扩散模型的成员推断有个经典冤案：评分全看重建损耗，可损耗低可能只是因为图好画——一张简单的陌生图能比一张复杂的训练图损耗更低，照这标准冤枉好人。原帖摘要忠实，元数据依旧错位：编号应为 2610.40616 而非 2510.25908，日期 2026-10-29（Michael Joseph 与 Yedid Hoshen，Google，这条两人名单倒是对的）。
两根时间轴各治一个场景
训练时间轴的 RMC：拿微调后模型与早期检查点对比损耗。新背进来的东西在两个检查点间损耗差会特别显眼，老数据两边损耗差不多——这一比就把「最近才记住的」隔离出来，连文本标题都不需要。Stable Diffusion 微调审计三个数据集上 TPR@1%FPR 达 90.63 到 96.86，而先前最好的 CLiD 只有 44 到 64。扩散时间轴的 TSC 是更巧的那半：没有早期检查点时，用同一个模型自己的去噪轨迹当内部基线。核心观察是图像难度在不同噪声水平之间持续存在，而记忆只在一小段 log-SNR 上局部化；目标时间步的损耗跟相邻时间步一比，难度被轨迹自己衰减掉，留下的结构偏差就是成员信号。
账面与软肋
CIFAR-10 DDPM 上 TPR@1%FPR 翻倍到 62.3%；x、v、ε 三种参数化通吃，而老攻击换参数化就严重掉链子。软肋作者自己写了：查询预算不小（RMC 每候选两次模型查询，TSC 窗口 2Δ=5 log-SNR），只做前向不需梯度，但「查询贵」这件事没解决。代码在 GitHub MichaelJoseph777/TSC。
为什么「难度跨噪声水平持续」成立，直觉上可以这样过：一张难画的图，在每一步噪声水平上都难画——低频结构被噪声盖住时它难，高频细节被保留时它也难，难度是图的属性不是时间步的属性；记忆不一样，过拟合是训练末期才发生的事件，在 log-SNR 轴上只占一小段。TSC 拿目标步损耗减去邻步损耗，难度项在减法里对消，记忆项留下来。附录还证明了对称参考的合理性：左右邻步对非成员近似对称、对成员不对称，单边参考反而引入偏差。窗口 2Delta=5 是扫出来的甜点位，查询数翻倍还能再涨，实用时按预算调。还有一个隐含的提醒：TSC 校的是「难度」，不改变记忆本身——它让你看清谁被背过，却没说背下来的图会不会被吐出来；前者是审计问题，后者是侵权问题，两码事。对版权方，这工具是谈判桌上的证据链；对模型方，它是比 CLiD 严格得多的体检表。两种人读它的心情大概不会一样。
钉子：记忆信号沿去噪轨迹的物理定位（论文已开分析，值得盯）；视频扩散模型的成员推断能否直接复用轨迹自校准，还是得另起炉灶重推。