Investigadores de la Hebrew University of Jerusalem publicaron un método de inferencia de pertenencia que separa si un modelo de difusión memorizó una imagen de entrenamiento de si esa imagen simplemente era fácil de reconstruir desde un principio — el factor de confusión que ha hecho poco confiables los ataques de auditoría previos. El paper, de Michael Joseph y Yedid Hoshen, reporta que en el punto operativo óptimo de log-SNR, las distribuciones de pérdida de miembros y no miembros aún se superponen en 45%, razón por la cual un umbral de pérdida simple marca como miembros a imágenes no vistas pero fáciles, y pasa por alto imágenes de entrenamiento difíciles.

Los dos métodos del paper, Reference-Model Calibration (RMC) y Temporal Self-Calibration (TSC), calibran comparando un valor de pérdida contra una referencia en lugar de leerlo de forma aislada. RMC aplica cuando hay disponible un checkpoint preentrenado: toma la pérdida de un modelo afinado sobre una imagen candidata y le resta la pérdida que el checkpoint preentrenado anterior produjo sobre la misma imagen. Dado que la dificultad de la imagen se traslada casi sin cambios entre ambos checkpoints — el paper reporta una correlación de Pearson de r=0.989 entre las log-pérdidas preentrenada y afinada en Stable Diffusion afinado sobre MS-COCO — la resta cancela la dificultad y deja el residuo causado específicamente por la memorización durante el fine-tuning.

TSC resuelve el caso en que no existe un checkpoint anterior, lo cual el paper señala como la situación más común en el mundo real y la única opción para auditar datos de preentrenamiento. Usa la propia trayectoria de denoising de un solo modelo como referencia, comparando la pérdida en un paso temporal de difusión elegido contra el promedio de la pérdida en dos pasos temporales vecinos simétricos — un stencil de tres puntos que los autores describen como una medición de la desviación respecto a la "cuerda" que conecta los dos puntos de referencia. Como la dificultad de la imagen evoluciona de forma suave entre niveles de ruido cercanos mientras que la memorización se localiza en una ventana estrecha de la trayectoria, el stencil cancela el término de dificultad compartido y aísla la señal de pertenencia.

En cuanto a los números operativos: en CIFAR-10, TSC alcanza 62.3% TPR@1%FPR con 15 consultas al modelo por candidato, más del doble del baseline más fuerte probado, PIAN, con 30.90% TPR@1%FPR y 2 consultas. En Tiny ImageNet y STL-10-U, el TPR@1%FPR de TSC es menor, 12.27% y 9.57% respectivamente, lo que muestra que las ganancias del método son mayores en distribuciones de imágenes más simples. Para Stable Diffusion v1.4 afinado bajo un modelo de amenaza sin captions — sin prompts de texto entregados al atacante —, TSC supera a todos los baselines en MS-COCO (29.16% TPR@1%FPR) y Flickr30k (30.28%), pero pierde frente a PIA en el fine-tune de Pokémon, lo cual los autores atribuyen a la escala limitada y baja diversidad visual de ese dataset. RMC, cuando hay un checkpoint de referencia disponible, necesita solo 2 consultas por candidato para llegar a 90.63% TPR@1%FPR en Pokémon, 96.60% en MS-COCO y 96.86% en Flickr30k, frente a 64.75%, 44.04% y 47.14% de CLiD con 15 consultas y captions reales.

El paper también prueba la robustez en nueve modelos CIFAR-100 DDPM++ entrenados por separado, que abarcan todas las combinaciones de cabezas de predicción x-, v- y epsilon y objetivos de pérdida. TSC gana en cada configuración, superando al baseline más fuerte por 23.84 puntos porcentuales en TPR@1%FPR en promedio; específicamente bajo x-loss, los baselines existentes se mantienen por debajo de 7% TPR mientras que TSC alcanza 29–31%. Los autores muestran que la ubicación de la fuga máxima de pertenencia a lo largo de la trayectoria de denoising se desplaza según el objetivo de entrenamiento — hacia pasos temporales con más ruido para x-loss, pasos más limpios para epsilon-loss — razón por la cual los métodos ajustados a un paso temporal fijo se degradan en parametrizaciones alternativas mientras que la autocalibración de TSC no lo hace.

El método tiene límites reales que el paper declara directamente. Tanto RMC como TSC siguen requiriendo acceso a las salidas de denoising del modelo en niveles de ruido elegidos, lo que descarta cualquier API que solo exponga las imágenes generadas finales. RMC en particular necesita el checkpoint preentrenado real a partir del cual se afinó el modelo auditado — si se desconoce el linaje de entrenamiento o ese checkpoint nunca se publicó, el método no aplica. El paper también señala que RMC mide el cambio en la pérdida entre dos checkpoints y no determina por separado si una imagen ya estaba presente en el propio corpus de preentrenamiento del modelo de referencia, por lo que un auditor que use RMC solo está validando lo que cambió durante la corrida específica de fine-tuning, no todo el historial de entrenamiento. El código está disponible en el repositorio de GitHub de los autores (MichaelJoseph777/TSC).

Para los equipos que construyen herramientas de auditoría en torno a modelos de difusión, la acción concreta es dejar de tratar la pérdida de reconstrucción cruda como un puntaje de pertenencia y, en su lugar, registrar las pérdidas en múltiples pasos temporales (o contra un checkpoint anterior guardado) por defecto, ya que el paso de calibración que convierte un detector poco confiable en uno casi perfecto es solo una resta adicional, no un nuevo modelo.