[论文解读] Property Inference Attacks Against GANs

Junhao Zhou, Yufei Chen+2 more|arXiv (Cornell University)|Nov 15, 2021

Adversarial Robustness in Machine Learning被引用 4

一句话总结

本文首次针对生成对抗网络（GANs）提出属性推断攻击，使攻击者仅通过生成样本即可推断训练数据集的宏观属性（如人口统计比例）。该攻击在完整黑盒和部分黑盒设置下均实现了高准确率，其新颖的优化框架显著降低了后者的查询成本。

ABSTRACT

While machine learning (ML) has made tremendous progress during the past decade, recent research has shown that ML models are vulnerable to various security and privacy attacks. So far, most of the attacks in this field focus on discriminative models, represented by classifiers. Meanwhile, little attention has been paid to the security and privacy risks of generative models, such as generative adversarial networks (GANs). In this paper, we propose the first set of training dataset property inference attacks against GANs. Concretely, the adversary aims to infer the macro-level training dataset property, i.e., the proportion of samples used to train a target GAN with respect to a certain attribute. A successful property inference attack can allow the adversary to gain extra knowledge of the target GAN's training dataset, thereby directly violating the intellectual property of the target model owner. Also, it can be used as a fairness auditor to check whether the target GAN is trained with a biased dataset. Besides, property inference can serve as a building block for other advanced attacks, such as membership inference. We propose a general attack pipeline that can be tailored to two attack scenarios, including the full black-box setting and partial black-box setting. For the latter, we introduce a novel optimization framework to increase the attack efficacy. Extensive experiments over four representative GAN models on five property inference tasks show that our attacks achieve strong performance. In addition, we show that our attacks can be used to enhance the performance of membership inference against GANs.

研究动机与目标

• 解决生成模型（特别是 GAN）在成员推理之外的隐私与安全分析不足的问题。
• 探究攻击者是否可在不访问模型参数或训练数据的情况下，推断 GAN 训练数据集的宏观属性。
• 开发一种在完整黑盒与部分黑盒设置下均有效的可泛化攻击流程。
• 证明属性推断可作为更高级攻击（如成员推理）的构建模块。
• 提供一种公平性审计机制，用于检测 GAN 中存在偏差的训练数据。

提出的方法

• 提出一种通用攻击流程：查询目标 GAN 以获取生成样本，随后使用属性分类器基于目标属性（如性别、肤色）对样本进行标注。
• 在完整黑盒设置中，使用随机采样的潜在代码生成多样化样本以进行属性分类。
• 在部分黑盒设置中，提出一种新颖的优化框架，以生成最大化每轮查询信息增益的优化潜在代码集合。
• 利用影子模型指导潜在代码的优化，提升攻击效率并减少查询次数。
• 将属性推断任务建模为回归问题，以预测连续比例（如 30% 的白人女性），而非仅二分类。
• 利用预测出的属性推断全局数据集特征，如人口统计分布或数据偏差。

实验结果

研究问题

• RQ1 攻击者是否可仅通过生成样本且不访问模型参数或训练数据，推断 GAN 训练数据集的宏观属性？
• RQ2 在仅允许随机采样的完整黑盒设置下，属性推断的效率如何？
• RQ3 在查询受限的部分黑盒设置中，优化潜在代码生成框架是否能提升攻击性能？
• RQ4 属性推断在多大程度上可增强针对 GAN 的成员推理攻击？
• RQ5 属性推断能否作为公平性审计工具，用于检测 GAN 中的偏差训练数据？

主要发现

• 所提出的属性推断攻击在多个 GAN 模型与数据集上，对性别与肤色分布等训练数据集属性的推断均实现了高准确率。
• 在 CelebA 数据集的性别预测任务中，该攻击对训练集中白人女性比例的估计平均绝对误差低于 0.05。
• 采用优化潜在代码的局部黑盒攻击显著减少了达到相当或更优性能所需的查询次数。
• 即使在查询预算有限的情况下，该攻击仍表现出强稳定性和高准确率，在完整与部分黑盒设置中均优于基线方法。
• 属性推断结果可被用于提升成员推理攻击，表明其作为高级隐私攻击基础技术的潜力。
• 该方法成功检测出存在偏差的训练数据分布，验证了其作为 GAN 公平性审计工具的有效性。