编程语言AI算法
NeurIPS 2024：通过条件似然差异对文生图扩散模型进行成员推理
针对文生图扩散模型的成员推理任务，本文揭示了现有方法在真实场景下的成功幻觉问题。研究发现文生图扩散模型存在显著的条件过拟合现象，并基于此推导出条件似然差异（CLiD）指示器。提出的 CLiD-MI 方法包含基于阈值和特征向量两种实现，实验表明其在微调及预训练设置下均优于现有基线，且对数据增强具有鲁棒性。该方法有助于评估图文数据的未授权使用情况，推动隐私保护与版权检测研究。
针对文生图扩散模型的成员推理任务，本文揭示了现有方法在真实场景下的成功幻觉问题。研究发现文生图扩散模型存在显著的条件过拟合现象，并基于此推导出条件似然差异（CLiD）指示器。提出的 CLiD-MI 方法包含基于阈值和特征向量两种实现，实验表明其在微调及预训练设置下均优于现有基线，且对数据增强具有鲁棒性。该方法有助于评估图文数据的未授权使用情况，推动隐私保护与版权检测研究。
论文题目： Membership Inference on Text-to-Image Diffusion Models via Conditional Likelihood Discrepancy
发表会议： NeurIPS 2024
论文链接： https://arxiv.org/abs/2405.14800
文生图扩散模型（Text-to-image Diffusion Models）在海量图文数据（Image-text Data）中进行训练，在可控图像生成领域取得巨大成功，而与之伴随的则是更加严重的隐私泄露与数据版权问题 [1,2,3,4]。
成员推理（Membership Inference）定义为判断一个给定数据点是否已用于训练该目标模型。成员推理被广泛用于评估模型的隐私泄露，并可以用于检测未经授权数据使用。
基于这一背景，本文针对文生图扩散模型上的成员推理任务，并重点考虑以下两个问题：1）现有的成员推理方法是否在文生图扩散模型真实有效？2）能否针对文生图扩散模型的训练/微调特性，设计针对性的高效成员推理方法？
对于传统机器学习任务，给定数据 $x$，目标模型 $M$，成员推理任务表示为：
其中 $I$ 表示指示器（Indicator）函数（例如最常见的：损失函数）；$ au$ 表示阈值参数，用于决定成员推理的判别边界。
对于文生图模型，给定图文数据对 $(x, c)$，其成员推理任务则表示为：
注：本文也考虑了只有图像数据的情况下，$x$ 针对文生图模型进行成员推理的设定（参见下文/原文 4.6 节）。
扩散模型的主要思想是在前向过程添加高斯噪音，使得图片逐步逼近标准正态分布，然后训练模型学习逆过程来逐步去噪。对于无条件生成的扩散模型，如 DDPM [9]，其损失函数通过优化对数似然的证据下界（Evidence Lower Bound，ELBO）来得到：
而对于条件生成的扩散模型，如 Stable Diffusion [10]，其损失函数通过优化相应的条件对数似然的 ELBO 来得到：
除了训练过程，在后文中，本文也通过 ELBO 来近似估计扩散模型的似然（Likelihood）。
扩散模型作为研究热点，现阶段已有部分工作探索在其上的成员推理，然而并不能良好适配文生图扩散模型：[5] 提出了基于似然比（Likelihood Ratio Attack）的成员推理方法，然而该方法由于需要训练大量阴影模型（Shadow Model）导致存在高计算开销，无法扩展（Scale-up）到文生图扩散模型上。
[6,7,8] 提出了基于查询的成员推理，计算开销更小，可以扩展到文生图扩散模型。但是由于评估设定不合理而导致的成功幻觉，使其在更真实的文生图任务场景下达不到相对满意的效果。
针对现有挑战，本文提出了一种基于条件似然差异（Conditional Likelihood Discrepancy, CLiD）的成员推理方法。
在后文中，本文首先引入文生图模型训练过程中观察到的关键现象——条件过拟合（Conditional Overfitting），这一现象为理解模型的训练行为提供了新的视角。然后在此基础上，本文推导出一种适用于文生图扩散模型的成员推理指示器。最后，基于该指示器，本文设计了两类具体的成员推理方法，有效提升了真实场景下的成员推理性能。
回想无条件生成模型（例如 DDPM、GAN）的训练过程，在训练过程中的过拟合现象是指：模型输出分布相比于测试集（又名保留集：hold-out set）会更加偏向训练集（member set）：
在上式中，$P_{train}$ 和 $P_{test}$ 分别代表成员集和保留集的分布，$P_{model}$ 代表模型输出分布，该过拟合现象本质上即为现有成员推理任务的直觉基础。
而对于文生图扩散模型（条件扩散模型）的训练过程，本文强调了条件过拟合现象的存在：文生图扩散模型在条件分布上的过拟合要更显著于在边缘分布上的过拟合。其形式化如下：
通过使用不同的分布度量指标（FID 等），本文广泛验证了该现象的普适性（见原文图 1、图 A.1）。
使用 KL 散度代入上式，本文可以得到等价形式（证明见附录 B）：
其中：
在上式中，忽略 $eta$，根据不等式两边，便得到一个新的能够揭示成员资格的指示器：
由于该指示器实质上是在计算给定数据点在不同条件下的似然差值，所以称其为条件似然差异（Conditional Likelihood Discrepancy，CLiD）。
接下来，本文使用 ELBO 来估计相关似然值：
其中 $c_{null}$ 代表使用空文本作为条件以近似估计边缘分布。由于该等式右边需要对两个 ELBO 进行单独蒙特卡洛采样，会导致较高开销。故进一步对该式进行修改，直接对 ELBO 的差值进行蒙特卡洛采样以减少计算量 [11]：
在实际计算中，本文额外进行如下处理：
① 对文本进行不同程度的裁剪（使用 $c'$ 代表 $c$），以进一步减小误差：
② 引入对似然的单独估计来增强效果：
注：由于对于似然的估计在前面已经计算过，所以步骤 ② 不会增加任何计算开销。
接下来，本文提出两种成员推理方法，将 ① 和 ② 中得到的不同结果进行合并，分别得到一个标量值或者一个向量值，并据此来区分成员信息（具体计算细节请参考原文）：
一、基于阈值的成员推理方法：
二、基于特征向量的成员推理方法：
其中 $p$ 表示分类器的置信度（本文实验中使用 XGBoost 实现）。
合理的实验设置对于评估成员推理方法至关重要。相关工作 [12,13] 指出：不合理的评估设定可能带来成员推理的成功幻觉。基于此，本文综合考虑先前工作的实验设定和现实角度的实验设定，并考虑微调和预训练两种训练任务，以从多种角度证明本方法的有效性。
本设定完全按照现有工作 [6, 8] 的实验设置，即使用 Stable Diffusion v1-4 模型在 Pokemon（训练集/保留集：416/417）、MS-COCO（2500/2500）、Flickr（2500/2500）分别微调 15,000 步、150,000 步、150,000 步。
由于 "Over-training" 设置中的微调步数高于实际用户通常的微调步数。所以本文参考 HuggingFace 上的微调代码示例，以 20 的 Steps/image 的比例对微调步数做了修正：即在 Pokemon（训练集/保留集：416/417）、MS-COCO（2500/2500）、Flickr（10000/10000）分别微调 7500 步、50,000 步、200,000 步。
此外本文引入了微调时常用的数据增强方法（Random-Crop 和 Random-Flip）以进一步模拟真实情况。
针对预训练的成员推理直接检测数据是否被用于 Stable Diffusion v1-5 模型的预训练。需要注意的是，先前工作 [6, 7, 8] 通常使用 LAION-Aesthetics v2 5+ 和 MS-COCO 分别作为训练集与保留集，这会引入分布偏移（Distribution Shift）[13]，而带来成功幻觉。
故本文分别使用 LAION-Aesthetics v2 5+ 和 LAION-2B MultiTranslated 作为训练集与保留集 [13]，并对数据集中的文本进一步处理以消除分布偏移（细节参见原文）。
上表为 Over-training 设置下的评估效果。从表中可以看到，由于过高的训练步数带来的过高过拟合，所有基线均取得较好效果，本文的方法甚至达到 99% 的 ASR 和 AUC 值。此外，不同 Query（不同计算复杂度）的方法体现不出明显的效果差别，所以本文强调：该实验设定与真实训练（微调）场景不符，不能真实地反映各方法的效果差距。
上表为 Real-world training 设置下的评估效果。从表中可以看到，根据官方微调示例缩小了训练步数，并添加数据增强方法之后，本文方法相比基线的效果提升显著。
上表为预训练设置下的评估效果。
在主实验中，可以发现，训练步数对成员推理的指标影响较大。所以本文额外观察在不同微调步数下，成员推理方法的指标变化，如下图所示：
从上图可以观察到，随着训练的进行，CLiD 的有效性轨迹显著更快上升。在 25,000 步时，CLiD 有效暴露了成员信息，而其他基线方法大约在 150,000 步时才能达到类似效果。这表明本文方法能够在文生图扩散模型的过拟合程度尚较弱时，更有效地揭示成员信息。
上述实验中，本文假设成员推理的实施者可以访问完整的图文对数据点 $(x, c)$；此外，本文额外考虑一种更弱的假设：实施者只能访问图像 $x$，无法获取对应的文本 $c$：
在这种假设下，本文首先使用 Image-caption 模型（在实验中使用 BLIP）为图像生成对应的伪文本（Pseudo-Text），然后基于图像 - 伪文本对实施本文方法。在下表中，可以观察到本文的方法依然普遍优于基线方法。可能原因在于伪文本仍会保留图像的关键信息语义，从而使本文方法依然有效。
成员推理传统上被认为是一种潜在的隐私威胁攻击方法 [14,15]。然而，在文本生成图像任务中，大部分训练数据来自对网络公开图文对的抓取。这些数据在使用过程中，相较于隐私侵犯，更可能引发版权争端。在此背景下，成员推理可用于评估数据是否存在未经授权使用的可能性。因此，本文旨在设计更高效的成员推理方法，以推动社区在文图数据未授权使用检测方面的研究与实践，产生更积极的影响。
由于开源文生图模型的有限性，本文中在预训练的设置下的评估尚不充分。微调设定相比于预训练设定，具有更高的训练步数/图像比，所以本文承认 CLiD-MI 在预训练设置下相较于基线方法的优势不如在微调设置中显著。本文强调，预训练设置下的实验（原文表 3）揭示了现有方法的成功幻觉，并鼓励未来研究关注这一更具挑战性和实际意义的场景。
本文首次指出了文生图扩散模型中的条件过拟合现象、并提出了 CLiD-MI，一种基于条件似然差异的文生图扩散模型成员推理框架。实验表明，该方法在效果上相比基线具有显著优势，并对提前停止和数据增强具有鲁棒性。本文的方法旨在为社区在图文数据的未授权使用审计方面产生更积极影响。
微信公众号「极客日志」，在微信中扫描左侧二维码关注。展示文案：极客日志 zeeklog
使用加密算法（如AES、TripleDES、Rabbit或RC4）加密和解密文本明文。 在线工具，加密/解密文本在线工具，online
生成新的随机RSA私钥和公钥pem证书。 在线工具，RSA密钥对生成器在线工具，online
基于 Mermaid.js 实时预览流程图、时序图等图表，支持源码编辑与即时渲染。 在线工具，Mermaid 预览与可视化编辑在线工具，online
将字符串编码和解码为其 Base64 格式表示形式即可。 在线工具，Base64 字符串编码/解码在线工具，online
将字符串、文件或图像转换为其 Base64 表示形式。 在线工具，Base64 文件转换器在线工具，online
将 Markdown（GFM）转为 HTML 片段，浏览器内 marked 解析；与 HTML转Markdown 互为补充。 在线工具，Markdown转HTML在线工具，online