モデルを一切見ない「盲目的」攻撃が、8 つの公開評価データセットすべてで 最先端のメンバーシップ推論手法を上回った。 既存の評価は正例と非正例を異なる分布から抽出しており、 「現行の評価は基盤モデルの訓練データの漏洩について何も語っていない」と結論する。
出力軸。メンバーシップ推論の方法論に対する 最も直接的な反証であり、サーベイ 3·2§2 の評価セット批判の中核。
サーベイは WikiMIA の時期的な分布差を指摘するにとどまるが、 原論文の主張ははるかに広い——時期的シフトは特殊例の一つにすぎず、 テキスト・画像を通じた 8 データセットで有意な分布シフトを同定している。
対象モデルを完全に無視して正例と非正例を判別する。手法は素朴である。
| 評価データセット | 指標 | 既存手法の最良値 | 盲目的攻撃 |
|---|---|---|---|
| WikiMIA | TPR@5%FPR | 43.2% | 94.7% |
| BookMIA | AUC ROC | 88.0% | 91.4% |
| Temporal Wiki | AUC ROC | 79.6% | 79.9% |
| Temporal ArXiv | AUC ROC | 74.5% | 75.3% |
| ArXiv (all vs 1 month) | TPR@1%FPR | 5.9% | 10.6% |
| ArXiv (1 month vs 1 month) | TPR@1%FPR | 2.5% | 2.7% |
| LAION-MI | TPR@1%FPR | 2.5% | 8.9% |
| Gutenberg | TPR@1%FPR | 18.8% | 55.1% |
8 つすべてで盲目的攻撃が上回る。
サーベイの記述は WikiMIA の年号に集約されているが、原論文は テキストと画像にまたがる 8 データセットで、時期以外の分布シフトも同定している。 LAION-MI（画像・テキスト）や Gutenberg（書籍）も含む。 つまりこれは 1 つのデータセットの設計ミスではなく、 評価セットを事後的に構成するという方法そのものの欠陥である。
such simple methods work even for MI evaluation datasets that were explicitly designed to remove distribution shifts between members and non-members. Our work shows that removing biases in a post-hoc fashion is highly brittle.
分布シフトを取り除くように設計されたデータセットでも、素朴な分類器が通る。 「バイアスを除いた」という主張自体が検証困難である。
論文は具体的に [Panaitescu-Liess 25]（電子透かしがメンバーシップ推論に与える影響）を 名指しし、明確な分布シフトのあるデータセットで評価しているため信頼できないと述べる。 → この Wiki への影響は 出力の制御と電子透かしと 評価の枠組みを参照。
明確な train-test 分割を持つモデルで評価すべきである。 具体例として Pile [Gao 20]、DataComp、DataComp-LM のランダム部分集合を挙げている。 つまり事後的に非正例を作るのではなく、最初から分割を設計する。 → 対立の台帳 3 番（「時期で分ける」設計）に対する回答でもある。