AI 模型會記住私密影像嗎？

是的，AI 模型可以記住私密影像。不是，這並不代表你把每一張影像上傳到 AI 服務就會自動被永久吸收到模型中。這兩句話都很重要。

最有力的公開證據來自對「已訓練」的影像生成模型的研究，而不是一般的一次性推論請求。在 Extracting Training Data from Diffusion Models 中，Carlini 與合作者展示了擴散模型能夠記住個別訓練樣本，並且有時在生成時吐出可辨識的拷貝。他們抽取出的樣本包含人像照片與標誌。

這項發現很重要，因為它打破了一個令人安心的迷思：訓練資料並不總是會化為無害的統計雜訊。有時模型會保留足夠特定影像的內容，使其在隱私與著作權問題上變得非常具體、非常迅速。

風險取決於條件。重複的樣本、過度擬合、資料集大小、模型容量、訓練流程、提示（prompt）與過濾都會影響結果。用大量公開資料訓練出來的龐大模型，和一個小模型在二十張員工頭像上微調，直到它能夠在不同光線效果下幾乎背誦出來，並不是同一回事。

對產品團隊而言，關鍵差別在於推論（inference）與訓練（training）。如果使用者上傳影像以產生輸出，而提供者並不把該上傳用於訓練，那麼「記住」的風險就不會和影像進入訓練或微調資料集時相同。這也是為什麼「我們不會用你的上傳來訓練」是有意義的。只是它並不是完整的隱私故事。

其他風險仍然存在：濫用監控的記錄、應用程式狀態、暫存檔案、客服存取、CDN 儲存、提示歷史，以及保存在相簿/畫廊中的輸出。服務可以在事實上避免把上傳用於訓練，但仍可能在其他地方保留過多使用者內容。隱私不是一個穿著白袍的單一核取方塊。

實務上的教訓很簡單：除非你擁有權利、取得同意，並且具備可控的機制，否則不要把私密影像放進訓練資料集。對於推論型產品，請確保上傳不會被用於訓練，並且在儲存、記錄與客服等流程面向也要盡可能減少保存。

研究並沒有說每個模型都是「攝影記憶機器」。它只是說：記憶化（memorization）足夠真實，讓私密影像不應被當作可隨手丟棄的訓練燃料。

延伸閱讀：Extracting Training Data from Diffusion Models、What developers misunderstand about model training and uploaded images、以及 Why “We Don’t Train on Your Data” is not enough。