Tokenizer泄露训练数据？BPE罕见Token的成员推断攻击

引言：Tokenizer不只是预处理工具

在大多数机器学习流程中，Tokenizer被当作固定的预处理组件——先分词，后训练，鲜有人关注它本身携带的信息。但一篇最新研究提出了一个值得警惕的观点：BPE（Byte Pair Encoding）分词器是在文本上训练出来的，它的词表可能保留训练语料的痕迹。研究者以此为基础，试图回答一个问题：能否通过分析一个BPE Tokenizer，判断某份候选数据集是否曾参与它的训练？

这项研究的核心观察简洁而有力：罕见字符串只有在语料频率足够高、越过合并阈值时，才会成为独立Token。这意味着，成员信号更可能隐藏在候选数据集所使用的罕见Token中，而非合并顺序本身。

BPE（Byte Pair Encoding，字节对编码） 是一种基于统计的子词分词算法，最初由 Gage 于 1994 年提出用于数据压缩。其训练过程从字符级词表出发，反复统计语料中相邻符号对的共现频率，将频率最高的一对符号合并为新 Token，直至达到预设词表大小或合并次数。因此，每一个合并操作都对应一个“合并排名”（merge rank），排名越靠前意味着该符号对在训练语料中出现得越频繁。

在 NLP 实践中，BPE 被 Sennrich 等人于 2016 年引入神经机器翻译，此后成为 GPT、RoBERTa 等主流模型的标准分词方案。关键之处在于：词表的形成完全由训练语料的频率分布驱动，哪些字符串能成为独立 Token、以什么顺序被合并，都直接受语料影响。这正是 Tokenizer 成员推断攻击赖以成立的基础——词表本身就编码了训练数据的信息。

阈值模型：罕见Token为何成为“指纹”

研究将上述直觉形式化为BPE纳入的阈值模型。在该模型下，似然比检验会给那些在背景语料中罕见、但在候选数据集中频繁出现的Token分配最大的权重。这符合逻辑：如果一个Token在整个词表中都很稀有，却恰好被候选数据集大量使用，那么它很可能因该数据集的贡献而跨过了合并阈值。

更进一步的推论是：一旦已知Token是否存在以及数据集频率，合并排名（merge rank）和合并图位置（merge-graph position）就不应再提供一阶成员信号。换句话说，泄露信息的不是“合并的顺序”，而是“哪些罕见Token被保留了下来”。这一结论对防御策略的设计有直接启示——仅隐藏合并顺序并不足以阻断泄露。

成员推断攻击（Membership Inference Attack） 的目标是判断某个特定数据样本或数据集是否出现在目标模型的训练集中，属于隐私攻击的经典范式。传统研究多针对模型权重或输出概率（如基于 loss 或置信度的攻击），而本文将其迁移到 Tokenizer 层面。

其隐私含义在于：若攻击者能确认某份敏感数据集曾参与分词器训练，便可推断机构的数据采集与处理行为，甚至反推语料来源。本文使用的核心统计工具是似然比检验（Likelihood Ratio Test）：在“候选集参与训练”与“未参与训练”两个假设下，分别计算观测到的 Token 分布出现的概率，取比值作为判别依据。罕见但候选集频繁出现的 Token 之所以权重最大，正是因为它们在两个假设下的概率差异最悬殊，从而提供最强的判别力。

RTAM-Fusion：用影子Tokenizer校准稀有Token质量

基于阈值模型，作者提出了RTAM-Fusion方法。它使用影子Tokenizer（shadow tokenizers）来校准罕见Token的质量，并跨稀有度层级融合信号。

在Tokenizer成员推断基准测试上，RTAM-Fusion的表现优于Vocabulary Overlap基线：AUC和平衡准确率均有提升，同时所需的影子Tokenizer数量更少。这表明，将注意力集中在罕见Token的存在性信号上，比单纯比较词表重叠更有效。研究还指出，在生产级词表规模下，现有防御措施面对自适应攻击者时仍会泄露成员信号——这意味着部署中的Tokenizer可能比预想中更“话多”。

影子Tokenizer（Shadow Tokenizers） 借鉴自影子模型（shadow models）的思想：攻击者用与目标分词器相似的流程，在已知的替代语料上训练若干“影子”分词器，观察罕见 Token 在这些可控条件下的出现规律，从而建立“Token 存在性—语料频率”的参考分布。由于无法直接访问目标分词器的训练语料，影子分词器提供了可校准的对照基线。

AUC（Area Under the ROC Curve） 衡量的是判别器将正例排在负例之前的整体能力，取值 0.5 相当于随机猜测，越接近 1 越好；平衡准确率（Balanced Accuracy） 则是正负类召回率的平均值，在类别不均衡时比普通准确率更能反映真实性能。本文的对比基线 Vocabulary Overlap 仅统计候选集与词表的字面重叠程度，忽略了频率与稀有度信息，因此 RTAM-Fusion 的提升说明“关注哪些罕见 Token 被保留”比“有多少词重叠”更具判别力。

对数据隐私与模型治理的启示

这项工作揭示了Tokenizer一个长期被忽视的隐私攻击面：即使模型权重受到保护，Tokenizer本身也可能成为训练数据成员信息的泄露渠道。对于使用大规模语料训练分词器的机构而言，需要重新评估词表发布带来的风险。

同时，研究提示防御思路的转变——与其试图掩盖合并过程，不如关注罕见Token的分布特征。未来若能在分词器训练阶段引入噪声或对稀有Token进行泛化处理，或许能降低成员推断的可行性。代码已在匿名仓库公开，可供复现与进一步检验。

总结

Tokenizer并非中立的预处理工具，其词表中记录着训练语料的频率痕迹。RTAM-Fusion通过罕见Token信号实现了更优的成员推断效果，并揭示了生产级词表下现有防御的持续泄露问题。这一视角值得数据隐私与模型安全领域持续关注。