Identifying Memorization of Diffusion Models through $p$-Laplace Analysis: Estimators, Bounds and Applications

Dit onderzoek introduceert een methode gebaseerd op $p$-Laplace-operatoren, afgeleid van de scorefuncties van diffusiemodellen, om memorisatie van trainingsdata effectief te identificeren, zelfs wanneer de conditioneringstekst ontbreekt.

De kern

De Kern: Hoe herken je een "fotokopie" in een kunstenaar?

Stel je voor dat je een zeer getalenteerde kunstenaar hebt die miljoenen schilderijen heeft gezien. Deze kunstenaar (een Diffusiemodel) kan nu prachtige nieuwe schilderijen maken die lijken op wat hij heeft gezien. Maar soms is deze kunstenaar een beetje te goed in het onthouden. In plaats van iets nieuws te bedenken, pint hij exact dezelfde foto's uit zijn geheugen en maakt ze opnieuw. Dit noemen we memorisatie.

Dit is een probleem, want als de kunstenaar geheime foto's van mensen (zoals gezichten) onthoudt en opnieuw maakt, is dat een schending van privacy. De vraag is: Hoe ontdek je welke schilderijen "geheugenflitsen" zijn en welke echt nieuw zijn?

De auteurs van dit artikel hebben een slimme wiskundige truc bedacht om dit te doen, gebaseerd op een concept dat de p-Laplace operator heet.

---

1. Het Probleem: De "Bult" in het landschap

Stel je het geheugen van de kunstenaar voor als een berglandschap.

• Normale plekken: Hier zijn veel verschillende paden die naar een bergtop leiden. Het landschap is zacht glooiend. Dit staat voor normale, nieuwe ideeën.
• Memoriseerde plekken: Hier is er één specifieke steen die zo vaak is geraakt, dat er een scherpe, hoge bult of piek is ontstaan. Omdat de kunstenaar die ene foto zo vaak heeft gezien, is de kans (de "waarschijnlijkheid") dat hij die exacte foto maakt, enorm groot op die ene plek.

Het doel is om deze scherpe bulten te vinden in het landschap van de kunstenaar.

2. De Oplossing: De "p-Laplace" als een Sfeer van Voelers

Hoe meet je of er een scherpe bult is? De auteurs gebruiken een wiskundig hulpmiddel dat ze de p-Laplace noemen.

De Metafoor van de Voelers:
Stel je voor dat je op een punt in het landschap staat en je hebt een cirkel van voelers om je heen (een bol).

• Je kijkt naar de helling van het terrein op al die punten in de cirkel.
• Als je op een normale helling staat, wijzen de voelers in verschillende richtingen en heffen ze elkaar op.
• Maar als je precies op die scherpe bult (het memoriseerde punt) staat, wijzen alle voelers naar binnen, alsof ze allemaal naar de top van de berg wijzen.

De p-Laplace is een manier om te meten hoeveel deze voelers "naar binnen" wijzen.

• Normaal punt: De voelers wijzen willekeurig. De meting is neutraal.
• Memoriseerde punt: Alle voelers wijzen sterk naar binnen. De meting geeft een heel lage (negatieve) waarde.

3. De Uitdaging: We zien het landschap niet

Er is een probleem: We kunnen het landschap van de kunstenaar niet direct zien. We weten niet precies hoe de "berg" eruitziet. We hebben alleen de kunstenaar zelf, die ons kan vertellen welke kant de helling op gaat (de score-functie).

De auteurs zeggen: "Laten we de kunstenaar vragen om de helling te meten, en dan zelf de p-Laplace berekenen op basis van die metingen."

Ze hebben twee manieren bedacht om dit te doen:

1. Volume-methode: Je kijkt naar alles in de cirkel. (Dit is rommelig en onnauwkeurig).
2. Rand-methode: Je kijkt alleen naar de voelers op de rand van de cirkel. (Dit werkt veel beter).

4. Het Geheim: Waarom p=1 de winnaar is

De auteurs hebben gekeken naar verschillende soorten "voelers" (waarde p).

• p=2: Kijkt naar de kracht van de helling. Als de kunstenaar de kracht van de helling een beetje verkeerd schat (wat vaak gebeurt), werkt dit niet goed.
• p=1 (De winnaar): Kijkt alleen naar de richting van de helling, niet naar de kracht.

De Analogie:
Stel je voor dat je in een storm staat.

• Met p=2 probeer je te meten hoe hard de wind waait. Als je meetinstrumentje een beetje onnauwkeurig is, krijg je een verkeerd getal.
• Met p=1 vraag je alleen: "Waar waait het naartoe?" (Naar links, naar rechts, naar boven?). Zelfs als de windkracht niet perfect wordt gemeten, weet je zeker dat de wind naar de top van de bult waait.

De auteurs ontdekten dat p=1 (de 1-Laplace) het meest betrouwbaar is om die scherpe memoriseerde pieken te vinden, zelfs als de kunstenaar niet perfect is in het meten van de helling.

5. De Resultaten: Van theorie tot praktijk

De auteurs hebben dit getest in drie stappen:

1. Simulatie: Ze maakten een klein, kunstmatig landschap en lieten zien dat hun methode de "bulten" perfect vond.
2. Foutmeting: Ze bewezen wiskundig dat hun methode nooit te ver naast de waarheid zit (ze hebben een "veiligheidsmarge" berekend).
3. Echte Kunst: Ze testten het op een beroemd AI-systeem (Stable Diffusion) met 500 prompts die bekend waren om het kopiëren van bestaande afbeeldingen.

Het resultaat:
Wanneer je een AI een opdracht geeft om een plaatje te maken, en je gebruikt hun p=1-methode, kun je met een zeer hoge zekerheid zeggen: "Dit plaatje is waarschijnlijk een kopie van iets dat de AI in zijn geheugen heeft bewaard."

Dit werkt zelfs als je de originele tekstopdracht (prompt) niet meer hebt. Je kunt het gegenereerde plaatje gewoon "naar binnen" laten voelen en zien of het een bult is.

Samenvatting in één zin

De auteurs hebben een slimme wiskundige "voeler" (de 1-Laplace) ontwikkeld die de richting van een AI's geheugen meet, waardoor ze precies kunnen zien waar de AI te veel heeft gekeken en een bestaand plaatje heeft gekopieerd in plaats van iets nieuws te bedenken.

Technische samenvatting

Probleemstelling

Generatieve modellen, en specifiek diffusion modellen, lijden soms onder het fenomeen van memorisatie. Dit treedt op wanneer het model output genereert die bijna identiek is aan samples uit de trainingsdata, in plaats van nieuwe, originele content te creëren. Dit vormt een groot privacyrisico (onbedoelde lekkage van gevoelige data) en copyrightproblemen.

Het fundamentele probleem is dat de onderliggende kansverdeling van de data onbekend is. Traditionele methoden om memorisatie te detecteren, kijken vaak naar "bulten" (bumps) of delta-regio's in de geleerde verdeling, maar deze zijn moeilijk kwantificeerbaar zonder directe toegang tot de ware waarschijnlijkheidsdichtheid. Bestaande methoden zijn vaak afhankelijk van de conditionele prompt (de tekst die de afbeelding genereert), wat beperkend is in post-generatie scenario's waar de prompt niet beschikbaar is.

Methodologie

De auteurs stellen een nieuwe aanpak voor die gebruikmaakt van de p-Laplace operator om memorisatie te identificeren op basis van de geschatte scorefunctie van het diffusion model.

1. Theoretische Basis:

   • Het paper hypothesiseert dat gememoriseerde samples corresponderen met lokale maxima in de geleerde log-kansverdeling ($\log p(x)$).
   • Rond lokale maxima wijzen gradiëntvectoren naar binnen, wat resulteert in een negatieve flux. De p-Laplace operator ($\Delta_p u$), gedefinieerd als $\nabla \cdot (|\nabla u|^{p-2} \nabla u)$, kwantificeert deze flux.
   • De verwachting is dat gememoriseerde punten een significant lagere (meer negatieve) waarde van de p-Laplace vertonen.

2. Schattingsprocedure (Estimators):

   • Omdat de ware scorefunctie $s(x) = \nabla \log p(x)$ onbekend is, gebruiken de auteurs de geschatte score $\hat{s}(x)$ van een getraind diffusion model.
   • Ze leiden twee numerieke benaderingen af voor de gemiddelde p-Laplace over een omgeving (een bol $B_R$):
     • Volumeberekening: Een Monte Carlo schatting over punten binnen de bol.
     • Randberekening (Boundary Integral): Een schatting gebaseerd op de flux over het oppervlak van de bol, gebruikmakend van de divergentiestelling.
   • De analyse vindt plaats in het kleine-$\alpha$ regime (de laatste stap van het denoising proces), waar de ruis minimaal is maar de afgeleiden nog wel goed gedefinieerd zijn.

3. Foutgrenzen (Error Bounds):

   • De auteurs leiden theoretische bovengrenzen af voor de schattingsfout tussen de ware p-Laplace en de geschatte versie, afhankelijk van de nauwkeurigheid van de score-schatting en de parameter $p$.

Belangrijkste Bijdragen

• Nieuwe Kader voor Memorisatie: Het is het eerste werk dat de p-Laplace operator gebruikt om memorisatie in diffusion modellen te analyseren en te detecteren.
• Numerieke Schatters: Het introduceren van praktische schatters voor de p-Laplace operator die werken met de leerde scorefuncties van diffusion modellen.
• Theoretische Garantie: Het bewijzen van strikte foutgrenzen voor deze schatters, wat de betrouwbaarheid van de methode onderbouwt.
• Onafhankelijkheid van Prompts: De methode werkt effectief in een "promptless" regime (na de generatie), waar de conditionele tekst niet beschikbaar is, wat een groot voordeel is ten opzichte van eerdere methoden.

Resultaten

De auteurs evalueren hun methode in drie fasen:

1. Synthetische GMM (Gaussian Mixture Model) Experimenten:

   • In een gecontroleerde omgeving met bekende analytische oplossingen wordt aangetoond dat de 1-Laplace operator ($p=1$) met de randformulering (boundary integral) de meest betrouwbare en robuuste schatter is.
   • De 1-Laplace is minder gevoelig voor fouten in de grootte (magnitude) van de geschatte score, omdat deze alleen afhankelijk is van de genormaliseerde richting.
   • De methode slaagt erin om kunstmatige "spikes" (gememoriseerde punten) in de verdeling te detecteren door extreme waarden in de p-Laplace te identificeren.

2. Validatie van Foutgrenzen:

   • Empirische tests bevestigen dat de afgeleide theoretische foutgrenzen de werkelijke schattingsfouten correct boven de grens houden, zelfs in complexe scenario's.

3. Grootschalige Toepassing (Stable Diffusion):

   • De methode wordt getest op Stable Diffusion v1.4 met 500 bekende gememoriseerde prompts (en ~3000 gegenereerde afbeeldingen).
   • Vergelijking: De methode wordt vergeleken met een recente concurrent ([69]) die de magnitude van de score-verschil gebruikt.
   • Prestaties:
     • Met prompt-toegang: Beide methoden presteren vergelijkbaar goed (AUC ~0.96).
     • Zonder prompt-toegang (Post-generation): De p-Laplace methode overtreft de concurrentie aanzienlijk met een AUC van 0.913 tegenover 0.502 voor de concurrentie. Dit toont aan dat de p-Laplace methode veel robuuster is wanneer de conditionele tekst ontbreekt.

Significantie

Dit werk opent een nieuw theoretisch onderzoeksgebied voor het begrijpen van de geometrie van de impliciet geleerde kansverdeling in diffusion modellen. Door de p-Laplace operator te koppelen aan memorisatie, biedt het:

• Een privacy-werkend instrument om te detecteren of een AI-model gevoelige trainingsdata "lekt".
• Een onafhankelijke detectiemethode die niet afhankelijk is van de input-prompt, wat cruciaal is voor het auditen van gegenereerde content in de echte wereld.
• Een wiskundig onderbouwde manier om de "ruwheid" of "bulten" in de data-verdeling te kwantificeren, wat verdergaat dan de huidige state-of-the-art in generatieve AI-analyse.

Kortom, het paper levert een wiskundig solide en praktisch toepasbare methode om het gevaar van memorisatie in moderne beeldgeneratoren te detecteren en te mitigeren.