[论文解读] Uncovering Memorization in Timeseries Imputation models: LBRM Membership Inference and its link to attribute Leakage

Faiz Taleb, Ivan Gazeau+1 more|arXiv (Cornell University)|Mar 25, 2026

Privacy-Preserving Technologies in Data被引用 0

一句话总结

本文提出一种基于损失的参考模型（LBRM）成员资格推断攻击，用于时序数据插补模型，以及利用记忆效应的属性推断攻击（AIA）；在黑箱设置下，显示多种架构之间的MIA与AIA存在较强相关性。

ABSTRACT

Deep learning models for time series imputation are now essential in fields such as healthcare, the Internet of Things (IoT), and finance. However, their deployment raises critical privacy concerns. Beyond the well-known issue of unintended memorization, which has been extensively studied in generative models, we demonstrate that time series models are vulnerable to inference attacks in a black-box setting. In this work, we introduce a two-stage attack framework comprising: (1) a novel membership inference attack based on a reference model that improves detection accuracy, even for models robust to overfitting-based attacks, and (2) the first attribute inference attack that predicts sensitive characteristics of the training data for timeseries imputation model. We evaluate these attacks on attention-based and autoencoder architectures in two scenarios: models that are trained from scratch, and fine-tuned models where the adversary has access to the initial weights. Our experimental results demonstrate that the proposed membership attack retrieves a significant portion of the training data with a tpr@top25% score significantly higher than a naive attack baseline. We show that our membership attack also provides a good insight of whether attribute inference will work (with a precision of 90% instead of 78% in the genral case).

研究动机与目标

• 动机：强调基于深度学习的时序插补在医疗、物联网和金融等领域的隐私风险。
• 提出一种新颖的黑箱会员推断攻击（LBRM），通过参考模型来检测记忆化。
• 开发属性推断攻击（AIA），以在被遮挡的时间窗内恢复结构特征（峰值）。
• 展示MIA信号与AIA有效性在多种架构中的相关性。
• 在从头训练和微调两种情景下评估攻击。

提出的方法

• 定义目标模型与参考模型，并使用动态时间规整（DTW）计算重建损失。
• 使用一个在性能上与目标模型匹配的参考模型，通过损失比R(x)=L_T(x)/L_R(x)揭示记忆化。
• 在两种情景下训练攻击：从私有数据训练的模型，以及从公开数据微调的模型。
• 通过滑动窗口协议和基于连续小波变换（CWT）的峰值检测器实现AIA，以定位缺失窗口内的峰值。
• 在SAITS、Transformer、iTransformer（基于注意力）和自编码器等体系结构上，利用公开/私有数据划分进行评估。
• 将LBRM与朴素的损失基线进行比较，以展示在AUROC和真正例率上的提升。

实验结果

研究问题

• RQ1 在黑箱访问下，基于参考模型的MIA（LBRM）是否能可靠检测时序插补模型中的记忆性？
• RQ2 在被遮挡的时序窗口中，记忆性（MIA）与推断结构属性（AIA）的能力之间是否存在可测量的联系？
• RQ3 LBRM攻击是否能够在不同的插补架构（基于注意力与自编码器）以及训练方式（从头训练 vs. 微调）之间泛化？
• RQ4 使用参考模型对攻击性能的影响，与仅损失基线相比有何不同？
• RQ5 在被遮挡片段中检测峰值的AIA表现如何，以及它与MIA成功之间的相关性？

主要发现

• LBRM在各架构（SAITS、Transformer、iTransformer、AE）上显著优于朴素损失基线的成员资格检测。
• 在各种情景下，LBRM在低假阳性率下的AUROC和TPR更高，表明时序插补模型中存在显著的记忆信号。
• 利用重建行为的AIA能够识别被遮挡窗口内峰值的存在与位置，其有效性与MIA表现相关。
• 在评估的架构中，模型的记忆倾向（MIA）与结构属性泄漏（AIA）之间存在强的经验关系。
• 在从头训练和微调的威胁模型下，基于记忆的泄漏风险仍然存在，凸显时序插补的广泛隐私风险。