[논문 리뷰] Membership Inference Attacks against Synthetic Data through Overfitting Detection

Boris van Breugel, Hao Sun외 2명|arXiv (Cornell University)|2023. 02. 24.

Privacy-Preserving Technologies in Data인용 수 25

한 줄 요약

본 논문은 reference 데이터세트를 활용하여 지역적 과적합을 감지하고 프라이버시 리스크를 평가하는 합성 데이터에 대한 밀도 기반의 멤버십 추론 공격인 DOMIAS를 제안합니다.

ABSTRACT

Data is the foundation of most science. Unfortunately, sharing data can be obstructed by the risk of violating data privacy, impeding research in fields like healthcare. Synthetic data is a potential solution. It aims to generate data that has the same distribution as the original data, but that does not disclose information about individuals. Membership Inference Attacks (MIAs) are a common privacy attack, in which the attacker attempts to determine whether a particular real sample was used for training of the model. Previous works that propose MIAs against generative models either display low performance -- giving the false impression that data is highly private -- or need to assume access to internal generative model parameters -- a relatively low-risk scenario, as the data publisher often only releases synthetic data, not the model. In this work we argue for a realistic MIA setting that assumes the attacker has some knowledge of the underlying data distribution. We propose DOMIAS, a density-based MIA model that aims to infer membership by targeting local overfitting of the generative model. Experimentally we show that DOMIAS is significantly more successful at MIA than previous work, especially at attacking uncommon samples. The latter is disconcerting since these samples may correspond to underrepresented groups. We also demonstrate how DOMIAS' MIA performance score provides an interpretable metric for privacy, giving data publishers a new tool for achieving the desired privacy-utility trade-off in their synthetic data.

연구 동기 및 목표

• 합성 데이터에 대한 공격자가 기초 데이터 분포에 대한 일부 지식을 가진 현실적인 MIA 설정의 필요성을 제시한다.
• 참조 분포와의 비교를 통해 생성기와 실제 데이터의 밀도를 비교하여 지역적 과적합을 탐지하기 위해 DOMIAS를 제안한다.
• 특히 대표성이 낮은(저밀도) 샘플에서 기존 MIA보다 DOMIAS가 더 우수함을 보여준다.
• DOMIAS가 프라이버시 인식 합성 데이터 생성 및 평가를 안내하는 방법을 시연한다.

제안 방법

• DOMIAS를 A_DOMIAS(x*) = f(p_G(x*) / p_R(x*)), 진짜 데이터 밀도로 생성기 밀도를 가중하는 방식으로 정의한다.
• 참조 데이터셋 D_ref를 사용해 p_R(X)를 근사하고 p_G(X)에 대한 밀도 추정기를 이용해 MIA 점수를 계산한다.
• 밀도 비율 기반 점수는 가역적인 데이터 표현에 대해 불변임을 주장하고 증명한다(정리 1).
• p_G에만 의존하는 기존 MIA와 DOMIAS를 비교하고, D_ref에 대한 접근이 더 강한 공격을 가능하게 한다.
• 다양한 생성 모델(TVAE, GAN 변형) 및 벤치마크를 사용해 데이터세트(California Housing, Heart Failure)에서 DOMIAS를 실증적으로 평가한다.

(a) Generative distribution in original space

실험 결과

연구 질문

• RQ1 밀도 비율 기반의 MIA가 참조 분포를 포함할 때 합성 데이터에서 이전의 블랙박스 MIA를 능가할 수 있는가?
• RQ2 p_G/p_R를 타깃으로 지역적 과적합을 공략하는 것이 소수 집단을 나타내는 저밀도 영역의 멤버십 탐지에 도움이 되는가?
• RQ3 다른 생성 모델과 데이터세트 크기에 따라 DOMIAS의 성능은 어떠하며 프라이버시-유틸리티 트레이드오프는 어떻게 나타나는가?
• RQ4 DOMIAS가 프라이버시를 고려한 합성 데이터 생성을 안내하는 실용적인 지표가 될 수 있는가?

주요 결과

• DOMIAS는 데이터세트와 모델 전반에서 벤치마크 대비 MIA 정확도에서 일관되게 우수하다.
• 참조 분포(Eq. 2)를 사용하는 것이 기존 Eq. 1 기반 공격보다 더 큰 이득을 제공한다.
• DOMIAS는 합성 데이터에서 소수 계층/저대표 그룹에 대해 더 효과적이다.
• 공격 점수는 프라이버시 리스크에 대한 해석 가능한 지표로 작용하여 프라이버시-유틸리티 트레이드오프 결정에 도움을 준다.
• 명확한 프라이버시-유틸리티 파레토 프런티어가 존재하며, 모델에 따라 데이터 품질이 높아질수록 MIA 취약성이 증가할 수 있다.

(b) Distribution in log-transformed space