[論文レビュー] Data Forensics in Diffusion Models: A Systematic Analysis of Membership Privacy

Derui Zhu, Dingfan Chen+2 more|arXiv (Cornell University)|Feb 15, 2023

Adversarial Robustness in Machine Learning被引用数 5

ひとこと要約

本論文は、拡散モデルに対するメンバーインファレンス攻撃（MIAs）の最初の体系的分析を提示し、固定で公開された符号化および反復的生成といったモデル固有のアーキテクチャ的特性を活用する、容易に入手可能な中間出力を用いた、革新的で極めて効果的な攻撃手法を提案する。攻撃は現実的な GRAY-ボックスおよび BLACK-ボックス設定において、ほぼ完璧な性能（AUCROC > 0.9）を達成し、実世界での展開における深刻なプライバシーリスクを示している。

ABSTRACT

In recent years, diffusion models have achieved tremendous success in the field of image generation, becoming the stateof-the-art technology for AI-based image processing applications. Despite the numerous benefits brought by recent advances in diffusion models, there are also concerns about their potential misuse, specifically in terms of privacy breaches and intellectual property infringement. In particular, some of their unique characteristics open up new attack surfaces when considering the real-world deployment of such models. With a thorough investigation of the attack vectors, we develop a systematic analysis of membership inference attacks on diffusion models and propose novel attack methods tailored to each attack scenario specifically relevant to diffusion models. Our approach exploits easily obtainable quantities and is highly effective, achieving near-perfect attack performance (>0.9 AUCROC) in realistic scenarios. Our extensive experiments demonstrate the effectiveness of our method, highlighting the importance of considering privacy and intellectual property risks when using diffusion models in image generation tasks.

研究の動機と目的

• 拡散モデルに特有のメンバーインファレンス攻撃（MIA）リスクを体系的かつ包括的に調査すること。拡散モデルは商業的および公開向けの画像生成システムでますます広く使われている。
• 固定符号化および反復的生成といった、アーキテクチャ的・展開特有の特性に起因する、新たな攻撃ベクトルを同定・分析すること。
• 白箱、 GRAY-ボックス、ブラックボックスの3つの状況を想定した、現実の展開状況に適合した、革新的で実用的なMIA手法を開発すること。その根拠は、容易に入手可能なモデル出力に依存する。
• 多様なデータ分布、モデルアーキテクチャ、トレーニング設定において、これらの攻撃の有効性を評価し、プライバシー漏洩の深刻さを浮き彫りにすること。

提案手法

• 攻撃は、拡散モデルの反復的ノイズ除去プロセス中に生成される中間潜在表現に依存しており、標準的な推論パイプラインで公開可能である。
• 攻撃は、ターゲットモデルの生成プロセスにおけるサンプルの尤度を比較する、学習済みまたはヒューリスティックベースの関数を用いてメンバースコアを算出する。この手法は、モデルの固定で公開された符号化メカニズムを活用する。
• 攻撃は、白箱（モデルの完全なアクセス）、 GRAY-ボックス（中間出力への制限付きアクセス）、ブラックボックス（最終画像出力のみ）の3つの攻撃シナリオにおいて、実用的かつ効果的であるように設計されている。
• 主な改善策として、特に GRAY-ボックス状況において、現実的でノイズの混入した環境での攻撃性能を向上させるための切り詰め（truncation）およびキャリブレーション技術を導入している。
• 実世界の事前学習済みモデル（Stable Diffusion v1.4 および v1.5）と標準ベンチマーク（COCO-2017 および LAION-2B）を用いて攻撃を評価し、AUCROC、F1スコア、1% FPRにおけるTPRといった指標を用いている。
• 理論的および実験的分析により、攻撃の高い性能が、モデルの固定で公開された符号化および複数の拡散ステップにわたる情報漏洩に起因することが確認された。

(a) Distribution of $\mathcal{L}_{t}$

実験結果

リサーチクエスチョン

• RQ1 固定符号化および反復的生成プロセスに起因する、他の生成モデルには見られない、拡散モデル特有の攻撃ベクトルは何か？
• RQ2 通常のAPIデプロイメントのように、最終画像ではなく中間潜在状態のみが入手可能な場合、メンバーインファレンス攻撃はどの程度有効か？
• RQ3 最終生成画像のみが入手可能なブラックボックス設定でも、メンバーインファレンス攻撃は高い性能を発揮できるか？また、GRAY-ボックスおよびホワイトボックス設定と比べてどうなるか？
• RQ4 データ分布、モデルアーキテクチャ、トレーニング設定といった要因の中で、拡散モデルにおけるメンバーインファレンスの成功に影響を与える主な要因は何か？
• RQ5 微分プライバシー やモデルの難読化といった既存の防御メカニズムは、これらの攻撃の有効性にどのような影響を及ぼすか？また、それらのトレードオフは何か？

主な発見

• 提案されたメンバーインファレンス攻撃は、stable-diffusion-v1.4 で AUCROC 0.73、stable-diffusion-v1.5 で AUCROC 0.74 を達成し、ベースライン性能を著しく上回っている。
• 1% の偽陽性率（FPR）における真正陽性率（TPR）は、v1.4 で 24.21%、v1.5 で 25.66% に達しており、厳密な誤差制約下でもメンバーの識別能力が非常に高いことが示されている。
• 中間拡散ステップのみがアクセス可能な GRAY-ボックス設定でも、攻撃は依然として極めて効果的であり、生成プロセス全体にわたり情報漏洩が発生していることを示している。
• 切り詰めおよびキャリブレーション技術の活用により、現実的で理想的でない環境下でも攻撃性能が著しく向上し、耐障害性と実用性が向上している。
• 拡散モデルの固定で公開された符号化メカニズムにより、攻撃者は正確に模倣可能である。他のモデルでは符号化を近似する必要があるのに対し、拡散モデルはこの点で特異的に脆弱である。
• 微分プライバシーが防御としての可能性を有するものの、モデルの有用性を著しく低下させ、拡散モデルで用いられるような複雑で高解像度のデータセットには現実的でない。

(b) Distribution of $\widehat{\mathcal{L}_{t}}$