OP-Print: Tracing Membership Imprints in On-Policy Self-Distillation
作者: Qi Li, Xinchao Wang
分类: cs.LG, cs.CR
发布日期: 2026-10-22
💡 一句话要点
提出OP-Print以解决自蒸馏中的隐私风险问题
🎯 匹配领域: 支柱二：RL算法与架构 (RL & Architecture)
关键词: 自蒸馏 隐私保护 成员推断攻击 机器学习安全 攻击框架
📋 核心要点
- 现有的自蒸馏方法在隐私保护方面存在风险，尤其是在使用相同训练样本的两个视图时，可能导致过度记忆。
- 本文提出OP-Print框架，通过分析自蒸馏中的监督印记特性，设计了针对灰盒和黑盒模型的攻击信号。
- 实验结果显示，OP-Print在灰盒和黑盒设置下均表现出色，相较于基线攻击，显著提高了攻击成功率。
📝 摘要（中文）
在政策蒸馏中，自蒸馏通过使用学生自身的输出作为监督，消除了对外部教师的需求。然而，这种设计在隐私方面的风险尚未得到充分探讨。本文首次研究了针对自蒸馏的成员推断攻击，提出了统一的攻击框架OP-Print。该框架利用自蒸馏中监督印记的稀疏和结构特性，针对灰盒和黑盒威胁模型构建了攻击信号。实验表明，OP-Print在多种模型和蒸馏方案中表现出色，显著优于现有基线攻击。
🔬 方法详解
问题定义：本文解决的是自蒸馏过程中存在的隐私风险，尤其是成员推断攻击的潜在威胁。现有方法在处理这些风险时缺乏有效的防护措施。
核心思路：论文的核心思路是利用自蒸馏中监督印记的稀疏性和结构性，构建针对不同访问级别的攻击信号，以提高攻击的有效性。
技术框架：OP-Print框架包括两个主要模块：在灰盒设置中，直接聚合教师-学生残差修正；在黑盒设置中，通过重启基础的输出盆稳定性来测量隐蔽的修正过程。
关键创新：最重要的创新点在于首次系统性地研究了自蒸馏中的成员推断攻击，并提出了针对不同访问级别的统一攻击框架，显著提高了攻击的成功率。
关键设计：在设计中，OP-Print关注不确定性敏感的修正位置，并通过特定的攻击信号设计来增强攻击效果，确保在不同模型和蒸馏方案中均能有效应用。
🖼️ 关键图片
📊 实验亮点
实验结果表明，OP-Print在灰盒和黑盒设置下均表现出色，相较于随机猜测的基线攻击，成功率显著提高。具体而言，在灰盒设置中，OP-Print能够有效聚合教师-学生残差修正，提升攻击效果，展示了其在多种模型和蒸馏方案中的广泛适用性。
🎯 应用场景
该研究的潜在应用领域包括机器学习模型的安全性评估、隐私保护机制的设计以及自蒸馏技术在敏感数据处理中的应用。通过深入理解自蒸馏中的隐私风险，能够为未来的模型设计提供更安全的指导，减少数据泄露的可能性。
📄 摘要（原文）
On-policy distillation has been widely adopted for alleviating the distribution mismatch of off-policy distillation. Self-distillation further removes the need for an external teacher by using the student's own outputs, enhanced with extra context or demonstrations, as supervision. This teacher-free design makes on-policy self-distillation practical, yet its privacy risks remain largely unexplored. In particular, using two coupled views of the same training example may strengthen its memorization. Motivated by this, we present the first study of membership inference attacks against on-policy self-distillation. We investigate both gray-box and black-box threat models and propose a unified attack framework, named OP-Print. OP-Print builds on our finding that the supervision imprint in on-policy self-distillation is sparse and structured, concentrating on uncertainty-sensitive correction sites rather than across the entire rollout. Exploiting this property, we construct attack signals tailored to the two access levels: in the gray-box setting, OP-Print directly aggregates the privileged teacher-student residual correction along the same rollout; in the black-box setting, it measures restart-based output-basin stability as an observable surrogate for the hidden correction process. Across diverse models and distillation schemes, all baseline attacks remain essentially at random guessing even under gray-box access, whereas OP-Print is broadly validated to be effective in both gray-box and black-box settings.