🤖 machine learning

Secrets Everywhere: Auditing Memorization in Mobility Prediction Models

本文介绍了对人类移动性预测模型中记忆现象的首次系统性审计，引入了一个多粒度框架来量化这些模型如何暴露敏感的用户轨迹，并揭示了与用户规律性相关的普遍隐私风险。

原作者： Anne Josiane Kouam, Hristo Boyadzhiev, Konrad Rieck

发布于 2026-08-04

📖 1 分钟阅读☕ 轻松阅读

原作者： Anne Josiane Kouam, Hristo Boyadzhiev, Konrad Rieck

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你的日常生活就像一本巨大的、隐形的绘本。你每一次步行去学校、去喝咖啡或回家，都在编写一本只有你自己读过的书的新章节。长期以来，科学家们一直试图构建“超级读者”——即能够根据你过去的章节来猜测你下一步会做什么的计算机程序。这些程序被称为移动预测模型（mobility prediction models）。它们是为你提供 GPS 路线建议或在应用中推荐你办公室附近餐厅背后的“大脑”。但这里有一个转折：就像一个只会死记硬背课本单词而不是理解故事的学生一样，这些计算机程序有时会变得“记忆力过强”。它们不仅学习了人们移动的一般规律，还无意中记住了你精确的路径、你的秘密据点以及你的日常作息。这被称为记忆化（memorization）。这是一个大问题，因为如果一台计算机过于精准地记住了你的特定故事，一个狡猾的黑客就可以询问计算机：“在你离开公司后会发生什么？”然后计算机可能会为了表现得“乐于助人”而直接吐出你的精确家庭住址。

这篇题为《处处是秘密》（Secrets Everywhere）的论文就像一部侦探故事，作者们伪装成调查员，对这些“超级读者”进行审计。他们想知道：这些模型真的记住了我们的秘密吗？如果是的话，它们是在守护谁的秘密？研究人员发现，这些模型确实在囤积我们的私人行动轨迹，但方式并非我们所想的那样。事实证明，如果你的生活越枯燥、越有规律，计算机就越有可能记住它。如果你是一个在城市里到处游荡的“探险者（scouter）”，计算机就会把你遗忘；但如果你是一个每天定时去同一家健身房的“常规者（routiner）”，计算机就会以惊人的精确度记住你的每一步。作者还发现，旧的检查这些秘密的方法并不适用于位置数据，因此他们发明了一套新的工具，来精确衡量计算机到底“偷走”了多少你的生活。

侦探的工具箱：为什么旧规则失效了

要理解这篇论文的重要发现，我们首先需要了解科学家通常如何检查记忆化现象。在语言模型（如那些写文章或与你聊天的模型）的世界里，研究人员使用一种叫做“暴露（exposure）”的小技巧。他们会在训练数据中偷偷塞入一个虚假的、随机的句子——比如一个编造的电话号码。如果计算机随后在被询问时输出了那个完全相同的假号码，就说明计算机记住了它。这之所以有效，是因为假电话号码是毫无意义的；除非计算机记住了它，否则它不应该知道这个号码。

但作者意识到，这个技巧在人类移动数据面前表现得极其糟糕。为什么？因为在现实世界中，不存在“虚假”的移动。每一个人的路径都是真实的，每一条路径都是敏感的。你不能仅仅发明一个随机的“秘密”路径来测试模型，因为随机路径在计算机看来可能毫无意义，从而很容易区分开来。真正的危险在于，计算机记住了看起来完全正常的真实路径。作者认为，对于移动模型来说，“秘密”正是模型本应学习并擅长预测的东西。这就像一位老师本该学习语法规则，却不小心背下了你的某篇日记。

新框架：衡量“记忆泄漏”

为了解决这个问题，作者为这些模型构建了一个新的审计框架。他们不再寻找虚假的秘密，而是建立了一个系统，观察模型是否更偏好你的特定路径而非其他看起来相似的路径。他们将这种泄漏分为三个层级：

位置记忆化（Location Memorization）： 模型是否记住了你家的精确坐标？
锚点对记忆化（Anchor-Pair Memorization）： 它是否记住了你的家与工作地点之间的特定连接？
路段记忆化（Segment Memorization）： 它是否记住了你从公交站到咖啡馆的那段微小且特定的路线？

为了测试这一点，他们不仅仅是靠猜。他们构建了“参考集”。想象一下你就是那个模型，你看到了自己日常路线的照片。然后，你看到了另外 100 张看起来几乎一模一样的路线照片（距离相同、时间段也相近），但这些照片属于不同的人。如果作为模型的你，会对其中某一张照片说：“噢，我完美地认识这一个！”并且给出的置信度得分远高于其他 99 张，那么你就记住了它。

研究结果：枯燥的人最脆弱

研究人员利用包含上海、深圳和日本数百万移动记录的三个大规模数据集测试了他们的新工具。他们训练了多种类型的模型，从简单的模型到复杂的深度学习系统。以下是他们的发现：

1. 记忆化无处不在：
模型确实在进行记忆。在某些情况下，高达 85% 的训练路径显示出强烈的记忆化迹象。这不仅仅是少数几个异常值，而是一个普遍存在的问题。即使是那些能够非常精准预测下一个位置的模型（准确率有时超过 90%），仍在秘密地存储着它们所学习到的路径细节。

2. “常规者”悖论：
最令人惊讶的发现是谁被记住了。作者将用户分为三类：

常规者（Routiners）： 生活非常有规律、重复性极高的人（高平稳性，低多样性）。
常客（Regulars）： 有一定规律但也有一些变化的人。
探险者（Scouters）： 到处游荡、路径难以预测的人。

模型非常“喜爱”常规者。事实上，在一个数据集中，99.4% 的轨迹都显示出了正向的记忆化信号，而且这些大多是那些可预测的用户。模型很容易学习到一个每天去同一个地方的人所形成的模式，因此存储了其精确细节。相反，探险者则很难被记忆。他们的路径太混乱了，以至于模型必须进行泛化（学习一般规律）而不是记忆具体细节。

3. “锚点”效应：
模型特别擅长记住“锚点对”——即两个关键地点之间的连接，比如家和公司。如果你知道一个人的住址，模型通常就能预测出他们的工作地点，反之亦然，因为模型已经记住了这对特定的组合。

4. 微小的变化，巨大的差异：
作者还发现，模型的设计本身也会产生影响。例如，他们测试了一个名为 Graph-Flashback 的模型，该模型的“记忆”非常小（仅有 10 个隐藏状态单元）。你可能会认为一个小型的模型会更容易遗忘，但它实际上展现出了巨大的记忆化“尾部”，其暴露得分甚至达到了 469.15。这表明，如果设计不当，即使是简单的模型也可能非常危险。

真正的危险：窃取秘密轻而易举

最后，论文提出了一个可怕的问题：“如果模型记住了它，黑客真的能偷走它吗？”他们模拟了一个已知某人部分日程（例如早晨的常规活动）的攻击者，并尝试猜测剩余的部分。他们发现了一个明确的联系：模型对某条路径的记忆程度越高（通过其“量级/magnitude”得分衡量），攻击者重建整个行程的过程就越容易。

在一项实验中，他们发现对于那些记忆化得分较高的用户，攻击者只需要很少的尝试就能推测出全天的行程。这就像如果一个窃贼知道你每天早上 8:00 出门并走向同一家面包店，他们就不需要再去猜你接下来要去哪里。模型的“记忆”直接把答案送到了窃贼手中。

总结

这篇论文不仅仅是在说“隐私很重要”。它提供了第一种系统性的方法，来衡量移动应用中究竟损失了多少隐私。作者得出结论：记忆化并非一个漏洞，而是这些模型学习过程中的一个特性，而且它对那些生活最有规律的人影响最大。他们建议，在将这些模型部署到现实世界之前，我们需要运行这些新的“隐私审计”，以查看哪些用户正处于风险之中。如果我们不这样做，我们可能正在将日常生活的秘密拱手交给那些过于渴望记住它们的计算机。

技术摘要：移动性预测模型中的记忆化审计

1. 问题陈述

人类移动性预测模型通过基于历史轨迹预测用户的下一个位置，广泛应用于城市分析和个性化服务领域。尽管这些模型实现了高精度，但在理解其对敏感训练数据的**记忆化（Memorization）**倾向方面存在关键空白。与自然语言模型中记忆化通常涉及罕见“离群值”（如电话号码）不同，移动性数据呈现出独特的挑战：敏感信息是普遍存在的。每一条轨迹都代表了现实世界的移动，而用于泛化的数据（常见的行为模式）往往与必须保持隐私的数据（特定的坐标和路径）相重合。

现有的隐私审计框架（例如 Carlini 等人为语言模型开发的暴露度指标/exposure metric）并不适用于移动性数据，原因有两个：

离群值 vs. 共有值（Outliers vs. Inliers）： 暴露度假设秘密是罕见的离群值。在移动性领域，“秘密”是共有值（常见的、真实的轨迹）。对常见轨迹的高置信度可能反映了对行为的忠实再现，而非对唯一秘密的记忆，但这仍构成隐私泄露。
孤立 vs. 普遍（Isolated vs. Pervasive）： 暴露度假设秘密是孤立的异常值。在移动性领域，敏感性是每条轨迹固有的。单一的全局得分无法捕捉多样化用户行为中分布式的记忆风险。

因此，现有的方法可能会显著低估已部署移动性系统中的隐私风险，使用户的轨迹易受推理和提取攻击。

2. 方法论

作者提出了一个系统性的框架，用于在个体训练轨迹层面量化记忆化，区分模型“应该学习的内容”（通用模式）与“不应记忆的内容”（特定坐标）。该框架分为三个概念步骤：

A. 行为抽象（Behavioral Abstraction）

为了隔离记忆化，作者定义了轨迹抽象，旨在捕捉模型预期进行泛化的结构化模式，同时丢弃用户特定的标识符。他们确定了三个不同的记忆风险层级：

位置记忆（Location Memorization）： 模型学习特定的坐标而非位移动力学。抽象过程移除绝对位置，仅保留运动向量 ( $\Delta l_i = l_i - l_{i-1}$ )。
锚点对记忆（Anchor-Pair Memorization）： 模型学习特定显著位置之间的关联（例如，家与工作单位）。抽象过程仅保留锚点的质心和通勤半径，丢弃具体路径。
片段级记忆（Segment-Level Memorization）： 模型僵化地学习短期子序列（例如，午餐路线）。抽象过程掩盖一个特定片段，将其视为任何合理子轨迹的占位符。

B. 参考集构建（Reference Set Construction）

通过将模型对目标训练轨迹的似然度（Likelihood）与其参考集（即未见的、行为一致的替代方案）进行比较来衡量记忆化。

理想构建： 合成完美匹配抽象特征的轨迹（对于片段级可行，但对于其他层级较难）。
近似构建： 在抽象空间上使用聚类（如 $k$ -means）将具有相似移动模式的用户进行分组。训练轨迹会与其所属簇中的其他轨迹进行比较。为确保统计稳健性，采用“簇增强”策略，利用附近的邻居来扩充较小的簇。

C. 记忆化量化（Memorization Quantification）

基于目标轨迹相对于其参考集 $\mathcal{R}$ 的似然度 $L$ ，推导出三个指标：

暴露度（Exposure）： $\log_2 |\mathcal{R}| - \log_2 \text{rank}(L(T_u))$ 。衡量关于“秘密”的不确定性减少程度。
暴露度偏好（Exposure Preference）： $\text{rank}(L(T_u)) / |\mathcal{R}|$ 。一个在 $[0, 1]$ 之间的归一化值，指示轨迹在似然分布中的位置（越接近 0 表示强记忆化）。
暴露度量级（Exposure Magnitude）： $L(T_u) - \mathbb{E}_{T'_v \sim \mathcal{R}}[L(T'_v)]$ 。衡量模型分配给训练数据的绝对优势似然度。

3. 实验设置

该框架在三个具有不同规模和粒度的公开数据集上进行了评估：

上海电信（Shanghai Telecom）： 约 9,500 名用户，基站数据。
YJMob100K： 约 100,000 名用户，日本精细 GPS 数据。
深圳城市（Shenzhen Urban）： 约 414,000 名用户，基站数据。

研究测试了多种模型，包括统计基准模型（马尔可夫链）和深度学习架构（LSTM, DeepMove, LSTPM, Graph-Flashback）。模型在 2,000 条轨迹上进行训练，其余轨迹用于构建参考集。

4. 关键结果

A. 普遍存在的记忆化

记忆化是广泛存在的，而不仅仅是过拟合的结果。

在深圳城市数据集中，99.4% 的训练轨迹显示出正向的暴露度量级。
在某些设定下，高达 85% 的轨迹表现出强烈的记忆信号。
即使在模型未发生过拟合（损失函数持续下降且未出现平台期）的情况下，记忆化现象依然存在。

B. 用户行为与风险的相关性

记忆化并非均匀分布；它与用户的移动模式强相关：

常规型用户（Routiners）： 具有高稳定性、高重复性和低多样性（低旋转半径）的用户最容易受到记忆化影响。
探索型用户（Scouters）： 具有高空间和时间变异性的用户被记忆化的程度显著降低。
U 型效应： 旋转半径极低或极高的用户，其记忆化程度往往高于中等旋转半径的用户。

C. 模型架构的影响

架构至关重要： 记忆化模式随模型而异。例如，Graph-Flashback（低容量模型）表现出暴露度分布的重尾特征，而 LSTPM 和 DeepMove 则表现出更紧凑的分布。
上下文敏感性： 延长时域输入窗口（例如，将 LSTM-long 从 24 小时扩展到 72 小时）会增加记忆化分布的上尾部。
指标差异： 作者提出的轨迹级指标与 Carlini 等人提出的模型级暴露度得分没有相关性，这证实了标准的语言模型审计无法捕捉移动性特有的风险。

D. 可提取性

高记忆化得分直接转化为更高的提取风险：

基于前缀的提取： 具有较高记忆量级的轨迹，在从部分前缀重建完整路径时，所需的贪婪解码尝试次数更少。
基于锚点的提取： 具有高锚点对记忆度的用户，其工作地点更容易通过家庭位置被推断出来。

5. 重要性与主张

本文声称提供了对移动性预测模型进行记忆化审计的首次系统性审计。其主要贡献在于：

方法论： 提供了一个将可泛化的行为模式与特定敏感数据分离的框架，从而能够在多个粒度（位置、锚点、片段）上量化记忆化。
实证： 证明了记忆化是普遍存在的、具有用户特异性的，并且是由行为规律性而非仅仅由模型容量或过拟合驱动的。
实践： 演示了记忆化可以作为现实世界提取风险的预测指标，表明当前的移动性预测系统可能会在无意中泄露敏感的用户轨迹。

作者总结道，在部署移动性预测模型之前，强制性的隐私审计是必要的。他们认为，由于敏感性在移动性数据中是普遍存在的，传统的“基于离群值”的审计是不充分的，需要新的、基于用户特征的指标来评估和缓解生成式移动性模型中的隐私风险。