[論文レビュー] Leveraging Membership Inference Attacks for Privacy Measurement in Federated Learning for Remote Sensing Images

Anh-Kiet Duong, Petra Gomez-Krämer+2 more|arXiv (Cornell University)|Jan 8, 2026

Privacy-Preserving Technologies in Data被引用数 0

ひとこと要約

論文はブラックボックスのメンバーシップ推定攻撃を用いてリモートセンシング画像分類のフェデレーテッドラーニングにおけるプライバシー漏洩を定量化し、特徴ベースの通信などを含む様々なFL戦略を2つのデータセットで比較します。

ABSTRACT

Federated Learning (FL) enables collaborative model training while keeping training data localized, allowing us to preserve privacy in various domains including remote sensing. However, recent studies show that FL models may still leak sensitive information through their outputs, motivating the need for rigorous privacy evaluation. In this paper, we leverage membership inference attacks (MIA) as a quantitative privacy measurement framework for FL applied to remote sensing image classification. We evaluate multiple black-box MIA techniques, including entropy-based attacks, modified entropy attacks, and the likelihood ratio attack, across different FL algorithms and communication strategies. Experiments conducted on two public scene classification datasets demonstrate that MIA effectively reveals privacy leakage not captured by accuracy alone. Our results show that communication-efficient FL strategies reduce MIA success rates while maintaining competitive performance. These findings confirm MIA as a practical metric and highlight the importance of integrating privacy measurement into FL system design for remote sensing applications.

研究の動機と目的

• FLの厳密なプライバシー評価を精度だけでなくリモートセンシング応用の観点で動機づける。
• メンバーシップ推定攻撃を量的なプライバシー測度フレームワークとして提案・適用する。
• 標準的なFLアルゴリズムと特徴ベースの通信戦略を、プライバシー漏洩と性能のトレードオフの観点で比較する。
• 通信効率の高いFL戦略がMIAの成功率に与える影響を、タスク性能を維持しつつ示す。

提案手法

• リモートセンシング画像分類のFLにおけるプライバシー指標としてブラックボックスMIAs（エントロピーベース、修正エントロピー、LiRA）を評価する。
• FLのバリエーションを検討する：FedAvg、FedProx、および特徴ベースの通信アプローチ（FedFT、FedProxFT、FedFFT、FedMFT）。
• 2つのリモートセンシングデatasets（UC-MercedとAID）とResNet18バックボーン、128次元埋め込みを用いて精度とプライバシー漏洩を評価する。
• グローバルな集中学習、局所学習、そしてさまざまな通信スキームを伴うFLを、精度、通信コスト、MIA指標の観点で比較する。

実験結果

リサーチクエスチョン

• RQ1 異なるFLアルゴリズムと通信戦略の下で、リモートセンシング画像分類時にどれだけのプライバシー漏洩（MIAの有効性）が生じ得るか？
• RQ2 通信効率の高いFL手法は、分類精度を犠牲にすることなくMIAの成功率を低減できるか？
• RQ3 ブラックボックスのメンバーシップ推定攻撃の下で、どのFLアプローチが最良のプライバシーとユーティリティのトレードオフを提供するか？

主な発見

Method	Accuracy	Communication (Bytes)	MIA_AUC_Entropy	TPR@0.1%_Entropy	MIA_AUC_EntropyMod	TPR@0.1%_EntropyMod	MIA_AUC_LiRA	TPR@0.1%_LiRA
global	0.971	11,560,550,400	0.752	8.71%	0.751	0.0%	0.785
FedAvg	0.873	8,998,760,800	0.642	0.0%	0.650	0.0%	0.695	7.55%
FedProx	0.885	8,998,760,800	0.643	0.0%	0.645	0.0%	0.703	7.01%
FedFT	0.903	2,150,400	0.590	0.0%	0.589	0.0%	0.653	6.53%
FedProxFT	0.892	2,150,400	0.589	0.0%	0.589	0.0%	0.641	6.80%
FedFFT	0.925	9,081,551,200	0.591	0.0%	0.580	0.0%	0.626	6.53%
FedMFT	0.938	9,009,620,320	0.595	0.0%	0.591	0.0%	0.649	6.60%
local	0.791	0	0.544	0.0%	0.544	0.0%	0.565	5.71%
global_UCM	0.934	604,800,000,000	0.632	1.8%	0.635	0.0%	0.689	7.12%
FedAvg_UCM	0.844	17,999,364,800	0.553	0.0%	0.561	1.6%	0.600	6.30%
FedProx_UCM	0.850	17,999,364,800	0.545	1.5%	0.549	0.0%	0.609	6.16%
FedFT_UCM	0.746	6,144,000	0.524	0.1%	0.526	1.0%	0.580	5.90%
FedProxFT_UCM	0.754	6,144,000	0.522	1.8%	0.522	1.7%	0.583	6.16%
FedFFT_UCM	0.872	18,752,004,800	0.568	0.4%	0.551	0.0%	0.597	6.34%
FedMFT_UCM	0.860	18,060,958,400	0.553	0.0%	0.551	0.0%	0.611	6.17%
local_UCM	0.712	0	0.518	0.0%	0.528	0.0%	0.542	5.26%

• MIAで測定されるプライバシー漏洩は、分類精度と厳密には相関しない。
• 通信効率の高いFL戦略は、精度を競合としつつMIAの成功率を低減できる。
• FedFFTおよびFedMFTは通信を削減しつつ高い性能を提供；FedFTおよびFedProxFTは局所学習に近い強いプライバシーを提供；局所学習は最も高いプライバシーを提供するが精度は最低。
• グローバル集中学習は最も高い精度を示すが最も低いプライバシー、局所学習は最も高いプライバシーを示すが最も低い精度。
• FL手法の中で、プライバシーと情報伝達の削減を優先する場合はFedProxFTが推奨され、同時に性能とプライバシーの両方を考慮する場合はFedFFTが有利である。
• エントロピー基準のMIAは偽陽性率が低いとき（TPR@0.1%）には情報価を欠くことがある。