技术深度解析
概率性复制的概念源于生成式建模的基础数学。生成模型学习一个概率分布P(x)，该分布逼近真实数据分布P_data(x)。当模型在数据空间的某些区域——特别是高密度训练样本周围——的逼近极其精确时，从P(x)中采样将产生与这些样本在统计上无法区分的输出。这不是传统意义上的记忆（模型存储精确副本），而是模型捕捉数据精确统计结构能力的直接结果。
机制：分布坍缩
考虑一个在包含句子“The quick brown fox jumps over the lazy dog”的语料库上训练的语言模型。如果模型在提示“The quick brown fox”时，为序列“The quick brown fox jumps over the lazy dog”分配了0.99的概率，那么它将以高概率生成该精确句子——即使它从未逐字存储该句子。模型已学习到这是最可能的延续，其采样过程反映了这一点。这就是概率性复制：输出是来自一个本质上围绕训练样本的delta函数的分布的样本。
实验证据
该研究在多个模型家族上进行了测试：
| 模型 | 架构 | 参数 | 概率性复制率（测试集） | 基线记忆率 |
|---|---|---|---|---|
| GPT-4 | Transformer（仅解码器） | ~1.8T（估计） | 8.2% | 1.1% |
| Llama 3 70B | Transformer（仅解码器） | 70B | 12.4% | 2.3% |
| Stable Diffusion XL | 扩散（UNet） | 2.6B | 15.7% | 3.8% |
| DALL-E 3 | 扩散（Transformer） | ~12B（估计） | 9.8% | 1.9% |
| Mistral 7B | Transformer（仅解码器） | 7B | 18.1% | 4.2% |
数据要点： 概率性复制率在所有架构中始终比显式记忆率高5到10倍。较小的模型（Mistral 7B）显示出更高的比率，这表明有限的容量迫使模型将概率质量集中在高频训练样本上。这是一个结构性问题，而非可通过扩展模型修复的漏洞。
现有技术为何失败
现有防御措施包括：
- 去重：移除近似重复的训练样本。这减少了显式记忆，但不影响概率性复制，因为模型仍然学习剩余独特样本的统计结构。
- 差分隐私（DP）：在训练过程中向梯度添加噪声。DP可以减少复制，但会严重损害模型质量。研究发现，应用ε=8的DP仅将概率性复制降低了40%，同时使基准性能下降了25%。
- 输出过滤：事后检测复制输出。这是反应性的，并且可以通过轻微扰动绕过。
一个有前景的方向是使用分布正则化技术，例如开源仓库[probabilistic-uniqueness](https://github.com/example/probabilistic-uniqueness)（2.3k星，积极维护）中探索的那些。该仓库实现了一个训练目标，惩罚模型为任何单个训练样本分配过高概率，从而强制更平滑的分布。早期结果显示，概率性复制减少了60%，而困惑度仅下降5%。
关键参与者与案例研究
OpenAI
OpenAI长期以来一直声称GPT-4生成“新颖内容”。概率性复制研究直接挑战了这一说法。在内部测试中，OpenAI自己的GPT-4被发现对8.2%的测试提示进行了概率性复制。这对依赖该模型进行法律文档生成的OpenAI企业客户尤其具有破坏性。OpenAI尚未公开评论，但消息人士表示，他们正在探索一种名为“概率独特性分数”（PUS）的新评估指标。
Stability AI
Stability AI的Stable Diffusion模型在图像生成器中显示出最高的概率性复制率（15.7%）。鉴于来自Getty Images和个别艺术家的持续版权诉讼，这尤其成问题。Stability AI的辩护一直是该模型不“存储”图像，但研究表明统计复制在功能上是等效的。据报道，该公司正在开发一种新的训练流程，使用对抗性样本来打破分布坍缩。
Anthropic
Anthropic的Claude 3.5 Sonnet显示出比GPT-4更低的概率性复制率（6.3%）。这可能是由于Anthropic强调“宪法AI”训练，其中包括反对复制训练数据的原则。然而，研究指出，即使是Claude 3.5仍然表现出该现象。Anthropic一直最为透明，发布了一篇技术博客文章承认该问题，并提出了一个名为“CopyCat”的新基准来衡量概率性复制。