OLMo 2 1B 训练暴露对成员推断证据的控制性研究显示单文档识别极难

该研究通过重跑 OLMo 2 1B 的官方 500 亿 token 中期训练阶段，构建了包含 7,814 对匹配文档的反事实对照组，以评估语言模型是否被特定文档训练过。研究发现，虽然单次训练暴露平均会提升未见文档的概率，但很难据此识别具体文档；在单一阈值下，成员推断仅在 1% 误报率时捕获 3.8% 的成员，且参考模型仅能恢复 92% 的优势，无参考攻击则接近随机水平。

核心证据显示，即使使用同域非成员和紧密匹配的参考模型进行配对测试，检测训练集合的能力也受限于文档级别的巨大变异性。研究指出，现有的成员推断评估往往在事后收集成员与非成员，导致结果可能反映分布偏移而非真实的训练痕迹。即便保留完整官方后训练配方，平均效应仍保留 89%，但个体层面的推断依然受限。

事实层面，作者将发布检查点、逐 token log-probabilities 及评估代码；推断层面表明当前基于概率的隐私攻击在单文档粒度上效果有限；猜测层面，若行业依赖此类方法作为版权或隐私合规的唯一依据，可能需要重新评估其有效性并转向更严格的控制实验设计。