研究证实扩散模型会「死记硬背」：Stable Diffusion 能直接复现原图

支持 AI 作画的人最常说的一句话，就是 AI 和人类艺术家一样，只是在汲取灵感，画出来的每一张图都是全新创作。

但这套说辞现在被一份研究狠狠戳破了。

来自 Google Brain、DeepMind、UC 伯克利和普林斯顿大学的研究团队发布论文，证实 Stable Diffusion 和 Google 的 Imagen 等扩散模型会暗自「死记硬背」训练集里的图像，并在遇到特定提示词时直接把原图吐出来。

喂出原图的提示词

这项研究由 Google Brain 研究员 Nicholas Carlini 牵头。在此之前，这批研究人员就曾发现 OpenAI 的语言模型 GPT-2 存在类似的数据泄露问题，这次他们把目光转向了图像生成领域。

测试方法听起来很直接：团队从 Stable Diffusion 使用的 LAION 训练数据集中抓取原本的图片描述（caption），当作提示词喂回给模型，然后把生成出来的图片和训练集人工比对。

结果显示，AI 确实会精准复现原图，生成出来的画面几乎一模一样，仅仅多了一点细微的数字噪点。

论文作者之一、UC 伯克利博士生 Eric Wallace 和普林斯顿大学博士生 Vikash Sehwag 透露，这种完全复制的情况其实很罕见。他们测试了大约 30 万个不同的提示词，发现的记忆率大约只有 0.03%。

但这绝不代表可以高枕无忧。

模型越大，抄得越狠

普林斯顿大学的 Sehwag 指出，问题的关键在于模型的本质任务是「泛化」去创造新图，而不是吐出背下来的原图。

而且研究人员发现，Google 的 Imagen 甚至能记住在数据集中仅出现过一次的单张图片。更棘手的是，老一代基于 GAN（生成对抗网络）的模型没有这种记忆死穴，而画质更好、主流都在用的扩散模型却全员中招。

研究还指出一个让人担忧的趋势：模型体积越大、参数越复杂，死记硬背的问题就越严重。像 Stable Diffusion 这种相对较小的模型，本身存储空间有限，能背下来的图片少；但随着未来几年模型规模成倍暴涨，直接复现原图的概率很可能会大幅攀升。

参与研究的苏黎世联邦理工学院教授 Florian Tramèr 还提醒，他们提取出来的很多原图都是拥有版权的。哪怕开发团队试图通过清洗和去重来过滤数据，也没法彻底堵死数据泄漏。

如果拿扩散模型来合成敏感数据，比如医疗领域的 X 光片，一旦模型把某个病人的真实病历原原本本地画出来，隐私泄漏的后果将不堪设想。

为什么重要

这项研究最直接的冲击，是击穿了生成式 AI 面对版权官司时最核心的防御掩体。

过去平台总能辩称模型输出纯属「巧合与启发」，但 0.03% 的死记硬背铁证如山。对普通创作者和商业用户来说，这意味着风险：哪怕你花钱买了商用许可，生成的图片依然有可能一字不差地撞上别人的版权原图，在毫不知情下卷入侵权漩涡。

我们认为，这项研究给整个扩散模型路线敲了一记警钟。虽然各大厂商都在强调去重和过滤，但只要底层依然依赖破坏加去噪的扩散机制，记忆泄漏在数学上就很难彻底根除。

未来行业为了自保，很可能会在输出端加上强硬的相似度比对拦截器，或者逼迫模型开发商彻底放弃野蛮爬取的网页数据。在模型变得越来越大、抄袭风险越来越高的今天，生成式 AI 的版权防火墙必须重构了。