[論文レビュー] Quantifying Membership Inference Vulnerability via Generalization Gap and Other Model Metrics

Jason Bentley, Daniel Gibney+2 more|arXiv (Cornell University)|Sep 11, 2020

Privacy-Preserving Technologies in Data参考文献 15被引用数 10

ひとこと要約

本稿では、一般化ギャップ（訓練精度とテスト精度の差）とラベル予測のみを用いて、理論的に最適でパラメータフリーのベイジアンメンバーシップインファレンス攻撃（BTTA）を提案する。この攻撃は、シャドウモデル攻撃と同等の最先端の性能を達成しており、一般化ギャップそのものがメンバーシップ脆弱性の強力な予測子であることを示している。

ABSTRACT

We demonstrate how a target model's generalization gap leads directly to an effective deterministic black box membership inference attack (MIA). This provides an upper bound on how secure a model can be to MIA based on a simple metric. Moreover, this attack is shown to be optimal in the expected sense given access to only certain likely obtainable metrics regarding the network's training and performance. Experimentally, this attack is shown to be comparable in accuracy to state-of-art MIAs in many cases.

研究の動機と目的

• 公開可能なモデル統計のみに依存する、最小限の仮定に基づくメンバーシップインファレンス攻撃の開発。
• 一般化ギャップおよびその他の基本的なモデル指標に基づいて、メンバーシップインファレンス攻撃の有効性における理論的上限を確立すること。
• 一般化ギャップを用いた単純で決定論的な攻撃が、複雑で訓練されたシャドウモデル攻撃と同等の性能を達成できることを示すこと。
• メンバーシップインファレンスに最も情報を与えるモデル特性を特定し、防御戦略の立案に役立てる。
• 最先端の攻撃の情報含量を理論的最適なベースラインと比較し、攻撃性能を向上させるために追加で必要なデータを同定すること。

提案手法

• 一般化ギャップと予測ラベルのみを用いる決定論的ブラックボックスメンバーシップインファレンス手法として、ベイジアン・テイク・ザ・トゥーリスル・アタック（BTTA）を提案する。
• 各クラスの訓練・テスト精度およびラベル比率が既知であるという仮定の下で、理論的に最適な攻撃戦略を導出する。
• BTTAをカテゴリカルベイジアン攻撃（CBTTA）に一般化し、真のラベルまたは予測ラベルでデータを分割することで精度を向上させる。
• ベイジアン推論を用いて、予測ラベルとモデルの一般化ギャップに基づき、あるデータポイントが訓練セットに属する確率の後立確率を計算する。
• 実験的比較のためのシャドウモデルを用い、最先端の攻撃の性能が主に同じ一般化ギャップ情報に起因していることを検証する。
• 複数のデータセット（例：CIFAR-10）におけるアブレーションと比較を通じて、訓練セットサイズの変動に伴う攻撃精度、適合率、再現率を評価する。

実験結果

リサーチクエスチョン

• RQ1 一般化ギャップとラベル予測のみを用いて、理論的に最適かつ実用的に効果的なメンバーシップインファレンス攻撃が可能か？
• RQ2 同じ核心情報に依存する場合、単純なベイジアン攻撃と複雑なシャドウモデルベース攻撃の性能はどのように比較されるか？
• RQ3 一般化ギャップそのものが、メンバーシップインファレンス攻撃に対するモデルの脆弱性をどれほど決定づけているか？
• RQ4 最先端のメンバーシップインファレンス攻撃は実際にどの情報を活用しているのか？ 本手法の最小限の仮定と比較するとどうなるか？
• RQ5 予測ラベルまたは真のラベルでデータを分割することは、ベイジアンメンバーシップインファレンス攻撃の精度を顕著に向上させるか？

主な発見

• 提案されたベイジアン・テイク・ザ・トゥーリスル・アタック（BTTA）は、10,000件の訓練サンプルを用いたCIFAR-10で0.746の精度を達成し、シャドウモデル攻撃（SMA）の0.793と同等の性能を示した。
• 予測ラベルパーティショニング攻撃（PPL）と真のラベルパーティショニング攻撃（PTL）はBTTAと同一の性能を示し、この設定ではパーティショニングによる顕著な利点がないことが示された。
• シャドウモデル攻撃の性能がベイジアン攻撃と同等であるため、主に同じ一般化ギャップ情報を利用していると示唆された。
• 訓練セットサイズが増加するにつれて、ベイジアン攻撃およびシャドウモデル攻撃の両方の精度が低下し、過学習の減少（一般化ギャップの縮小）がメンバーシップインファレンスの脆弱性を低下させることを確認した。
• 全データセットにおいて、すべての攻撃の再現率が0.95以上であり、訓練セットメンバーの検出に高い感度を示した。
• 訓練／テスト精度（各クラスご）、ラベル比率、モデル予測のみを必要とするという最小限の仮定のもとで攻撃が有効であることを示しており、一般化ギャップの予測力の高さが裏付けられた。