[论文解读] Performing Co-Membership Attacks Against Deep Generative Models

Kin Sum Liu, Chaowei Xiao+2 more|arXiv (Cornell University)|May 24, 2018

Adversarial Robustness in Machine Learning参考文献 25被引用 6

一句话总结

本文提出共成员攻击——一种针对变自编码器（VAEs）和生成对抗网络（GANs）等深度生成模型的新颖隐私攻击——通过训练攻击者网络从潜在空间重建输入数据。该方法优于先前的攻击方式，表明共成员攻击显著优于单实例攻击，且揭示VAEs比GANs更容易受到成员推理攻击的影响。

ABSTRACT

In this paper we propose a new membership attack method called co-membership attacks against deep generative models including Variational Autoencoders (VAEs) and Generative Adversarial Networks (GANs). Specifically, membership attack aims to check whether a given instance x was used in the training data or not. A co-membership attack checks whether the given bundle of n instances were in the training, with the prior knowledge that the bundle was either entirely used in the training or none at all. Successful membership attacks can compromise the privacy of training data when the generative model is published. Our main idea is to cast membership inference of target data x as the optimization of another neural network (called the attacker network) to search for the latent encoding to reproduce x. The final reconstruction error is used directly to conclude whether x was in the training data or not. We conduct extensive experiments on a variety of datasets and generative models showing that: our attacker network outperforms prior membership attacks; co-membership attacks can be substantially more powerful than single attacks; and VAEs are more susceptible to membership attacks compared to GANs.

研究动机与目标

• 研究公开发布后的深度生成模型（如VAEs和GANs）在隐私方面的漏洞。
• 弥补现有成员推理攻击研究中的空白：与分类器不同，生成模型缺乏交互式查询机制。
• 提出一种新型攻击框架，利用共成员知识（即n个样本组成的集合要么全部在训练集中，要么全部不在）来提升攻击准确率。
• 提出一种无监督、端到端的攻击者网络，通过优化潜在码以重建目标数据，并以重建误差作为成员身份的指示器。
• 评估生成模型中模型泛化能力、数据多样性与成员隐私泄露之间的权衡。

提出的方法

• 训练攻击者网络A，通过在重建损失Δ(Gθ(z), x)上使用梯度下降，优化潜在码z，使得Gθ(z)能精确重建目标输入x。
• 将成员推理问题建模为重建任务：若攻击者网络能在x上实现低重建误差，则表明x可能属于训练数据。
• 通过联合优化攻击者网络以同时重建一组中的全部n个样本，将方法扩展至共成员攻击，利用多个目标之间的共享信息。
• 将攻击者网络的最终重建误差用作二分类器：低误差表示样本属于训练集。
• 将该方法应用于VAEs和GANs，使用如WGANs和在MNIST、CelebA、SVHN上训练的VAEs等架构。
• 引入对抗性采样，选择最难重建的训练数据点，证明增强数据多样性可提高成员推理攻击的成功率。

实验结果

研究问题

• RQ1 与单实例攻击相比，共成员攻击是否能显著提升深度生成模型的成员推理准确率？
• RQ2 基于重建的攻击者网络在VAEs和GANs上的表现是否优于先前的成员推理攻击方法？
• RQ3 VAEs是否比GANs更容易受到成员推理攻击？其结构或优化差异如何解释这一现象？
• RQ4 对抗性采样在提升训练数据多样性方面的作用有多大，同时是否也增加了隐私泄露风险？
• RQ5 模型泛化能力（多样性）与成员隐私之间是否存在权衡？模型能否被优化以实现两者的平衡？

主要发现

• 所提出的攻击者网络在VAEs和GANs上均实现了高于先前方法的成员推理准确率，尤其在共成员设置下表现更优。
• 共成员攻击显著优于单实例攻击，表明联合掌握多个数据点的信息可提升重建保真度与攻击成功率。
• VAEs比GANs更容易受到成员推理攻击，可能由于其显式最大化似然函数以及更平滑的潜在空间，从而更利于重建。
• 对抗性采样（即选择最难重建的数据点）增加了生成样本的分散性，表明数据多样性得到提升，但同时也提高了成员推理攻击的成功率。
• 在对抗性采样数据上训练的模型表现出更高的泛化能力（以数据分散性衡量），但对成员推理攻击的脆弱性也更高，表明多样性与隐私之间存在冲突。
• 攻击者网络的重建误差可作为成员身份的可靠且有效的指示器，即使在无模型梯度或标签信息的情况下亦成立。