模型压小了，顾客信息没跟着少
一台盒子里的模型，是从什么数据里长出来的
一家门店要做商品识别，模型通常这样来：先用公开数据或通用数据预训练，再拿这家店自己的画面微调——货架、价签、堆头、收银台上的商品摆放。做得细一点的，还会用错检、漏检的样本反复补训几个月。
这些数据里有没有人，取决于摄像头对着哪里。对着货架的商品图，基本没有；对着收银台、出入口、称重台的，画面里就有人脸、有手、有顾客拿起又放下的动作。
模型文件就是这份数据的产物。它不存图片，但它存着「什么样的画面算这一类」的统计规律。问题在于：这个规律里有多少能反过来指向某一张具体的画面。
压缩解决的是体积，不是记忆
行业里有一个常见的默认：模型量化到 8 位、4 位，文件从几百兆压到几十兆，信息少了，隐私风险也就跟着降了。
arXiv 上有一篇 Revisiting Privacy Risks in Quantized Deep Neural Networks（编号 2610.37488）专门测了这件事。做法是拿 8 种成员推断攻击去打 6 种量化方法产出的模型——成员推断的意思是：给定一张图片，判断它是不是当初训练用的那批数据之一。
结论跟直觉不一致：
- 4 位到 8 位这个区间，风险基本没变。 量化模型和全精度模型一样容易被判断出「这张图在训练集里」。而这正是端侧部署实际在用的位宽。
- 只有压到 2 位这种极端程度，才会看到明显的隐私改善，代价是模型效果明显下降。这不是一个可以顺手打开的开关。
- 为全精度模型设计的隐私保护手段，搬到量化模型上保护有限，效果损失反而更大。
原因不复杂。成员推断靠的是模型对「见过的」和「没见过的」样本在置信度上的细微差别。量化是一种全局扰动，它把两边的信号一起压低了，而不是只压掉一边。真要改变这个差别，得在训练阶段动手——加噪、正则、数据增广、差分隐私训练——部署时把数字压小，改变不了这件事。
什么情况下这件事值得当真
不是每家店都要为此改架构。判断标准是三个问题同时成立：
- 模型在自己门店的数据上做过微调，而不是原样用厂商的通用模型。
- 训练数据里有人——收银台、出入口、试衣间外、称重台的画面。
- 模型会离开你的控制——发给加盟商、装到合作方场地、设备送修、退租转卖、外包团队带笔记本上门调试。
三条都成立，模型外发就是一个需要流程的动作，而不是拷个文件的事。只有第一条成立（模型是通用的、没碰过自家数据），这件事基本不适用。
三个容易漏的口子
送修和退租。 设备坏了寄回厂家，硬盘里通常还留着模型和最近几天的抓拍图。退租、换供应商、门店闭店，机器回收时很少有人检查存储。这两处是外发里最不受控的环节。
加盟商和合作方场地。 总部训的模型发到门店，等于把这份模型的副本发给了每一个加盟商。合同里往往只写了「不得复制、不得转让」，没写「设备报废前必须擦除」。
远程运维通道。 排障时开的临时通道，常常带着模型下载权限。通道关掉容易，日志里的下载记录没人看。
该问供应商什么
- 这个模型是在哪些数据上训的？有没有用我们门店的画面做微调？
- 训练数据里包含人像的部分，是怎么处理的——剔除、模糊，还是保留？
- 模型发到门店，是加密的容器还是裸文件？设备报废、退租时的擦除流程是什么？
- 如果我们在合同里要求「不得用于训练其他客户」，你们怎么保证？有没有技术手段而不是只有承诺？
这四个问题不需要供应商给出漂亮的答案，但答不上来的，通常意味着这件事没被认真对待过。
验收时能做的三件事
- 列出模型的外发路径。 哪些角色、通过哪些通道能拿到模型文件，一张纸能写完最好；写不完说明控制面太散。
- 在合同里写擦除条款。 设备回收、退租、维修返还，明确谁负责擦、怎么证明。这条比任何技术手段都便宜。
- 把敏感区域排除在训练集之外。 如果识别任务只关心货架，就不要把收银台人像喂进去。数据不进模型，后面所有讨论都不必发生。
一句话
量化能让模型跑得动，但不会让模型忘掉它学过的东西。门店要判断的是「这个模型里有没有我顾客的信息」，以及「它出去的时候走哪条路」——这两个问题，压缩率回答不了。