OP-Print：追踪同策略自蒸馏中的成员身份印记

arXiv:2610.31616v1 公告类型：新论文 摘要：同策略蒸馏已被广泛用于缓解离策略蒸馏中的分布不匹配问题。自蒸馏使用学生模型自身的输出作为监督信号，并通过额外上下文或示例加以增强，从而进一步消除了对外部教师模型的需求。这种无需外部教师的设计使同策略自蒸馏具有实用性，但其隐私风险在很大程度上仍未得到探索。尤其是，使用同一训练样本的两个相互耦合的视图，可能会强化模型对该样本的记忆。受此启发，我们首次研究了针对同策略自蒸馏的成员身份推断攻击。我们考察了灰盒和黑盒两种威胁模型，并提出了名为 OP-Print 的统一攻击框架。OP-Print 基于我们的发现：同策略自蒸馏中的监督印记具有稀疏性和结构性，集中于对不确定性敏感的修正位置，而非遍布整个生成轨迹。利用这一特性，我们针对两种访问权限级别构建了相应的攻击信号：在灰盒设置下，OP-Print 直接沿同一生成轨迹聚合通过特权访问获得的教师与学生模型之间的残差修正；在黑盒设置下，它测量基于重启的输出吸引域稳定性，将其作为隐藏修正过程的可观测替代指标。在多种模型和蒸馏方案中，即使具备灰盒访问权限，所有基线攻击的表现仍基本相当于随机猜测，而 OP-Print 在灰盒和黑盒设置下的有效性均得到了广泛验证。