[论文解读] Membership Inference Attacks against Synthetic Data through Overfitting Detection

Boris van Breugel, Hao Sun+2 more|arXiv (Cornell University)|Feb 24, 2023

Privacy-Preserving Technologies in Data被引用 25

一句话总结

本文提出 DOMIAS，一种基于密度的成员资格推断攻击，针对合成数据，利用参考数据集来检测局部过拟合并评估隐私风险。

ABSTRACT

Data is the foundation of most science. Unfortunately, sharing data can be obstructed by the risk of violating data privacy, impeding research in fields like healthcare. Synthetic data is a potential solution. It aims to generate data that has the same distribution as the original data, but that does not disclose information about individuals. Membership Inference Attacks (MIAs) are a common privacy attack, in which the attacker attempts to determine whether a particular real sample was used for training of the model. Previous works that propose MIAs against generative models either display low performance -- giving the false impression that data is highly private -- or need to assume access to internal generative model parameters -- a relatively low-risk scenario, as the data publisher often only releases synthetic data, not the model. In this work we argue for a realistic MIA setting that assumes the attacker has some knowledge of the underlying data distribution. We propose DOMIAS, a density-based MIA model that aims to infer membership by targeting local overfitting of the generative model. Experimentally we show that DOMIAS is significantly more successful at MIA than previous work, especially at attacking uncommon samples. The latter is disconcerting since these samples may correspond to underrepresented groups. We also demonstrate how DOMIAS' MIA performance score provides an interpretable metric for privacy, giving data publishers a new tool for achieving the desired privacy-utility trade-off in their synthetic data.

研究动机与目标

• 推动一个现实的合成数据MIA设定，其中攻击者对底层数据分布有一定了解。
• 提出 DOMIAS，通过将生成器数据密度与真实数据密度与参考分布进行比较来检测局部过拟合。
• 表明 DOMIAS 在先前的 MIAs 上表现更好，尤其是在代表性不足的样本（低密度）上。
• 演示 DOMIAS 如何引导隐私感知的合成数据生成与评估。

提出的方法

• 将 DOMIAS 定义为 A_DOMIAS(x*) = f(p_G(x*) / p_R(x*))，用真实数据密度的权重来对生成器密度进行加权。
• 使用参考数据集 D_ref 来近似 p_R(X) 和一个密度估计器来估计 p_G(X) 以计算 MIA 分数。
• 论证并证明基于密度比的分数对可逆数据表示不变性（定理 1）。
• 将 DOMIAS 与依赖于 p_G 的先前 MIAs 进行比较，表明访问 D_ref 能带来更强的攻击。
• 在数据集（如 California Housing、Heart Failure）上，针对多种生成模型（TVAE、GAN 变体）和基线，对 DOMIAS 进行经验评估。

(a) Generative distribution in original space

实验结果

研究问题

• RQ1 能否用包含参考分布的密度比 MIA 超越之前的黑盒 MIAs 在合成数据上的表现？
• RQ2 通过 p_G/p_R 目标定位局部过拟合是否能提高成员检测，尤其是在代表性不足的低密度区域？
• RQ3 DOMIAS 在不同生成模型和数据集规模下的表现如何，以及隐私-效用权衡？
• RQ4 DOMIAS 能否作为实用指标来引导隐私保护的合成数据生成？

主要发现

• DOMIAS 在跨数据集和模型的 MIA 准确性上始终超越基线。
• 使用参考分布（Eq. 2）比基于先前 Eq. 1 的攻击带来更大提升。
• DOMIAS 在攻击合成数据中的少数群体/代表性不足群体方面更有效。
• 攻击分数可作为可解释的隐私风险指标，帮助隐私-效用权衡决策。
• 存在清晰的隐私-效用帕累托前沿；数据质量越高可能伴随更高的 MIA 易感性，取决于模型。

(b) Distribution in log-transformed space