[论文解读] A Linear Reconstruction Approach for Attribute Inference Attacks against Synthetic Data

Meenatchi Sundaram Muthu Selva Annamalai, Andrea Gadotti+1 more|arXiv (Cornell University)|Jan 24, 2023

Privacy-Preserving Technologies in Data被引用 5

一句话总结

本文提出了一种基于线性重构的属性推断攻击，针对合成表格数据中的所有记录（而不仅异常值），通过利用过于精确的汇总统计信息实现攻击。该攻击在无模型访问的情况下仍能实现高准确率，揭示了当前合成数据生成方法尽管具备较强的实用性，却往往无法有效保护个体隐私。

ABSTRACT

Recent advances in synthetic data generation (SDG) have been hailed as a solution to the difficult problem of sharing sensitive data while protecting privacy. SDG aims to learn statistical properties of real data in order to generate "artificial" data that are structurally and statistically similar to sensitive data. However, prior research suggests that inference attacks on synthetic data can undermine privacy, but only for specific outlier records. In this work, we introduce a new attribute inference attack against synthetic data. The attack is based on linear reconstruction methods for aggregate statistics, which target all records in the dataset, not only outliers. We evaluate our attack on state-of-the-art SDG algorithms, including Probabilistic Graphical Models, Generative Adversarial Networks, and recent differentially private SDG mechanisms. By defining a formal privacy game, we show that our attack can be highly accurate even on arbitrary records, and that this is the result of individual information leakage (as opposed to population-level inference). We then systematically evaluate the tradeoff between protecting privacy and preserving statistical utility. Our findings suggest that current SDG methods cannot consistently provide sufficient privacy protection against inference attacks while retaining reasonable utility. The best method evaluated, a differentially private SDG mechanism, can provide both protection against inference attacks and reasonable utility, but only in very specific settings. Lastly, we show that releasing a larger number of synthetic records can improve utility but at the cost of making attacks far more effective.

研究动机与目标

• 调查合成数据生成（SDG）方法是否不仅会泄露异常值记录的个体隐私信息。
• 在无模型访问的无盒设置下，开发一种实用的属性推断攻击。
• 评估最先进SDG方法中隐私保护与统计实用性的权衡。
• 评估合成数据发布规模对实用性和推理攻击脆弱性的影响。

提出的方法

• 该攻击使用线性重构技术，对合成数据的三重边际查询进行处理，以推断单个记录的敏感属性。
• 其在部分知情对手设置下运行，即对手知晓准标识符，并可访问合成数据集。
• 该方法通过求解由边际统计信息导出的线性方程组，重构原始列值。
• 该攻击在多种SDG框架中进行了评估：概率图模型、生成对抗网络（GANs）以及差分隐私机制。
• 该方法利用了合成数据通常以高保真度保留汇总统计信息的特性，从而实现重构。
• 该攻击与先前方法（包括启发式方法和成员身份推断攻击）进行了对比，证明其在任意记录上的准确率更优。

实验结果

研究问题

• RQ1 属性推断攻击是否能在合成表格数据的非异常值记录上有效？
• RQ2 尽管具有较高的统计实用性，当前SDG方法在多大程度上仍会泄露个体层面的信息？
• RQ3 合成记录数量如何影响属性推断攻击的有效性？
• RQ4 差分隐私SDG机制是否能提供优于非私有方法的更好隐私-实用性权衡？
• RQ5 使用高阶边际查询是否有助于提升攻击准确率？

主要发现

• 所提出的线性重构攻击在准确率上显著优于先前的属性推断攻击，尤其在非异常值记录上表现更优。
• 该攻击表明隐私泄露不仅限于被记忆或异常的记录，而是影响数据集中任意个体。
• 发布更多的合成记录仅能略微提升实用性，但会显著增加属性推断攻击的有效性。
• 在所评估的方法中，差分隐私机制RAP^softmax在特定场景下提供了最佳的实证隐私-实用性权衡。
• 先前的攻击方法可能低估隐私风险达10个百分点，凸显了多方法评估的必要性。
• 高阶边际查询（如四重和五重）并未提升攻击性能，反而因误差增加而表现更差，三重查询被证明为最优选择。