[论文解读] Semi-Leak: Membership Inference Attacks Against Semi-supervised Learning

Xinlei He, Hongbin Liu+2 more|arXiv (Cornell University)|Jul 25, 2022

Adversarial Robustness in Machine Learning被引用 4

一句话总结

本文提出了首个基于数据增强的成员推理攻击方法 Semi-Leak，针对半监督学习（SSL）模型。通过利用同一样本在弱增强与强增强下模型预测结果的相似性，该攻击在 CIFAR10 数据集上使用 500 个标注样本时，AUC 最高达到 0.780，优于以往方法，揭示了 SSL 模型的成员信息泄露并非源于过拟合，而是由于其对训练样本预测结果的过度自信。

ABSTRACT

Semi-supervised learning (SSL) leverages both labeled and unlabeled data to train machine learning (ML) models. State-of-the-art SSL methods can achieve comparable performance to supervised learning by leveraging much fewer labeled data. However, most existing works focus on improving the performance of SSL. In this work, we take a different angle by studying the training data privacy of SSL. Specifically, we propose the first data augmentation-based membership inference attacks against ML models trained by SSL. Given a data sample and the black-box access to a model, the goal of membership inference attack is to determine whether the data sample belongs to the training dataset of the model. Our evaluation shows that the proposed attack can consistently outperform existing membership inference attacks and achieves the best performance against the model trained by SSL. Moreover, we uncover that the reason for membership leakage in SSL is different from the commonly believed one in supervised learning, i.e., overfitting (the gap between training and testing accuracy). We observe that the SSL model is well generalized to the testing data (with almost 0 overfitting) but ''memorizes'' the training data by giving a more confident prediction regardless of its correctness. We also explore early stopping as a countermeasure to prevent membership inference attacks against SSL. The results show that early stopping can mitigate the membership inference attack, but with the cost of model's utility degradation.

研究动机与目标

• 探究半监督学习（SSL）模型在过拟合程度较低的情况下是否仍会泄露成员信息。
• 开发一种针对 SSL 模型独特训练动态的新型基于数据增强的成员推理攻击方法。
• 分析 SSL 中成员信息泄露的根本原因，并与监督学习中的过拟合进行对比。
• 评估早停等防御策略及其在模型性能与隐私保护之间的权衡。

提出的方法

• 攻击使用黑盒模型查询候选数据样本在弱增强和强增强视图下的预测结果。
• 通过计算弱增强与强增强之间预测结果的相似性（如余弦相似度或 KL 散度）作为成员身份信号。
• 若同一数据样本在不同增强下的预测结果相似度更高，则表明该样本更可能来自训练集。
• 在多种 SSL 方法（FixMatch、FlexMatch、UDA）和数据集（SVHN、CIFAR10、CIFAR100）上评估该方法。
• 利用模型置信度（预测熵）作为记忆化的代理指标，即使在训练样本上准确率未更高时亦成立。
• 评估早停、top-k 后验概率、模型堆叠以及 DP-SGD 等防御措施以缓解该攻击。

实验结果

研究问题

• RQ1 半监督学习是否引入了监督学习中不存在的独特隐私风险？
• RQ2 能否通过利用 SSL 中的数据增强模式，使成员推理攻击更加有效？
• RQ3 过拟合是否是 SSL 模型中成员信息泄露的主要原因？
• RQ4 模型容量和无标签数据比例如何影响 SSL 中的成员推理风险？
• RQ5 早停是否能在不显著牺牲模型性能的前提下有效降低成员推理风险？

主要发现

• 所提出的 Semi-Leak 攻击在使用 500 个标注样本在 CIFAR10 上训练的 FixMatch 模型上，AUC 达到 0.780，优于最佳基线方法（0.722 AUC）。
• SSL 模型表现出接近零的过拟合（训练与测试准确率差距极小），与普遍认为过拟合导致成员信息泄露的观点相矛盾。
• 尽管过拟合程度低，SSL 模型仍通过为训练样本分配更高的预测置信度（无论标签是否正确）而泄露成员信息。
• 增加模型容量（如从 WRN28-1 扩展到 WRN28-8）会同时提升模型准确率和成员推理风险，AUC 从 0.726 上升至 0.927。
• 训练过程中无标签数据比例越大，成员推理风险越高，尤其对无标签样本影响显著，AUC 从比例为 1 时的 0.578 上升至比例为 16 时的 0.909。
• 早停在模型性能与成员隐私保护之间提供了最佳权衡，能有效降低攻击性能，代价仅为适度的准确率下降。