通过填充提取扩散语言模型中的训练数据

# 通过填充从扩散语言模型中提取训练数据
来源：https://arxiv.org/html/2605.24173
Yihan Wang 滑铁卢大学 yihan\.wang@uwaterloo\.ca &N\. Asokan 滑铁卢大学 瑞典皇家理工学院 asokan@acm\.org

###### 摘要

大型语言模型中的记忆化研究几乎完全通过前缀条件提取进行，这是自回归模型的一种自然选择。然而，扩散语言模型（DLMs）可以在任意位置对掩码标记进行去噪。因此，仅使用前缀探测只能揭示DLMs中记忆化的一方面，并且会显著低估训练数据提取的风险。

为了真实地模拟DLMs中训练数据的可提取性，我们引入了*填充提取*，这是一种由任意二进制掩码参数化的数据提取协议，它涵盖了仅前缀探测，并考虑了DLMs的双向归纳偏置。在LLaDA-8B和Dream-7B上，跨五种提取模式、三种训练流程和三个涵盖逐字和部分泄漏的语料库进行实例化，我们发现掩码几何结构决定了可提取性：边缘条件掩码*提取的逐字符序列数量是前缀条件掩码的三倍以上*，而双向访问打开了自回归模型中无法访问的通道。特别是，我们表明，一个现实的攻击者，如果能够访问已删除个人身份信息的训练数据，甚至可以在从DLMs中提取已删除电子邮件地址时获得比规模匹配的自回归模型更高的召回率。解码的可调参数会显著影响提取性能，而后续的监督微调阶段并不能消除先前的记忆化。

## 1 引言

通过从海量且多样化的文本中学习统计模式，大型语言模型（LLMs）展现出惊人的泛化能力，成功适应各种下游任务。然而，这种对训练数据的依赖是有代价的：模型不仅会泛化，还会记忆其训练数据的部分内容，这引发了对训练语料库中嵌入的个人身份信息（PII）泄露、版权材料的复制以及机密内容披露的严重担忧\[5 (https://arxiv.org/html/2605.24173#bib.bib35),23 (https://arxiv.org/html/2605.24173#bib.bib36),19 (https://arxiv.org/html/2605.24173#bib.bib37),28 (https://arxiv.org/html/2605.24173#bib.bib38)\]。展示这些风险的一个突出工作路线是*数据提取攻击*\[6 (https://arxiv.org/html/2605.24173#bib.bib39),31 (https://arxiv.org/html/2605.24173#bib.bib40),46 (https://arxiv.org/html/2605.24173#bib.bib41),15 (https://arxiv.org/html/2605.24173#bib.bib2)\]，其中攻击者精心设计提示，诱使模型从其训练集中复述序列。

虽然对自回归语言模型（ARMs）的记忆化和数据提取攻击已被广泛研究\[43 (https://arxiv.org/html/2605.24173#bib.bib42)\]，但最近出现了一种根本不同的文本生成范式：扩散语言模型（DLMs）\[26 (https://arxiv.org/html/2605.24173#bib.bib9),14 (https://arxiv.org/html/2605.24173#bib.bib7),32 (https://arxiv.org/html/2605.24173#bib.bib12),45 (https://arxiv.org/html/2605.24173#bib.bib14),44 (https://arxiv.org/html/2605.24173#bib.bib29)\]。DLMs不是严格从左到右预测下一个标记，而是学习迭代地对损坏文本进行去噪，并且可以每步在任意位置生成多个标记\[2 (https://arxiv.org/html/2605.24173#bib.bib25),27 (https://arxiv.org/html/2605.24173#bib.bib27),37 (https://arxiv.org/html/2605.24173#bib.bib28),16 (https://arxiv.org/html/2605.24173#bib.bib26)\]，为更快、更灵活的语言模型提供了一条有希望的路径\[36 (https://arxiv.org/html/2605.24173#bib.bib22),13 (https://arxiv.org/html/2605.24173#bib.bib20),21 (https://arxiv.org/html/2605.24173#bib.bib21),4 (https://arxiv.org/html/2605.24173#bib.bib4),3 (https://arxiv.org/html/2605.24173#bib.bib3)\]。尽管它们的规模和部署在增长，但DLMs的记忆化特征及其对数据提取的脆弱性在很大程度上仍未探索。

在这项工作中，我们通过开发一个评估大型DLMs中数据可提取性的综合框架来填补这一空白。我们的核心观察是，仅使用训练数据记录的前缀作为提示来估计DLMs中训练数据提取的风险\[29 (https://arxiv.org/html/2605.24173#bib.bib11)\]（也称为*前缀条件协议*）可能会严重低估风险，因为这种继承自探索ARMs中数据提取的协议只捕捉了记忆化的一个方面：它询问模型*接下来*会产生什么，而不是在给定*任意周围上下文*的情况下模型会填充什么。因此，我们引入了*填充提取*，这是一种由二进制掩码m\\mathbf\{m\}参数化的更通用的协议。训练序列中未掩码的位置构成暴露给DLM的上下文，要求模型重建对应于掩码位置的文本。如果重建结果与掩码文本匹配，则认为训练序列被提取。

在该协议中，我们实例化了五种典型的访问模式，我们将其称为前缀/后缀条件、中间部分条件、边缘条件以及均匀随机几何形状，外加一种*目标*变体，其中仅掩码敏感实体。我们研究了三种训练流程，涵盖了DLMs如何真实地接触数据，包括全微调（FT）、低秩自适应（LoRA）和监督微调（SFT）在聊天模板下的情况，并在三个数据集上进行了评估，这些数据集揭示了互补的风险：用于逐字提取的MIMIR Pile、用于Enron电子邮件PII提取的数据集，以及用于指令微调部署中提示/响应泄漏的Tulu3。此外，我们还追踪了实践者可调的解码参数（即去噪步数、半自回归块大小、采样温度和重掩码策略）如何影响可提取性。

我们在LLaDA-8B\[32 (https://arxiv.org/html/2605.24173#bib.bib12)\]和Dream-7B\[45 (https://arxiv.org/html/2605.24173#bib.bib14)\]上的实验揭示了仅靠前缀条件评估无法发现的几种模式。(i) 掩码几何结构决定了可提取性。在同等预算下，边缘条件掩码*提取的逐字符序列量是前缀条件掩码的三倍以上*，证明了DLMs的双向归纳偏置。(ii) 双向访问打开了新的泄漏通道。攻击者可以从响应中恢复用户提示并进行目标PII重建，这两者在前缀条件探测下都是不可见的。(iii) 仅关注前缀条件访问\[29 (https://arxiv.org/html/2605.24173#bib.bib11)\]可能会低估DLMs中训练数据提取的风险。例如，如果攻击者通过强制披露（例如，监管或法院命令发布的带有PII删除的数据）或部分数据泄露——这两种都是现实场景\[33 (https://arxiv.org/html/2605.24173#bib.bib46),11 (https://arxiv.org/html/2605.24173#bib.bib47),39 (https://arxiv.org/html/2605.24173#bib.bib48),35 (https://arxiv.org/html/2605.24173#bib.bib49)\]——获得了训练数据的编辑版本，那么针对DLM的目标填充可以实现比规模匹配的ARM更高的PII召回率，而仅在DLM上使用前缀条件提取则无法做到。(iv) 解码超参数可用作实用的放大或缓解杠杆，而后续的SFT阶段会重新分配但不会关闭填充所暴露的通道。

我们将我们的贡献总结如下：

- •我们形式化了*填充提取*（第3节 (https://arxiv.org/html/2605.24173#S3)），这是一种掩码参数化的数据提取协议，推广了前缀条件提取，并考虑了DLMs的双向偏置。
- •我们使用五种访问模式加上一个目标PII变体、三种训练流程和四个解码参数实例化了该协议，首次对大型DLMs中跨访问模式、暴露机制和推理时配置的记忆化和训练数据提取进行了系统研究，表明*DLMs构成的训练数据泄漏风险比之前认为的更大*（第4.1节 (https://arxiv.org/html/2605.24173#S4.SS1)–4.4 (https://arxiv.org/html/2605.24173#S4.SS4)）。
- •我们实验性地刻画了掩码几何结构、解码参数和训练后阶段如何影响LLaDA-8B和Dream-7B上的可提取性，*识别出ARMs结构上无法访问的新泄漏通道*，并讨论了推理时的缓解措施（第4.5节 (https://arxiv.org/html/2605.24173#S4.SS5)–4.7 (https://arxiv.org/html/2605.24173#S4.SS7)）。

## 2 预备知识

### 2.1 扩散语言模型

ARMs严格从左到右预测下一个标记，而DLMs将生成视为迭代去噪：前向过程通过将标记替换为特殊的\[MASK\]符号来破坏序列，而学习的反向过程从部分掩码的上下文中恢复它们。代表性的掩码DLMs，如LLaDA\[32 (https://arxiv.org/html/2605.24173#bib.bib12)\]和Dream\[45 (https://arxiv.org/html/2605.24173#bib.bib14)\]，通过掩码位置上的交叉熵损失进行训练，

L\(θ\)=−Et,x0,mt\[1t∑i=1Lmti·log⁡pθ\(x0i∣x0⊗mt\)\],\\mathcal\{L\}\(\\theta\)=\-\\mathbb\{E\}\_\{t,\\mathbf\{x\}\_\{0\},\\mathbf\{m\}\_\{t\}\}\\\!\\left\[\\frac\{1\}\{t\}\\sum\_\{i=1\}^\{L\}\\mathbf\{m\}\_\{t\}^\{i\}\\cdot\\log p\_\{\\theta\}\(\\mathbf\{x\}\_\{0\}^\{i\}\\mid\\mathbf\{x\}\_\{0\}\\otimes\\mathbf\{m\}\_\{t\}\)\\right\],其中x0\\mathbf\{x\}\_\{0\}是长度为LL的序列，t∈\(0,1\]t\\\!\\in\\\!\(0,1\]是均匀采样的破坏级别，mt\\mathbf\{m\}\_\{t\}是满足‖mt‖0=⌊tL⌋\\\|\\mathbf\{m\}\_\{t\}\\\|\_\{0\}=\\lfloor tL\\rfloor的随机二进制掩码，⊗\\otimes是掩码操作，而x0⊗mt\\mathbf\{x\}\_\{0\}\\otimes\\mathbf\{m\}\_\{t\}掩码了x0\\mathbf\{x\}\_\{0\}中比例为tt的部分。

在推理时，DLM在TT个去噪步骤中每步取消多个位置的掩码\[42 (https://arxiv.org/html/2605.24173#bib.bib13),18 (https://arxiv.org/html/2605.24173#bib.bib17)\]；哪些位置被确定由*重掩码*策略（随机、基于置信度或基于不确定性）控制\[32 (https://arxiv.org/html/2605.24173#bib.bib12),45 (https://arxiv.org/html/2605.24173#bib.bib14)\]。半自回归解码进一步将序列划分为大小为bb的块，每个块内并行解码，同时保持跨块的顺序\[42 (https://arxiv.org/html/2605.24173#bib.bib13),1 (https://arxiv.org/html/2605.24173#bib.bib23)\]，并且可以对每个位置的分布应用温度为τ\\tau的采样。除了从左到右的提示生成外，双向公式还支持*填充*\[48 (https://arxiv.org/html/2605.24173#bib.bib1),12 (https://arxiv.org/html/2605.24173#bib.bib24),41 (https://arxiv.org/html/2605.24173#bib.bib33)\]：给定一个带有任意掩码跨度的序列，模型根据前后上下文预测缺失的标记（例如，将“Joe Biden”填入“\[MASK\] \[MASK\] is the 46th president of the United States”中）。

### 2.2 数据提取

在数据提取攻击中，攻击者查询模型以引出出现在训练集中的序列，可能恢复PII、受版权保护的文本或其他敏感内容\[47 (https://arxiv.org/html/2605.24173#bib.bib18),40 (https://arxiv.org/html/2605.24173#bib.bib45)\]。典型的数据提取协议——前缀条件化——是对抗ARMs的自然选择：训练序列x∈Vn\\mathbf\{x\}\\in\\mathcal\{V\}^\{n\}被拆分为前缀x≤k\\mathbf\{x\}\_\{\\leq k\}和后缀x\>k\\mathbf\{x\}\_\{\>k\}，如果模型在使用前缀提示后预测的文本与后缀匹配，则x\\mathbf\{x\}被视为被提取，即 gθ\(x≤k\)=\(x≤k,x\>k\)=xg\_\{\\theta\}\(\\mathbf\{x\}\_\{\\leq k\}\)=\(\\mathbf\{x\}\_\{\\leq k\},\\mathbf\{x\}\_\{\>k\}\)=\\mathbf\{x\}，在逐字匹配的情况下，其中gθg\_\{\\theta\}是解码函数。记忆化通过训练样本上的提取率来概括，通常与逐字匹配标准配对，例如连续的50个标记跨度\[6 (https://arxiv.org/html/2605.24173#bib.bib39),5 (https://arxiv.org/html/2605.24173#bib.bib35)\]；概率变体用随机采样下产生后缀的概率取代确定性匹配\[15 (https://arxiv.org/html/2605.24173#bib.bib2)\]。

### 2.3 相关工作

两项最近的工作沿不同轴研究了DLMs中的数据提取。Luo等人\[29 (https://arxiv.org/html/2605.24173#bib.bib11)\]将基于前缀的\(n,p\)\(n,p\)\-可发现提取\[15 (https://arxiv.org/html/2605.24173#bib.bib2)\]推广到任意掩码。在*前缀*条件下的PII提取中，他们报告说DLMs的泄漏少于规模匹配的ARMs。Chen等人\[8 (https://arxiv.org/html/2605.24173#bib.bib19)\]则针对成员推断攻击（MIAs），利用DLMs的多种可掩码配置，通过逐步密集的掩码和基于符号、逆步权重的聚合，显著提高了在微调后的LLaDA-8B和Dream-7B上MIAs的有效性。

我们的工作在解决的问题和使用的提取协议上都不同。我们的威胁模型是提取训练数据中的逐字数据或PII，这是一个比Chen等人\[8 (https://arxiv.org/html/2605.24173#bib.bib19)\]的二元成员决策严格得多的标准。而Luo等人\[29 (https://arxiv.org/html/2605.24173#bib.bib11)\]将攻击者的访问模式限制为仅前缀条件化（大概是为了便于与ARMs直接比较），我们认为这在DLMs的情况下人为限制了攻击者的能力，因此低估了数据泄漏的风险。我们将提取参数化为任意掩码m\\mathbf\{m\}，并在五种访问模式、三种训练流程和四个解码参数下进行实例化。我们的结果阐明了他们的发现：尽管我们证实了他们的观察，即前缀条件泄漏看起来不大，但我们表明替代掩码模式会导致更多的泄漏。

## 3 填充提取

DLMs中的记忆化可以通过在序列的任何位置提供部分上下文来利用；因此，仅前缀条件化只是可能的一种方法。DLMs原生支持*填充*，其中任何标记子集都可以被掩码和重建。这使得一个比仅前缀条件化严格更通用的提取协议成为可能。

###### 定义3.1（填充提取）。

设θ\\theta表示一个DLM，x∈Vn\\mathbf\{x\}\\in\\mathcal\{V\}^\{n\}是一个训练序列，m∈\{0,1\}n\\mathbf\{m\}\\in\\\{0,1\\\}^\{n\}是一个二进制掩码，gθg\_\{\\theta\}是解码函数。如果满足以下条件，则称x\\mathbf\{x\}在填充下被*逐字提取*：

gθ\(x⊗m\)=x\.\\displaystyle g\_\{\\theta\}\(\\mathbf\{x\}\\otimes\\mathbf\{m\}\)=\\mathbf\{x\}\.\(1\)

掩码m\\mathbf\{m\}指定了访问模式（哪些标记被揭示），而gθg\_\{\\theta\}实例化了第2.1节 (https://arxiv.org/html/2605.24173#S2.SS1)中描述的推理过程，该过程由四个参数\{T,b,τ,remask strategy\}\\\{T,b,\\tau,\\text\{remask strategy\}\\\}表征。我们讨论可能的访问模式（第3.1节 (https://arxiv.org/html/2605.24173#S3.SS1)）和gθg\_\{\\theta\}的解码参数（第4.5节 (https://arxiv.org/html/2605.24173#S4.SS5)）的影响。

### 3.1 提取模式

填充提取由二进制掩码m∈\{0,1\}n\\mathbf\{m\}\\in\\\{0,1\\\}^\{n\}参数化：