研究指出：如何看待私密的照片 AI 編修

私密的照片 AI 編修並不是單一的研究問題。它更像是把一堆問題塞進一件外套裡。

首先是訓練問題：模型是否從私密影像中學習？而且之後是否能找回或推斷出其中任何影像？接著是推論問題：使用者上傳的照片在編修過程中會發生什麼事？還有儲存問題：輸出回傳之後，還會留下什麼？最後是治理問題：誰能存取輸入、輸出、提示（prompt）與紀錄（logs）？

近期的擴散式研究讓「訓練端不必擔心」更難一筆帶過。關於訓練資料擷取與成員推論的論文顯示，在某些情境下，影像生成模型可能會暴露訓練資料中的資訊。重點並不是「每個模型都會洩漏每一張訓練影像」。重點是，「模型會泛化，因此不必擔心記憶化」這句話太偷懶。

成員推論特別相關，因為它問的是另一個問題，而不是單純的擷取。它不是在問「我能不能找回完全相同的影像？」而是問「我能不能推斷這張影像是否出現在訓練集裡？」像是 Are Diffusion Models Vulnerable to Membership Inference Attacks? 以及後續的文字到影像成員推論研究，都把這視為一個正在進行的隱私問題，而不是理論上的小把戲。

照片編修又增加了一層。許多 AI 編修會把上傳影像當作條件輸入（conditioning input）：遮罩修補（inpainting）、延伸補全（outpainting）、背景替換、臉部修飾、風格轉換，或修復（restoration）。即使基礎模型是乾淨的，服務在推論時仍會處理敏感輸入。隱私問題就變成可操作的：照片會被送到哪裡？會記錄什麼？又會保存多久？

最誠實的產品回答是同時結合模型政策與基礎設施政策。模型不會用客戶的編修內容進行訓練。服務不會保留提示歷史（prompt history）。編修後會刪除來源影像。除非使用者自行儲存，否則輸出不會被託管。支援工具會在可能的情況下避免使用原始內容。濫用審查的例外範圍很窄，並且有明確描述。

因此，私密照片編修不能只靠選擇一個有名的模型來解決。模型很重要，但圍繞它的服務才決定：一個普通的編修最後會變成保留的檔案、提示紀錄、畫廊項目，還是支援端可見的產物。

研究應該讓團隊更精準，而不是更戲劇化。不要說「AI 不安全」。要說清楚你正在保護哪個階段：訓練、推論、儲存、存取、刪除，或分享。然後針對該階段建立控制措施。

延伸閱讀：Extracting Training Data from Diffusion Models、Are Diffusion Models Vulnerable to Membership Inference Attacks?，以及 The developer’s guide to private image generation。