The Tracer framework can identify erased concepts from unlearned diffusion models

在不知擦掉了哪些概念、一共几个时，只凭基座权重和编辑后权重，从词表里指出擦除目标。

• 场景：概念遗忘修改预训练扩散模型权重，抑制指定概念并保留其他生成能力。作者称提供者常不披露擦除对象；即便原模型仍能画出某些人，也看不出谁被选去保护。识别结果会暴露未披露目标，使后续攻击对准提供者想抑制的内容。
• 现有缺口：P4D、CCE、Ring-A-Bell、UnlearnDiffAtk 等攻击要求事先指定概念（Figure 1）。作者称若改用成员推断或逐候选比较生成图，会碰到三点：遗忘同时影响目标与非目标，分数或画面分不清直接目标与间接受影响概念；个数未知且没有标注来决定何时停止；词表可达数万词，反复生成或探测代价高。
• 做法：提出 TRACER。不生成、不分类图像，用权重差的谱分析在大词表上搜索；用足迹覆盖序贯找出多个概念；用候选置信度下降估计个数。不需要标注校准、遗忘算法或编辑位置。作者称据其所知，这是首次系统研究遗忘扩散模型中的擦除目标识别。
• 威胁模型：
  • 持有：发布者从公开基座权重 W 出发，用已发表的概念遗忘方法擦除未知集合 S⋆，发布 W′。攻击者只有 W、W′，以及假定包含 S⋆ 的普通词表 C。
  • 知识：不知 |S⋆|，不知遗忘算法，没有已擦或未擦模型的标注，不能建影子模型做验证。
  • 探测：可在文本输入上跑完整计算图，并记录变化权重矩阵收到的输入；变化矩阵由比较 W 与 W′ 得到。文本编码器只靠提示词；生成骨干把提示词与一个固定 latent 在若干噪声水平配对。不跑采样，不解码图像，不看模型输出。
  • 恢复目标：给出 Ŝ ⊆ C，使其与 S⋆ 一致，并给出个数 n 以对应 |S⋆|。作者称该设定面向改权重的概念遗忘，不预设改在哪一层。

论文第 2 节分三块写相关工作，只在点名处和本文对比。

扩散模型中的概念遗忘

• 微调：Gandikota 等（2023）、Kumari 等（2023）、Zhang 等（2024a）等把目标概念的噪声推向锚分布。论文只描述做法。
• 闭式编辑与推理时抑制：Gandikota 等（2024）、Orgad 等（2023）等不重训练、改注意力投影；Schramowski 等（2023）等用引导或激活干预。论文未把它们写成识别基线。
• 更广的擦除：近期工作把擦除扩到 flow-matching transformer（文中点名 SD3、FLUX）和文生视频；另有工作抵抗对抗提示词和后续微调。论文同样只作背景描述。

已遗忘模型上的恢复攻击

• 已知目标的恢复：作者称擦除概念常被抑制而非移除，可在后续良性微调或替代采样下重新出现（Rusanovsky 等，2025；Suriyakumar 等，2024；Lu 等，2026；Yuan 等，2025）。白盒攻击用梯度或内部信号，黑盒攻击只凭查询搜对抗提示词；另有概念算术、图像引导反演、无文本反演，以及微调和擦除前权重的权重空间攻击。
• 作者的对照：第 2.3 节写，这些攻击主要恢复已知擦除概念对应的内容；本文要识别未知目标并估计个数，且不生成图像、不微调、不需要擦除算法。

训练数据上的隐私攻击

• 成员推断：判断给定样本是否属于训练集（Matsumoto 等，2023；Duan 等，2023；Kong 等，2024 等）。
• 提取与记忆：从模型重建或复现单张训练图像（Carlini 等，2023；Somepalli 等，2023a；b）。论文把它们与遗忘攻击分开，未声称 TRACER 做训练数据提取。

基线

• 对照方法：改编的 PIA（Kong 等，2024）按样本级成员误差的变化给概念打分；暴力探测比较遗忘前后生成图里的概念证据。§4.3 的对比在 Stable Diffusion v1.5 上、1,000 个类名词表、物体概念、K∈{1,3,5}。艺术风格实验不是这组对照。

作者把本文从“再生已知擦除概念”改到“识别哪些概念被擦、共几个”。

TRACER 把 W 与 W′ 的权重差收成按表示分组的擦除足迹，再找一组候选，使其张成的子空间覆盖足迹能量，并用无标注的置信度下降决定输出个数。

变化矩阵与足迹

• 每个矩阵的印记是编辑后权重减基座权重。相对 Frobenius 变化超过 τ=10^{-8} 才保留。作者称该阈值比实验里观察到的最小相对印记低四个数量级，用来排除数值噪声。不预设闭式编辑只改交叉注意力、微调会动到前馈或视频里的时间注意力。
• 分组用探针词，不用层名。对每个探针，若该矩阵输入与对应文本编码的余弦相似度大于与任何其他探针编码的相似度，则为 text-aware，共享一组；否则为 text-agnostic，各自成组。只在组内聚合。
• 组内输出宽度不同，故用 Gram 矩阵去掉输出维。聚合前做谱整形，并按编辑幅度的逆加权：

G_g=∑_{ℓ∈ g}|Δ W_ℓ|_F^−2β[[M_ℓ]]_ρ 谱整形保留主方向，把特征值按最大值归一后取 ρ 次方，并丢掉相对强度低于 ε0 的方向。ε0=10^{-3}。

候选编码

• 词表 C 中每个词是候选。把它填入一组中性模板，前向得到该组收到的表示，再对模板平均。text-aware 组取偏移 o 指定的 token 位置；text-agnostic 组用该位置的内部激活。生成骨干再对固定噪声水平平均。附录 Table 9 列出物体与艺术风格各 5 个模板，此处不抄写。
• 词表能量集中在少数方向，沿这些方向的候选可能对多种足迹都得分高。作者用词表上的正则化二阶矩做白化，γ 从不变到完全白化，再做单位化。正则项 εw=10^{-3} E‖xc,g‖^2/dg。o 与 γ 在选词之前由自校准选定。

覆盖打分与序贯选择

• 足迹的特征向量在近重特征值里可以旋转，因此匹配的是候选张成的子空间，而不是把单个谱方向对上某个词。覆盖定义为

ϕ_g(S)=tr(P_S,g G_g P_S,g)/tr(G_g) 即该子空间捕获的足迹能量比例。已选集合之外的增益，用来衡量新候选还能解释多少。

• 各组增益先标准化，再按初始场上领先候选与背景的分离程度加权。分离用置信度：领先分与中位数之差，除以上尾分位与中位数之差。κ=0.25，比较的是第 75 百分位。常数场的置信度为 0。
• 从空集开始，每步在尚未排除的词里选全局增益最高者。选中 c 后，把 token 集合是 c 的子集或超集的词表项排除出后续选择，但不把这些被抑制的词加入已选张成。搜索使用固定视界 J，不把 J 当作输出个数。

自校准与个数估计

• 无标注验证集。参数 θ=(β, γ, ρ, o) 在附录 Table 7 的笛卡尔积上选取，共 24 档：β∈{0,1}，γ∈{0,1}，ρ∈{0,0.5,1}，o∈{2,1}。选初始合并场置信度最高的一档，组权重随后固定；增益随张成扩大而更新。
• 每步记录尚未选中、也未被词法抑制的候选上的置信度。下降量是相邻置信度的对数差。若前 B 次转移里至少有 B−1 次上升，且最大下降为正，则取第一个达到最大下降的 α 倍的位置；否则取最大下降的位置，并列时取最早。附录取 J=96、B=8、α=0.30。输出是序列的前 n 个。稳定项为 εc=10^{-12}、εz=10^{-9}、εg=10^{-6}、εa=10^{-30}。

多词扩展

• 主流程把 C 中的整条条目当作一个候选，多词概念若已在词表中则不用改流程。附录 A.2 另给一个从单词往外扩的搜索：束宽 b=8，长度惩罚 λ=0.05，最多 3 个词；用 text-aware 足迹给短语打分。作者写明跨长度比较是启发式的，停机规则选的是短语词数，与擦除个数估计分开。

实验设置

• 骨干：文生图为 Stable Diffusion v1.5、Stable Diffusion 3、FLUX.1；文生视频为 CogVideoX-5B、Wan2.1-T2V-1.3B。使用官方实现和已发布 checkpoint，不做修改。GPU 为 NVIDIA RTX A6000。
• 遗忘方法：Table 1 列出 ESD、UCE、MACE、FMN、ConceptPrune、Sculpting、SPEED、ScaPre、FIA、AdvUnlearn、STEREO、Meta-Unlearning、EraseFlow、EraseAnything。视频为 VideoEraser 与 Refusal（正文亦写作 REFUSAL）。
• 数据：物体概念用 Imagenette-20（Imagenette 十类，再加 zebra、giant panda、pizza、banana、airliner、school bus、violin、laptop、submarine、umbrella）。Table 1 标题写 Imagenette-20；§4.2 写概念集从 Imagenette-50 采样，附录只定义了 Imagenette-20。艺术风格覆盖 ESD 与 UCE 评过的艺术家。标准搜索词表为 ImageNet-1k 的 1,000 个类名；扩展词表 73,406，运行时间比较用其中 70,000 条。
• 指标：精确恢复要求恢复集合与真实擦除集合完全一致，多一个或少一个都算失败，同时考查身份和推断个数。Avg. 只平均该行已评的 K，不含 “–”。Table 3 另给真实 K，用 Recall@K 与 Recall@10，部分命中也计分。个数估计准确率见 Table 2。
• 判定：精确恢复对照的是构造 checkpoint 时的真实擦除集合，论文未使用 LLM 裁判。暴力基线的图像证据函数 a(I,c) 未写明用哪个模型。改编 MIA 使用 PIA 的样本级误差。
• 规模：Table 3 与消融写明每设置 50 个 checkpoint。Table 1、Table 4、Table 10 未写 checkpoint 数。论文未报告重复次数。§4.1 写显式内容用 I2P、生成质量用 MS COCO，正文未见这两项的定量结果。

主结果

下表是精确集合恢复（%）。物体结果来自 Table 1，视频来自 Table 4。表中 “–” 这里写作未报告。只列 8 行，含 Avg. 最低的一行。

Swipe horizontally to read the table

骨干与方法	K=1	K=3	K=5	其他已评	Avg.
SD v1.5 / UCE	100	100	100	K=10、20均为100	100.0
SD v1.5 / ESD	100	100	94	未报告	98.0
SD v1.5 / ConceptPrune	100	100	100	K=10为94	98.5
SD3 / UCE	100	100	94	未报告	98.0
SD3 / EraseFlow	100	100	100	未报告	100.0
FLUX.1 / EraseAnything	100	100	未报告	未报告	100.0
CogVideoX-5B / Refusal	100	100	未报告	未报告	100.0
Wan2.1-T2V-1.3B / VideoEraser	100	90	未报告	未报告	95.0

• 未列入的已评格在 Table 1、Table 4 中为 100：SD v1.5 的 MACE、FMN、Sculpting、ScaPre、FIA、AdvUnlearn、STEREO、Meta-Unlearning，以及 SPEED 的 K=1、3；FLUX.1 的 ScaPre；CogVideoX-5B 的 VideoEraser；Wan2.1-T2V-1.3B 的 Refusal。SPEED 在 Table 1 的 K=5 为未报告。
• 作者称 “–” 超出各方法稳定擦除容量：再往上，遗忘变差或生成能力受损。精确恢复把部分命中算失败。
• 作者称视频上不同时间建模的足迹仍能标出单个目标和联合擦除集合；Wan 上 VideoEraser 的联合擦除是已评视频设置里下降的一项。Table 1 把 EraseFlow 放在 Stable Diffusion 3，Table 2 把同名方法放在 FLUX.1，论文未解释这一归类差异。

个数估计

• Table 2 报告推断个数等于真实 K 的 checkpoint 比例。SD v1.5 上 ESD、UCE、MACE、ScaPre 的已评格为 100%；ConceptPrune 在 K=5 为 98%，SPEED 在 K=5 为 92%。作者称多数设置估计正确，联合擦除时 ConceptPrune 与 SPEED 有时出错。
• 与 Table 1 并读时，论文未说明是否同一批 checkpoint：ConceptPrune 在 K=5 的精确恢复为 100%，个数估计为 98%；SPEED 的 K=5 在 Table 1 标为未评，Table 2 为 92%，Table 3 在提供真实 K 时 Recall@K 为 100.0%。
• 作者称 Figure 3 中 UCE 与 Refusal 的归一化置信度 aj/a0 在早期选择时保持较高，序列到达真实 K 后下降，并用这一转折估计个数。图注写下降发生在真实擦除集合大小处。转写后的曲线读数对不齐列，不引用具体纵轴数值。

与改编 MIA、暴力搜索的对比

• §4.3 在 Stable Diffusion v1.5 上比较 ESD、UCE、SPEED、ScaPre，K∈{1,3,5}，每档 50 个 checkpoint，共用 1,000 名的词表。三方都拿到真实 K；TRACER 只用选择顺序，不做个数估计。Recall@10 对三个 K 等权平均。
• Table 3：TRACER 在四方法、各 K 以及 Recall@10 上均为 100.0%。ESD 上 MIA 的 Recall@K 从 K=1 的 42.0% 到 K=5 的 4.8%，暴力搜索从 82.0% 到 16.2%，Recall@10 分别为 27.1% 与 53.3%。ScaPre 上 MIA 的 K=5 为 48.2%，暴力搜索为 52.0%，Recall@10 为 74.7% 与 80.4%。作者称基线召回大体随 K 增大而下降；允许 10 个候选后覆盖上升，仍有目标未被标出。
• Figure 4 比较三种方法在词表规模上的 GPU 时间，横轴标注为 SD v1.5 的 1k 至 70k、FLUX.1 的 1k 至 30k、CogVideoX-5B 的 1k 至 5k。作者称 TRACER 的时间随词表扩大增长较缓，并在所评规模上相对 MIA 与暴力搜索，图像模型加速 150–137,000×，视频模型加速 133–20,000×。图中另有秒与小时标注，转写后无法可靠对应到某个词表规模，不逐条引用。

其他消融与分析

• Table 5（提供真实 K=5，Recall@5；方法为 ESD、UCE、SPEED、ScaPre，每方法 50 个 checkpoint；该节未再写骨干）：完整方法均为 100.0%；每组只留一个印记为 84.0、94.8、88.4、91.6；去掉背景抑制为 76.8、92.4、90.8、88.0；去掉序贯更新为 56.4、78.4、82.8、81.2。作者称单印记下降 5.2–16.0 个百分点，去掉背景抑制下降 7.6–23.2 个百分点，去掉序贯选择在 ESD 上降 43.6 个百分点。
• Table 6（不提供 K，精确集合恢复，同一四方法）：去掉自校准为 78%、84%、92%、86%；只取最大置信度下降为 72%、64%、78%、80%；完整方法均为 100.0%。
• 附录 Table 10 艺术风格：已评格多为 100%；SD v1.5 上 ESD 在 K=10 为 92%，该行 Avg. 98.0%。UCE、ScaPre、FIA 在 K=20 为 100%。附录 A.1 称艺术风格分别用两套模板查看敏感度，论文未报告两套模板的对照数字。
• 附录 B：面部身份遗忘未纳入。作者称初步检查中，所测方法抑制目标身份，也降低非目标内容的生成，权重变化同时反映更广的生成能力损失。
• 附录 A.2 的多词扩展给出束宽、惩罚和最大词数，论文未报告该扩展的识别数字。

作者指出的局限与后续方向

• 面部身份（附录 B）：作者排除面部身份遗忘。初步检查中，所测方法抑制目标身份，也降低非目标内容的生成；这些 checkpoint 的权重变化同时反映更广的生成能力损失，对选择性遗忘下的目标识别只提供有限依据。
• 多词停机（附录 A.2）：跨长度比较是启发式的，因为各轮的表示统计和分数分布都在变；搜索可能在完整目标已经生成时仍返回更短短语。该规则选的是单个候选的词数，与擦除个数估计分开。
• 代码（Reproducibility Statement）：作者计划在论文被接收后公开完整源代码和配套配置。这是计划，不是已完成的发布。

论文没有单独的 Limitations、Discussion 或 Future Work 节来讨论方法局限。

实验覆盖范围

• 被测骨干为 Stable Diffusion v1.5、Stable Diffusion 3、FLUX.1、CogVideoX-5B、Wan2.1-T2V-1.3B，共 5 个；实验在 NVIDIA RTX A6000 上运行（§4.1）。
• 物体识别按 Table 1、Table 4 的已评 K 报告，艺术风格在附录 Table 10。Table 1 标题写 Imagenette-20，§4.2 写从 Imagenette-50 采样，附录只定义 Imagenette-20。
• 与改编 MIA、暴力生成探测的对比在 Stable Diffusion v1.5 上，方法为 ESD、UCE、SPEED、ScaPre，K∈{1,3,5}，每设置 50 个 checkpoint，词表为 1,000 个类名，且各方都拿到真实 K（§4.3、Table 3）。
• Figure 4 的词表横轴为 SD v1.5 至 70k、FLUX.1 至 30k、CogVideoX-5B 至 5k。附录写运行时间比较使用 70,000 词的子集，扩展词表为 73,406。威胁模型假定词表 C 包含 S⋆，并同时持有 W 与 W′。
• 论文未报告 Table 1 与 Table 10 的 checkpoint 数量、重复次数，以及 §4.1 所写 I2P 与 MS COCO 的定量结果；附录 A.2 的多词扩展未报告识别数字；暴力基线中 a(I,c) 的判定模型未说明。

TRACER 针对的是遗忘扩散模型上的目标识别：提供者从公开基座 W 用已发表方法擦掉未知集合 S⋆，只发布 W′；攻击者还有假定包含这些概念的词表，但不知擦了谁、擦了几个、用了什么算法。

• 方法：比较权重得到印记，用探针分成 text-aware 与 text-agnostic 组，做成谱重加权的 Gram 足迹。候选经中性模板编码并白化后，贪心选择还能解释剩余足迹能量的词，并用置信度下降决定个数。自校准不使用标注。不生成图像，不看模型输出。
• 物体与视频：Table 1、Table 4 的已评格里，精确集合恢复多为 100%。例外包括 SD v1.5 上 ESD 在 K=5 为 94%、ConceptPrune 在 K=10 为 94%，SD3 上 UCE 在 K=5 为 94%，Wan2.1-T2V-1.3B 上 VideoEraser 在 K=3 为 90%（Avg. 95.0%）。部分命中算失败。
• 个数与对照：Table 2 中多数已评格的个数估计为 100%，ConceptPrune 与 SPEED 在 K=5 为 98% 与 92%。在 SD v1.5、提供真实 K、每设置 50 个 checkpoint 时，TRACER 的 Recall@K 为 100.0%；同表 ESD 上改编 MIA 在 K=5 为 4.8%。
• 时间：作者称识别与个数估计可在数秒内完成；相对 MIA 与暴力搜索，图像模型加速 150–137,000×，视频模型加速 133–20,000×。
• 作者的结论：生成被抑制之后，公开权重仍会暴露擦除目标。作者把擦除目标识别写成一项单独任务，并用无标注的足迹搜索去看权重泄露了哪些被擦概念。