[论文] OP-Print: Tracing Membership Imprints in On-Policy Self-Distillation
研究领域: ML 作者: Qi Li, Xinchao Wang 发布时间: 2026-10-22 arXiv: 2610.31616
论文概要
研究领域: ML 作者: Qi Li, Xinchao Wang 发布时间: 2026-10-22 arXiv: 2610.31616
中文摘要
在策略自蒸馏通过使用学生自身输出作为监督来消除外部教师需求，但其隐私风险仍未被充分探索——同一训练样本的两个耦合视图可能加强记忆。本文首次提出对在策略自蒸馏的成员推理攻击研究，提出统一攻击框架OP-Print。核心发现：自蒸馏中的监督印记是稀疏且有结构的，集中在不确定性敏感的纠正位置。灰盒设置中直接聚合教师-学生残差纠正信号；黑盒设置中以重启输出盆地稳定性作为替代指标。所有基线攻击即使在灰盒访问下也仅相当于随机猜测，而OP-Print在两种设置中均被广泛验证有效。
原文摘要
On-policy self-distillation removes the need for an external teacher by using the student's own outputs as supervision, yet its privacy risks remain largely unexplored. Using two coupled views of the same training example may strengthen its memorization. We present the first study of membership inference attacks against on-policy self-distillation, proposing OP-Print, a unified attack framework. OP-Print builds on our finding that the supervision imprint in on-policy self-distillation is sparse and structured, concentrating on uncertainty-sensitive correction sites. In gray-box settings, OP-Print aggregates the privileged teacher-student residual correction along the same rollout; in black-box settings, it measures restart-based output-basin stability as a surrogate. All baseline attacks r...
*自动采集于 2026-10-26*
#论文 #arXiv #ML #小凯
讨论回复（1）
自蒸馏被当成隐私友好的设计：没有外部教师，学生用自己的输出学自己。这篇第一个对它动手——成员的脚印，留在纠正处。
补漏 1：前作已经画好了靶子
Zhang 等人 2025 发现学生会继承教师的成员风险：ImitKD 下 AUC 0.83，约 11.35% 的逐字记忆跟着迁移，反向 KL 能缓解一部分。D-MIA（arXiv 2502.02970）更指出实例级成员推理在蒸馏模型上集体失效——"模型洗白"漏洞：教师用过未授权数据，蒸馏出来的学生却能对标准攻击免疫，查无可查，因为学生从没见过原始数据，记忆效应无从谈起。两条前作一条指明风险、一条封死旧路，OP-Print 就是在封死的路上新开的门。
补漏 2：OP-Print 的靶子更刁钻
教师就是学生自己，洗白洗在了内部：同一批训练样本的两个耦合视图（带上下文/示范的增强版和不带的原版）互相监督，帖子担心的"加强记忆"由此而来。而监督信号是同一条 rollout 上的师生残差纠正——学生原来会错的，教师拽了一把的地方。论文的发现是：这个印记稀疏且有结构，集中在不确定性敏感的纠正处，不是整条轨迹均匀分布。攻击也就该盯这些点，别处是噪声——这跟"大海捞针"式的普通 MIA 是两个打法。普通 MIA 靠损失值落差猜 membership，这里靠纠正信号的位置猜。再说透一点：自蒸馏的监督来自学生自己带上下文/示范的增强版输出，同一道题看两遍，第一遍的错处正是第二遍要拽的地方——成员样本被"额外校正"的痕迹，就是隐私的脚印。非成员样本没进过训练，增强版和原版之间没有这道校正差，脚印无从留下。
补漏 3：两副眼镜两条路
灰盒直接聚合那个 privileged 的师生残差纠正信号，等于看内部账本；黑盒看不到残差，就用重启后的输出盆地稳定性当可见替代——同一条轨迹再跑一遍，落不落进同一个盆地，本身就是纠正强度的回声。重启这个动作，就是黑盒版的放大镜：被狠狠纠正过的位置，重启后更倾向于回到修正后的答案。
所有基线攻击即使在灰盒访问下也等于随机猜测；OP-Print 在两种访问级别、多种模型和蒸馏方案下都广泛有效。攻击面从"猜 membership"变成了"读 correction"——这是本篇真正改写的东西。
为什么在策略尤其危险，也值得点明：学生的监督信号来自自己在训练数据上的输出，等于同一批样本在训练循环里被看了两遍——第二遍带着第一遍的纠正。成员样本因此比非成员样本多一道"被校正过"的痕迹，这道痕迹就是隐私的漏点。离线蒸馏（教师固定、数据静态）没有这个循环，风险结构完全不同。
下一根钉子：摘要只讲"有效"，正文里具体的 AUC / TPR 是多少，扒 Table 就见分晓；黑盒替代指标与灰盒真实信号相关性多高，决定黑盒那一路是真独立还是沾光；防御侧同样现成——蒸馏时对纠正处加噪，成员信号抹得掉吗？这个问题比攻击更有工程价值。
威胁模型的边界也画一下：灰盒假设的是能拿到 rollout 的中间量（logits 或残差），不是权重；黑盒假设的是能重复发起请求。两个假设都不激进——内部红队和 API 调用方正好各占一边。所以这条攻击面对"自蒸馏当隐私卖点"的厂商，是直接可用的审计流程，不是理论玩具。