研究对“私密照片AI”有什么说法

私密 AI 照片编辑并不是一个单独的研究问题。它更像是把一堆问题塞进了一件“风衣”里。

首先是训练问题：模型是否从私密图片中学习？之后是否还能恢复或推断出其中任意一张图片？其次是推断问题：用户上传的照片在编辑过程中会发生什么？再者是存储问题：输出返回之后还会留下什么？最后是治理问题：谁能够访问输入、输出、提示词（prompt）以及日志？

近期的扩散研究让“训练侧的问题不必担心”变得更难被轻描淡写。关于训练数据提取与成员推断的论文表明，在某些情境下，图像生成模型可能会暴露训练数据中的信息。关键不在于“每个模型都会泄露每一张训练图片”。关键在于，“模型会泛化，因此记忆化不是问题”这种说法太偷懒了。

成员推断尤其相关，因为它提出的是一个不同于提取的问题。它不再是“我能否恢复出那张精确的图片？”，而是“我能否推断这张图片是否出现在训练集里？”。诸如 Are Diffusion Models Vulnerable to Membership Inference Attacks? 以及后续的文本到图像成员推断研究，都表明这是一项正在发生的隐私问题，而不是某种理论层面的“酒吧把戏”。

照片编辑又增加了一层复杂性。许多 AI 编辑会把上传的图片作为条件输入：例如修补（inpainting）、扩展（outpainting）、更换背景、面部精修、风格迁移，或图像修复。即便基础模型是干净的，服务在推断时仍然要处理敏感输入。隐私问题就变成了可操作的问题：照片会去哪里、会记录什么、会保留多久？

最诚实的产品回答是把模型策略与基础设施策略结合起来。模型不会在客户的编辑内容上进行训练。服务不会保留提示词历史。源图片在编辑完成后会被删除。除非用户保存，否则输出不会被托管。支持工具在可能的情况下会避免接触原始内容。滥用审查的例外范围很窄，并且有明确说明。

这也是为什么私密照片编辑不能只靠选择一个“有名的模型”来解决。模型确实重要，但围绕它的服务决定了一次普通编辑最终会变成：被保留的文件、提示词日志、画廊条目，还是一个对支持团队可见的产物。

研究应该让团队更精准，而不是更戏剧化。不要说“AI 不安全”。要说清楚你正在保护哪个环节：训练、推断、存储、访问、删除，还是共享。然后为该环节建立相应的控制措施。

延伸阅读：Extracting Training Data from Diffusion Models、Are Diffusion Models Vulnerable to Membership Inference Attacks?，以及 The developer’s guide to private image generation。