Where Rectified Flows Leak: Characterising Membership Signals Along the Interpolation Path

TL;DR Rectified Flow 的插值路径会泄露训练成员信号，形成钟形曲线，即使在验证指标稳定时仍可被成员推断攻击利用。

问题

问题背景

生成模型在训练过程中会记忆训练数据的特定模式，这不仅涉及逐字复制，还包含更细微的统计痕迹。随着 Rectified Flows 等新型生成范式在实际系统中的广泛部署，理解并控制这些模型对训练数据的记忆与泄露成为一个核心挑战，直接关系到隐私保护和版权合规。

现有方法局限

目前对生成模型记忆的研究主要集中在输出层面的近似复制检测，但对于不在生成样本中直接显现的、仅存留于模型内部表征的训练痕迹，缺乏系统性的分析工具。尤其在 Rectified Flows 所依赖的插值路径 $X_\lambda = (1-\lambda)X_0 + \lambda X_1$ 上，传统的基于损失值或嵌入距离的检测手段无法捕捉到一种随 $\lambda$ 呈现钟形变化的训练/测试重构差距，该差距在训练过程中逐步累积，而标准验证指标却保持平稳，形成明显的监控盲区。

为什么这个问题难且重要

• 信号隐蔽且非单调：记忆信号并非在整个路径上均匀分布，而是集中在 $\lambda$ 的某个中间值，导致常规的端点检测（$\lambda=0$ 或 $\lambda=1$）或整体损失聚合失效。
• 与训练动态耦合：该信号是训练过程动态累积的结果，与模型对数据分布中线性与非线性成分的学习竞争有关，这使得简单的后训练检查无法揭示其存在。
• 实际攻击面大：Rectified Flows 已用于音乐生成、图像合成等生产系统，攻击者可通过提取模型中间插值状态来执行成员推理攻击，识别训练集成员，即使模型输出本身没有明显复制痕迹。

行业类比

类似在差分隐私中通过分析梯度更新泄露个体信息，但在生成模型领域，攻击者利用的是插值路径上的重构能力不对称性，无需访问训练过程或额外噪声注入，仅需模型与一组参考样本即可推断某数据是否被用于训练。

核心洞察

• **插值路径上的钟形重建间隙构成隐藏成员信号**：Rectified Flows 模型在训练过程中，对训练样本与测试样本在重构误差上的差异沿插值系数 λ 呈现钟形曲线，峰值位于训练集与测试集协方差差异最大的 λ 值。与现有成员推理攻击依赖于模型输出置信度或损失阈值不同，该信号嵌入在 flow matching 特有的时间维度，且被标准验证集指标（空间平均与时间补偿）所掩盖，为黑盒审计模型训练数据使用情况提供了新攻击面。
• **闭式峰值预测与跨模态普适性**：在高斯假设下推导的峰值位置 λ_F^* 仅由数据协方差的谱结构决定，使攻击者无需访问训练集分布即可定位最佳检测点。实验证实，该钟形结构在音频（MAESTRO）和图像（CelebA）等多模态下普遍成立，而精确峰值预测依赖于近似高斯性等条件。这为设计无需训练集统计的先验成员推理方法提供了理论锚点与实用边界，突显了 Rectified Flows 在隐私保护设计中的固有脆弱性。

方法

方法概述

该方法针对 Rectified Flow 生成模型，通过分析模型在 插值路径 X_λ = (1-λ)X_0 + λX_1 上的重构行为，提取训练数据保留信号，进而实现 成员推断攻击（Membership Inference Attack, MIA）。

输入与前提

• 数据：原始训练集与同分布测试集样本，经 VAE 编码为隐空间表示 X_0（噪声）和 X_1（真实数据）。
• 模型：一个已充分训练的 Rectified Flow，通常为 Transformer（DiT）或 U-Net 架构，学习从 X_0 到 X_1 的确定性传输映射。

关键模块

1. 插值路径上的重构
   对于每个样本，沿 λ ∈ [0,1] 均匀采样，从 X_0 开始，用模型逐步预测 X_1 方向的速度或增量，得到重构点 \hat{X}_1(λ)。重构损失 L_recon 衡量 \hat{X}_1(λ) 与真实 X_1 的距离。

2. 训练/测试重构差距的钟形曲线
   分别对训练集和测试集计算平均重构损失，得到两条曲线：L_train(λ) 和 L_test(λ)。定义 差距信号 G(λ) = L_test(λ) - L_train(λ)。实验发现 G(λ) 呈 钟形，在某个 λ* 处达到峰值。该峰值对应模型对训练样本“过拟合”最强、同时验证指标（如 FID）尚未恶化的阶段。

3. 理论推导（高斯假设下）
   在假设 X_0 和 X_1 为联合高斯、协方差矩阵具有特定结构的条件下，解析推导出 G(λ) 的表达式，并得到 临界点 λ_F* 的闭式解：该处训练与测试数据的线性互信息最小，差距最大。推导显示，该峰值由线性特征与非线性特征的竞争导致，且标准指标（如 FID 或整体损失）中因空间平均与时间补偿效应而隐藏该信号。

4. 扩展到一般情形
   通过分析学习目标的分解，将结论启发式推广到非高斯数据：线性分量贡献速学到、容易过拟合的部分，非线性残余导致钟形差异。λ_F* 的连续性使其在实际中可近似估计。

输出：成员推断攻击

基于此信号设计 MIA：对目标样本 x，沿 λ 计算重构损失，并与训练集得到的参考曲线比较。若 x 的损失曲线在 λ* 附近显著低于测试集参考，则判定为成员。攻击只需黑盒查询模型输出，无需访问训练数据。

与同类方法的区别

不同于基于最终生成样本的相似度或损失阈值方法，本工作首次利用 中间插值路径 的动态过拟合信号，在模型输出本身未泄露训练数据时仍能检测成员，揭示了 Rectified Flow 一类模型的独特隐私风险。

实验

实验设计

论文验证了 Rectified Flow 模型在训练过程中沿插值路径累积的会员信号。实验在音频（音乐生成）与图像（人脸生成）两种模态上进行，采用自编码器潜在空间训练扩散模型，并系统操控数据分布、噪声分布、模型容量、采样调度等因素，观测训练/测试样本重构损失差异随插值参数 λ 的变化曲线。

关键发现

1. 钟形曲线普遍存在：重构间隙沿 λ 呈先升后降的钟形，峰值位置由理论推导（高斯假设下最小线性互协方差点）给出，且在音频和图像数据上得到验证。
2. 信号积累与标准指标的盲区：该间隙在训练中持续扩大，而验证损失保持稳定，说明传统指标无法捕捉这类细微痕迹。
3. 假设敏感情形：当数据分布接近高斯且噪声各向同性时，峰值预测准确；否则钟形结构依然出现，但峰值偏移，说明理论可解释的线性竞争机制是本质。

与基线的对比深度解读

常规生成模型评价（如 FID、验证损失）基于空间平均或时间补偿，会掩盖特定 λ 区域的过拟合信号。该工作提出了一种λ-resolved 分析范式，直接暴露插值路径上的信息保留差异。概念验证的成员推理攻击仅利用这一简单间隙特征，即可区分训练与非训练样本，凸显了现有安全评估体系的不足——模型可能在不降低生成质量的前提下，系统性地编码训练数据印迹。这为隐私审计提供了新的探针位置（λ 中段而非端点）。

行业影响

落地场景

生成模型（尤其 Rectified Flow 类架构）在音乐、图像、视频生成中快速部署，但其训练数据隐私风险长期缺乏高效评估手段。该工作直接应用于：

• 生成式 AI 审计平台：检测模型是否过度保留训练样本的细微特征，支撑版权合规审查。
• 模型安全评估：在模型发布前扫描潜在的 Membership Inference Attack (MIA) 漏洞，作为红队测试的标准环节。
• 数据版权追溯：帮助内容平台（如音乐库、图库）验证其作品是否被未经授权用于训练。

商业价值

• 降低合规成本：提供一种无需完整重训练即可量化隐私泄露风险的方案，减少 GDPR／AI Act 等法规下的审计人力与算力开销。
• 增强企业信任：模型厂商可将其集成进交付流程，以第三方可验证方式证明隐私保护能力，提升 B2B 竞争力。
• 催生新服务：为隐私评估 SaaS 工具增加 Rectified Flow 专项检测，填补这一架构的 MIAs 评估空白。

与现有工作流的接口

该方法轻量、仅需访问模型推理过程的中间插值状态，无需修改训练代码。集成路径清晰：

1. 数据准备：抽取训练／测试集样本的 latent 表示。
2. 扫描 λ 曲线：沿 X_λ = (1-λ)X_0 + λX_1 计算重建损失，识别 gap 峰值。
3. 判定：与基线分布对比，生成成员关系置信度。 可封装为 Python 库，对接现有 MLOps 管线（如 Kubeflow、MLflow），在模型版本发布门禁中自动执行。

具体场景用例

• 音乐生成平台（如 Suno/Udio 类服务）：使用 Music2Latent 等 latent 模型生成商用音乐。借助本论文的 λ_F^* 指标，平台可验证模型是否意外记忆了训练集中的旋律特征，防止版权纠纷。
• 图像定制微调服务：用户上传私有图片进行 DreamBooth 风格化训练。服务商在交付模型前，利用该方法审计模型重构用户原始数据的风险，避免跨用户隐私泄露。

局限

• 理论分析依赖于**高斯假设**与**主导线性结构**，即要求数据经过 VAE 编码后的潜变量近似高斯分布且协方差各向同性，且模型主要学习线性特征。虽然在实验中通过潜变量分析验证了近似高斯性，但该假设在更多样化的数据模态或更大规模模型上可能不成立，导致峰值位置预测失准，限制了闭式解的普适性。
• 当前工作聚焦于 **Rectified Flows** 框架，未覆盖扩散模型、一致性模型等其他主流生成范式。各范式插值路径定义不同，且潜在空间的语义结构差异显著，因此**钟形泄漏信号**是否在其他范式中存在、以及能否复用类似的信号提取方法，仍有待检验。
• 成员推理攻击仅作为**概念验证**，未与现有先进的基于损失阈值、梯度或生成特征的攻击方法进行全面比较。实验设置中基线模型的规模较小，且未讨论防御措施的对抗性评估，攻击的实用性如 AUC、TPR@fixed FPR 等指标也缺乏详尽的量化和置信区间分析，使得实际威胁程度难以明确。