差，两条分布依然高度重叠，攻击准确率照样平庸。成员推断看的永远是“两类样本分布之间的间隔”，而不是单边的过拟合指标。

为何常见：人们直觉上认为“背得越熟越容易认出来”，却忽略了识别需要对照——非成员样本的基线表现同样关键。

误区“只要模型对某个样本输出 0.95 以上的置信度，它一定在训练集里见过这个样本。”

正解经过良好校准的模型（如使用温度缩放、标签平滑）对非成员样本也可能给出高置信度，尤其是类别简单、决策边界清晰的样本。成员推断永远是统计判断：攻击器比较的是成员与非成员两个群体在分数分布上的差异，而不是单点分数的绝对高低。单看一个高分就下结论，会误伤大量无辜的“面善路人”。

为何常见：把“强信号”误解为“铁证”，忽略了分布视角——侦探认人不能只看一个动作，要看整体的行为模式。

误区“模型训练时加了差分隐私噪声，所以成员推断攻击完全失效了。”

正解差分隐私只是把每个样本的影响限制在隐私预算 ε 界内；ε 越大噪声越小，泄露风险依然存在。而且攻击者可利用的特征不止置信度——损失值、梯度、对扰动输入的敏感度都能成为线索。差分隐私能显著降低风险，但绝非“金钟罩”。

为何常见：安全领域的常见误解是把“降低风险”等同于“完全消除”，人们也对“隐私预算 ε”这个抽象概念缺乏直觉。

误区“既然叫检测技术，训练集和测试集一旦有重叠，就一定能检测出来。”

正解成员推断是统计学工具，结论是概率性的：它回答的是“这个样本更像成员还是非成员”。当污染样本量小、模型泛化好、或攻击特征被防御手段抹平时，大量污染样本会漏网。评测安全需要配合数据去重、留出验证集等多种手段共同保障，而不能只靠单一检测器。

为何常见：对“检测”二字抱有过高期望，没有意识到统计推断天然存在不确定性。

面试题

Q1. 成员推断攻击的核心目标是什么？

单选题 · easy

  • A.判断样本是否在目标模型训练集中← 正确答案
  • B.窃取目标模型的权重参数
  • C.提高目标模型的测试准确率
  • D.生成对抗样本欺骗目标模型

答案：A。成员推断攻击的核心是判断“某个样本是否被模型在训练时见过”，这正是评测数据污染检测的基础。窃取权重属于模型提取攻击，提高准确率是训练任务，生成对抗样本则属于对抗攻击，均与成员判定无关。

Q2. 模型在训练集成员样本上通常表现出什么特征？

单选题 · easy

  • A.置信度更高且损失更低← 正确答案
  • B.置信度更低且损失更高
  • C.模型输出与随机噪声无异
  • D.与测试样本表现完全一致

答案：A。由于训练以最小化训练集损失为目标，模型对“见过”的样本往往给出更高的置信度、更低的损失值，这是记忆痕迹的核心表现。选项 B、C、D 描述的都与成员样本的实际表现相反。

Q3. 影子模型在成员推断攻击中的主要作用是什么？

单选题 · mid

  • A.直接代替目标模型进行预测
  • B.构造特征样本以训练攻击器← 正确答案
  • C.压缩目标模型以加速推理
  • D.对目标模型进行对抗攻击

答案：B。攻击者不知道目标模型的训练数据，无法直接标注“谁是成员”。影子模型用相似分布训练，从而可以精确生成带成员标签的特征样本，供攻击器学习。它不是用来代替目标模型做预测的，更与模型压缩、对抗攻击无关。

Q4. 关于成员推断的阈值设定，下列说法正确的是？

单选题 · mid

  • A.阈值越高则误报率必然越高
  • B.阈值越低检出率与误报率同步升高← 正确答案
  • C.阈值取值与检测效果完全无关
  • D.阈值应当固定设置为 0.5

答案：B。阈值越低，判定条件越宽松，更多样本被划为成员，因此 TPR 与 FPR 同步升高；阈值越高则两者同步下降。阈值没有普适固定值，需要结合业务权衡漏报与误报，选项 A、C、D 均错误。

Q5. 下列哪些属于模型的“记忆痕迹”表现？

多选题 · mid

  • A.训练成员样本置信度显著偏高← 正确答案
  • B.训练成员样本损失系统性偏低← 正确答案
  • C.模型输出的结果存在明显稀疏
  • D.训练集整体损失远低于测试集← 正确答案

答案：ABD。记忆痕迹表现为成员样本置信度偏高、损失偏低，以及训练集与测试集表现的显著差距（过拟合信号）。输出稀疏性通常是激活函数或正则化造成的结果，并不直接构成成员判定线索。

Q6. 关于 ROC 曲线与 AUC，下列说法正确的是？

单选题 · mid

  • A.随机猜测时 AUC 等于 1
  • B.固定阈值时 AUC 等于 0.5
  • C.随机时 AUC 为 0.5，越大越可分← 正确答案
  • D.AUC 越大表示模型过拟合越严重

答案：C。ROC 曲线由不同阈值下的（FPR, TPR）点连成，随机猜测时 AUC 为 0.5，AUC 越接近 1 说明成员与非成员的可分性越强。AUC 衡量的是区分能力，与过拟合程度并不等同。

Q7. 差分隐私防御成员推断的本质原理是什么？

单选题 · hard

  • A.直接删除全部历史训练数据
  • B.让单个样本对模型输出影响有界← 正确答案
  • C.对模型输出结果做二次加密
  • D.只允许白名单用户访问该模型

答案：B。差分隐私通过在训练中注入噪声，保证任意单个样本的存在与否对模型输出的影响被限制在隐私预算内，使攻击者无法通过输出差异可靠推断成员身份。删除数据、输出加密与访问控制都不是差分隐私机制的本质。

Q8. 下列哪些防御手段能够降低成员推断风险？

多选题 · hard

  • A.训练时使用权重衰减等正则化← 正确答案
  • B.对置信度输出进行温度缩放← 正确答案
  • C.用知识蒸馏压缩后再部署模型← 正确答案
  • D.将模型参数量扩大数倍以增强拟合

答案：ABC。正则化抑制过拟合、温度缩放抹平置信度差异、知识蒸馏让小模型学“通用规律”而非逐样本记忆，三者都能淡化记忆痕迹。扩大参数量通常会加剧过拟合，反而放大成员与非成员的差距，增加泄露风险。

Q9. 关于隐私提升率 PPR，下列说法正确的是？

单选题 · easy

  • A.PPR 小于 1 说明攻击效果显著
  • B.PPR 等于 1 说明存在明显泄露
  • C.PPR 大于 2 通常说明存在明显泄露← 正确答案
  • D.PPR 恒为 0 说明检测完全无效

答案：C。PPR 是 TPR 与 FPR 的比值，等于 1 表示攻击接近随机猜测，没有泄露信号；大于 2 通常被经验性地视为存在明显泄露。PPR 小于 1 甚至不构成有效攻击，因此 A、B、D 均错误。

Q10. 关于成员推断与评测污染检测，下列说法正确的是？

多选题 · hard

  • A.可用于筛查评测集与训练集的重叠← 正确答案
  • B.少量污染样本往往难以被统计发现← 正确答案
  • C.所有污染样本必然会被检测出来
  • D.检测结论本质上是概率性的判断← 正确答案

答案：ABD。成员推断的价值正是发现评测集与训练集的重叠样本，但它是统计工具，结论是概率性的，样本量小、模型泛化好或存在防御机制时都会漏检。宣称“必然检出”违背了统计推断的基本性质，因此 C 错误。