[论文解读] Membership Inference Attacks on Deep Regression Models for Neuroimaging

Umang Gupta, Dimitris Stripelis+4 more|arXiv (Cornell University)|May 6, 2021

Functional Brain Connectivity Studies被引用 7

一句话总结

本文证明了在神经影像学中，即使仅暴露模型参数或预测结果，对深度回归模型（特别是脑龄预测）的成员推理攻击仍具可行性。作者在集中式和联邦学习设置下均实现了60–80%的攻击成功率，揭示了尽管未直接共享数据，但模型共享仍会泄露训练数据的成员信息。

ABSTRACT

Ensuring the privacy of research participants is vital, even more so in healthcare environments. Deep learning approaches to neuroimaging require large datasets, and this often necessitates sharing data between multiple sites, which is antithetical to the privacy objectives. Federated learning is a commonly proposed solution to this problem. It circumvents the need for data sharing by sharing parameters during the training process. However, we demonstrate that allowing access to parameters may leak private information even if data is never directly shared. In particular, we show that it is possible to infer if a sample was used to train the model given only access to the model prediction (black-box) or access to the model itself (white-box) and some leaked samples from the training data distribution. Such attacks are commonly referred to as Membership Inference attacks. We show realistic Membership Inference attacks on deep learning models trained for 3D neuroimaging tasks in a centralized as well as decentralized setup. We demonstrate feasible attacks on brain age prediction models (deep learning models that predict a person's age from their brain MRI scan). We correctly identified whether an MRI scan was used in model training with a 60% to over 80% success rate depending on model complexity and security assumptions.

研究动机与目标

• 探究在神经影像学数据（特别是脑龄预测）上训练的深度学习模型是否可能因成员推理攻击而泄露隐私。
• 评估此类攻击在未直接共享数据的集中式与联邦学习设置下的可行性。
• 评估回归模型（医学影像中常用）相较于传统分类模型的脆弱性。
• 探索是否可仅通过模型预测（黑盒）或模型参数（白盒）推断训练数据成员身份，而无需访问实际训练样本。
• 考察过拟合与模型复杂度对成员推理攻击易感性的影响。

提出的方法

• 对使用MRI扫描训练的3D-CNN与2D-slice-mean深度学习模型进行白盒与黑盒成员推理攻击，目标为脑龄预测。
• 使用从训练分布中随机采样的数据训练影子模型，以模拟目标模型的行为，从而在不访问实际训练样本的情况下训练攻击分类器。
• 以影子模型的最终层（如conv6与输出层）的模型输出、梯度与logits作为输入特征，训练攻击分类器。
• 模拟集中式与联邦学习设置，评估在真实数据共享约束下的攻击性能。
• 采用带有Adam优化器的差分隐私（DP-SGD）以评估其对降低成员推理攻击脆弱性的影响。
• 使用1500个来自训练集与1500个来自未见数据集的测试集评估攻击性能，测量成员预测的攻击准确率。

实验结果

研究问题

• RQ1 能否成功对神经影像学中使用的深度回归模型（如脑龄预测）实施成员推理攻击？
• RQ2 当仅暴露模型预测或参数时，黑盒与白盒成员推理攻击的有效性如何？
• RQ3 在未直接访问训练样本的情况下，是否显著降低成员推理攻击的可行性或准确性？
• RQ4 模型复杂度与过拟合如何影响对成员推理攻击的易感性？
• RQ5 在本情境下，差分隐私在多大程度上可缓解成员推理攻击？

主要发现

• 针对脑龄预测的深度回归模型，成员推理攻击的成功率在60%至80%之间，具体取决于模型复杂度与威胁模型。
• 即使无法访问实际训练样本，攻击者仍可通过使用来自同一分布的样本训练的影子模型实现可行的成员推理，攻击准确率虽略有下降但依然有效。
• 白盒设置下的攻击成功率高于黑盒设置，但两者在复杂模型上均表现高度有效。
• 观察到模型过拟合与成员推理攻击易感性之间存在强烈的实证相关性。
• 差分隐私（DP-SGD）可降低对成员推理攻击的脆弱性，但要获得非平凡的隐私保证（ϵ < 100）会严重损害模型在脑龄预测任务上的性能。
• 结果表明，在联邦学习环境中，模型共享仍存在显著隐私风险，因为模型参数可能泄露训练数据成员信息。