[论文解读] White-box Membership Inference Attacks against Diffusion Models

Yan Pang, Tianhao Wang+3 more|arXiv (Cornell University)|Aug 11, 2023

Generative Adversarial Networks and Image SynthesisComputer Science被引用 3

一句话总结

本文提出了一种新颖的白盒成员推理攻击方法，针对扩散模型使用基于梯度的特征而非损失作为攻击信号，实现了在多个模型和数据集上近乎完美的攻击成功率（最高达100%）以及AUCROC接近1.0，表明梯度相较于损失本身能更敏感地指示模型过拟合情况。

ABSTRACT

Diffusion models have begun to overshadow GANs and other generative models in industrial applications due to their superior image generation performance. The complex architecture of these models furnishes an extensive array of attack features. In light of this, we aim to design membership inference attacks (MIAs) catered to diffusion models. We first conduct an exhaustive analysis of existing MIAs on diffusion models, taking into account factors such as black-box/white-box models and the selection of attack features. We found that white-box attacks are highly applicable in real-world scenarios, and the most effective attacks presently are white-box. Departing from earlier research, which employs model loss as the attack feature for white-box MIAs, we employ model gradients in our attack, leveraging the fact that these gradients provide a more profound understanding of model responses to various samples. We subject these models to rigorous testing across a range of parameters, including training steps, sampling frequency, diffusion steps, and data variance. Across all experimental settings, our method consistently demonstrated near-flawless attack performance, with attack success rate approaching 100% and attack AUCROC near 1.0. We also evaluate our attack against common defense mechanisms, and observe our attacks continue to exhibit commendable performance.

研究动机与目标

• 为解决扩散模型在现实世界白盒场景下对成员推理攻击（MIAs）的安全漏洞问题。
• 探究梯度信息是否相较于模型损失能提供更有效的信号以检测样本是否属于训练数据。
• 设计一种计算高效的框架，在保留攻击有效性的同时降低高维梯度数据的维度。
• 评估所提攻击在常见防御机制下的鲁棒性。
• 通过在多样化架构和数据集上使用基于梯度的特征，建立扩散模型成员推理的新基准。

提出的方法

• 提出一种基于梯度的成员推理攻击框架——基于子采样与聚合的梯度攻击（GSA），利用反向传播后模型的梯度作为攻击特征。
• 引入两种变体GSA₁和GSA₂，其在梯度子采样与聚合策略上有所不同，以在准确率与计算成本之间取得平衡。
• 通过空间和通道维度的池化操作进行降维，以应对大规模扩散模型中梯度的高维特性。
• 将特定层梯度的L2范数作为输入，送入训练好的攻击分类器，以区分训练样本与非训练样本。
• 采用白盒设置，攻击过程中可完全访问模型参数与梯度计算过程。
• 在CIFAR-10、ImageNet和MS COCO数据集上，对无条件DDPM和最先进的文本到图像Imagen模型进行了验证。

实验结果

研究问题

• RQ1 扩散模型中的梯度信息能否作为比模型损失更有效的成员推理攻击特征？
• RQ2 基于梯度的MIAs在不同模型架构（如DDPM和Imagen）上的性能表现如何？
• RQ3 训练步数、采样频率和扩散步数等超参数对攻击成功率的影响是什么？
• RQ4 所提出的GSA框架在降低计算开销的同时，对保持高攻击准确率的效果如何？
• RQ5 基于梯度的MIAs对常见防御机制（如隐私蒸馏和模型微调）的鲁棒性如何？

主要发现

• 所提出的基于梯度的攻击在所有评估设置下均实现了接近100%的成员推理成功率，包括在最先进的Imagen模型上。
• 攻击的AUCROC始终接近1.0，表明对训练样本与非训练样本的判别能力近乎完美。
• 该方法优于现有基于损失的白盒MIAs，在不同数据集和模型配置下展现出更优的稳定性和准确性。
• GSA框架成功降低了梯度维度，且性能损失极小，使得在大规模模型上高效部署成为可能。
• 即使在应用隐私蒸馏和水印等标准防御措施后，该攻击依然有效，表明当前防御策略的效能有限。
• 梯度信息相较于损失能提供更细致、更敏感的模型过拟合指示，验证了本研究的核心假设。