[论文解读] Practical Blind Membership Inference Attack via Differential Comparisons

Bo Hui, Yuchen Yang+4 more|arXiv (Cornell University)|Jan 5, 2021

Privacy-Preserving Technologies in Data参考文献 48被引用 4

一句话总结

该论文提出 BlindMI，一种新颖的黑盒成员推理攻击方法，通过使用差异比较技术，无需依赖影子模型即可通过在数据集间迭代移动样本以推断成员身份。该方法实现了最先进性能，在 Purchase-50 和 Birds-200 等数据集上将 F1 分数提高了近 20%，且对先进防御机制仍具有效性。

ABSTRACT

Membership inference (MI) attacks affect user privacy by inferring whether given data samples have been used to train a target learning model, e.g., a deep neural network. There are two types of MI attacks in the literature, i.e., these with and without shadow models. The success of the former heavily depends on the quality of the shadow model, i.e., the transferability between the shadow and the target; the latter, given only blackbox probing access to the target model, cannot make an effective inference of unknowns, compared with MI attacks using shadow models, due to the insufficient number of qualified samples labeled with ground truth membership information. In this paper, we propose an MI attack, called BlindMI, which probes the target model and extracts membership semantics via a novel approach, called differential comparison. The high-level idea is that BlindMI first generates a dataset with nonmembers via transforming existing samples into new samples, and then differentially moves samples from a target dataset to the generated, non-member set in an iterative manner. If the differential move of a sample increases the set distance, BlindMI considers the sample as non-member and vice versa. BlindMI was evaluated by comparing it with state-of-the-art MI attack algorithms. Our evaluation shows that BlindMI improves F1-score by nearly 20% when compared to state-of-the-art on some datasets, such as Purchase-50 and Birds-200, in the blind setting where the adversary does not know the target model's architecture and the target dataset's ground truth labels. We also show that BlindMI can defeat state-of-the-art defenses.

研究动机与目标

• 为解决现有成员推理攻击依赖于影子模型且其迁移能力差于目标模型的局限性。
• 在攻击者无法访问目标模型架构或真实标签的黑盒环境下，实现有效的成员推理。
• 开发一种仅从探测结果中提取复杂成员语义的方法，而无需使用带标签的成员/非成员数据。
• 评估 BlindMI 在对抗最先进防御机制（如正则化、对抗训练和差分隐私）时的鲁棒性。
• 证明通过智能探测与比较策略，黑盒攻击可实现与白盒攻击相当的性能。

提出的方法

• BlindMI 通过转换现有样本生成非成员数据集，生成语义上合理的新型样本，假设其为非成员且置信度极高。
• 采用差异比较机制：将样本从目标数据集迭代移动至非成员集合，并测量其在特征空间中两集合间距离的变化。
• 若移动后两集合间距离减小，则判定该样本为成员；若距离增大，则判定为非成员。
• 该方法利用几何直觉：将成员样本移向非成员集合会减少整体距离，而将非成员样本移动则会增加距离。
• 实现了三种变体：BlindMI-1class（使用一类支持向量机进行非成员检测）、BlindMI-diff-w/（使用生成的非成员样本）和 BlindMI-diff-w/o（使用粗略的成员/非成员分离）。
• 该方法避免依赖预设阈值或真实标签，而是通过动态集合比较隐式学习决策边界。

实验结果

研究问题

• RQ1 在无法访问真实标签或影子模型的情况下，是否能有效在黑盒环境中执行成员推理？
• RQ2 在特征空间中对数据集集合进行差异比较，是否能在不依赖显式模型知识的前提下揭示有意义的成员语义？
• RQ3 BlindMI 在 F1 分数和鲁棒性方面与最先进成员推理攻击相比表现如何？
• RQ4 BlindMI 在多大程度上能够绕过或击败现有防御机制，如正则化、对抗训练和差分隐私？
• RQ5 所提出方法在捕捉高维空间中复杂决策边界方面，是否优于基于阈值或一类学习的方法？

主要发现

• 在盲态设置下，BlindMI 相较于最先进攻击方法，在 Purchase-50 和 Birds-200 等数据集上将 F1 分数提高了近 20%。
• 该方法在无需了解目标模型架构或训练数据真实标签的情况下仍表现出强大性能。
• BlindMI-diff-w/ 和 BlindMI-diff-w/o 变体均优于基于阈值和一类 SVM 的基线方法，证明了差异比较的有效性。
• BlindMI 在面对最先进防御机制（包括正则化、对抗训练和差分隐私）时仍具有效性，多数情况下 F1 分数超过 60%。
• 该攻击在多种深度神经网络架构和数据集上均表现稳健，证实其在真实黑盒场景中的泛化能力与实用性。
• 结果验证了：当探测策略能够捕捉特征空间中的复杂几何关系时，黑盒成员推理可达到与白盒攻击相当的威力。