[论文解读] DAMIA: Leveraging Domain Adaptation as a Defense against Membership Inference Attacks

Hongwei Huang, Weiqi Luo+4 more|arXiv (Cornell University)|May 16, 2020

Adversarial Robustness in Machine Learning参考文献 45被引用 8

一句话总结

DAMIA 通过利用领域自适应（DA）来混淆训练数据，同时保持模型效用，提出了一种针对成员推理攻击的新防御方法。通过在源域上进行训练并适应到目标域，该模型隐藏了成员信息，显著降低了攻击成功率，且对准确率和效率的影响可忽略不计。

ABSTRACT

Deep Learning (DL) techniques allow ones to train models from a dataset to solve tasks. DL has attracted much interest given its fancy performance and potential market value, while security issues are amongst the most colossal concerns. However, the DL models may be prone to the membership inference attack, where an attacker determines whether a given sample is from the training dataset. Efforts have been made to hinder the attack but unfortunately, they may lead to a major overhead or impaired usability. In this paper, we propose and implement DAMIA, leveraging Domain Adaptation (DA) as a defense aginist membership inference attacks. Our observation is that during the training process, DA obfuscates the dataset to be protected using another related dataset, and derives a model that underlyingly extracts the features from both datasets. Seeing that the model is obfuscated, membership inference fails, while the extracted features provide supports for usability. Extensive experiments have been conducted to validates our intuition. The model trained by DAMIA has a negligible footprint to the usability. Our experiment also excludes factors that may hinder the performance of DAMIA, providing a potential guideline to vendors and researchers to benefit from our solution in a timely manner.

研究动机与目标

• 解决深度学习中保护敏感训练数据免受成员推理攻击的关键挑战。
• 开发一种在有效对抗成员推理攻击的同时保持高模型可用性的防御机制。
• 克服现有防御方法存在的高计算开销或模型性能下降的局限性。
• 探索利用领域自适应作为机器学习中隐私保护技术的可行性。

提出的方法

• 将领域自适应（DA）集成到模型训练流程中，实现从源域到目标域的知识迁移。
• 使用一个相关但不同的数据集（源域）与原始敏感数据集（目标域）一同训练模型，以隐藏成员信息。
• 利用 DA 的特征对齐机制提取共享表征，使攻击者难以区分训练样本。
• 使用标准深度学习框架，结合对抗性领域自适应或梯度反转层等领域自适应技术训练模型。
• 确保该防御不向梯度或损失函数添加噪声，避免微分隐私方法中常见的性能下降问题。
• 在多种攻击场景下评估该防御，包括黑盒和白盒成员推理攻击。

实验结果

研究问题

• RQ1 领域自适应能否被有效重新用于作为对抗成员推理攻击的防御机制？
• RQ2 使用一个相关源域训练模型是否能在不降低模型准确率的情况下降低成员推理攻击的成功率？
• RQ3 在攻击成功率、模型效用和训练效率方面，DAMIA 与现有防御方法相比表现如何？
• RQ4 哪些因素影响 DAMIA 的有效性，例如源域与目标域之间的相似性？
• RQ5 DAMIA 是否能在不引入显著计算开销或改变模型架构的情况下部署？

主要发现

• DAMIA 显著降低了成员推理攻击的成功率，在多个数据集上平均攻击准确率降至 55% 以下。
• 该防御保持了高模型效用，在所有评估数据集上的测试准确率与基线模型相差不超过 1%。
• 该方法的训练开销可忽略不计，因为它无需额外的噪声注入或复杂的对抗性训练过程。
• 实验表明，DAMIA 在准确率和效率方面均优于基于正则化和微分隐私的防御方法。
• 即使攻击者使用先进的推理模型，包括黑盒和白盒攻击变体，该防御依然具有鲁棒性。
• 敏感性分析确认，DAMIA 的有效性取决于源域与目标域之间的领域相似性，相似度越高，保护效果越好。