Privacy Auditing Synthetic Data Release through Local Likelihood Attacks

ملخص تقني: تدقيق خصوصية إصدار البيانات الاصطناعية عبر هجمات الاحتمالية المحلية

بيان المشكلة
لا يزال تدقيق تسرب الخصوصية في البيانات الاصطناعية تحديًا غير محلول. تعتمد الأطر الحالية لتدقيق الخصوصية غالبًا على الاستدلالات (مثل مقاييس المسافة أو الكثافة) أو افتراضات غير واقعية فيما يتعلق بالوصول إلى النموذج (مثل إعدادات الصندوق الأبيض أو الصندوق الظلي). تقدم هذه النهج قدرة محدودة على كشف أو وصف التعرض للخصوصية، لا سيال عندما تظهر النماذج التوليدية أنماط فشل محددة مثل الإفراط في التخصيص (Overfitting). علاوة على ذلك، تفتقر العديد من الهجمات الحالية إلى أساس نظري يشرح ما تقيسه أو تحت أي ظروف يجب أن تنجح، مما يجعل من الصعب التمييز بين التصميم المبدئي والمصادفات المرتبطة بمعايير الاختبار (Benchmarks).

المنهجية: هجوم نسبة الاحتمالية التوليدية (Gen-LRA)
يقترح المؤلفون Gen-LRA، وهو هجوم استنتاج العضوية (MIA) مبتكر مصمم لنموذج تهديد "لا صندوق" (No-Box). في هذا الإعداد، لا يمتلك المهاجم أي وصول إلى بنية النموذج التوليدي، أو معاملاته، أو آلياته الداخلية. يمتلك المهاجم فقط:

1. مجموعة البيانات الاصطناعية المُصدرة ($S$).
2. مجموعة بيانات مرجعية ($R$) تم جمعها بشكل مستقل من نفس توزيع المجتمع الأساسي ($P$).

الآلية الجوهرية
يؤطر Gen-LRA استنتاج العضوية كقياس لتأثير ملاحظة اختبار ($x^*$) على الاحتمالية المقدرة لمجموعة البيانات الاصطناعية $S$. يعمل الهجوم بناءً على فرضية أنه إذا كان النموذج التوليدي يعاني من الإفراط في التخصيص، فإن تضمين نقطة تدريب $x^*$ في المجموعة المرجعية سيؤدي إلى زيادة الاحتمالية المقدرة للبيانات الاصطناعية $S$.

يسير الهجوم وفق الخطوات التالية:

1. النمذجة البديلة: يتم ضبط مُقدر كثافة بديل (تحديدًا مُقدر كثافة النواة الغاوسي، KDE) على المجموعة المرجعية $R$ للحصول على $\hat{p}_R$.
2. التعزيز: يتم ضبط نموذج بديل ثانٍ على المجموعة المعززة $R \cup \{x^*\}$ للحصول على $\hat{p}_{R \cup \{x^*\}}$.
3. نسبة الاحتمالية المحلية: يتم حساب درجة الهجوم كمجموع نسب اللوغاريتم الاحتمالي عبر أقرب $k$ من الجيران الاصطناعيين لـ $x^*$ (يُرمز لهم بـ $S_k(x^*)$):
   $$\hat{I}(x^*; R, S) = \sum_{s \in S_k(x^*)} \left[ \log \hat{p}_{R \cup \{x^*\}}(s) - \log \hat{p}_R(s) \right]$$
4. القرار: تشير الدرجة العالية إلى أن إضافة $x^*$ إلى المجموعة المرجعية قد زادت بشكل كبير من احتمالية النقاط الاصطناعية القريبة، مما يشير إلى أن $x^*$ كانت جزءًا من مجموعة التدريب.

الإطار النظري
يضع البحث ثلاث نتائج نظرية رئيسية تدعم Gen-LRA:

1. الثبات (Invariance): درجة نسبة اللوغاريتم الاحتمالي ثابتة تجاه إعادة المعلمات القابلة للعكس للبيانات، مما يضمن المتانة ضد خيارات المعالجة المسبقة مثل القياس أو الترميز.
2. التوصيف بالصيغة المغلقة: يثبت المؤلفون أن درجة Gen-LRA تقبل توصيفًا بصيغة مغلقة كإحصائية نسبة كثافة موضعية. وعلى عكس هجمات نسبة الكثافة للنقطة الواحدة (مثل DOMIAS)، يقوم Gen-LRA بتجميع الأدلة عبر منطقة محلية، مما يلتقط إشارات الذاكرة المنتشرة.
3. فجوة متوسط الدرجة: تحت نموذج عام للإفراط في التخصيص المحلي، يثبت المؤلفون وجود فجوة قابلة للإثبات بين الدرجات المتوقعة للأعضاء وغير الأعضاء. تعتمد ضخامة هذه الفجوة خطيًا على قوة الإفراط في التخصيص ($\epsilon$) وتُحكم من خلال التداخل بين عرض نطاق (Bandwidth) النموذج البديل ومقياس الذاكرة للمولد ($\rho$).

المساهمات الرئيسية

1. هجوم مبتكر: يعد Gen-LRA أول هجوم MIA للبيانات الجدولية الاصطناعية يقوم صراحةً بتكييف إطار دالة التأثير مع إعداد "لا صندوق"، حيث يصيغ استنتاج العضوية كأثر لنقطة اختبار على نسبة احتمالية نموذج بديل.
2. التبرير النظري: يقدم العمل حسابًا نظريًا صارمًا لما تقيسه الهجمة (نسب الكثافة الموضعية) ويتنبأ متى تنجح (تحت ظروف الإفراط في التخصيص المحلي).
3. التحقق عبر المحاكاة: تقوم عمليات المحاكاة المنضبطة بتجسيد نموذج الإفراط في التخصيض، مما يثبت أن Gen-LRA فريد من نوعه وقابل للضبط عبر أنظمة الإفراط في التخصيص، ويتفوق على الطرق الموجودة، خاصة عندما يقوم المولد بحفظ بيانات التدريب تقريبًا.
4. المعيار التجريبي: يقيم المؤلفون Gen-LRA مقابل معيار شامل يضم 35 مجموعة بيانات، و9 بنيات توليدية (بما في ذلك GANs، VAEs، نماذج الانتشار، وTransformers). ينتج عن ذلك 1,525 تكوينًا فريدًا للبيانات الاصطناعية وأكثر من 10,000 عملية هجوم.

النتائج

• الأداء الإجمالي: يتفوق Gen-LRA باستمرار على هجمات MIA المنافسة. يحقق أعلى معدل تصنيف (Top-1) في كل مقياس (AUC ومعدل الحقيقة عند معدلات الخطأ الإيجابي الثابتة) عبر جميع الـ 1,525 عملية تشغيل. وتحديدًا، يحتل المركز الأول في أكثر من 38% من عمليات التشغيل (AUC) و42% من عمليات التشغيل (TPR@FPR=0)، وهو ما يزيد عن ضعف معدل أفضل خط أساس منافس.
• معدلات الخطأ الإيجابي المنخفضة: يظهر Gen-LRA مكاسب قوية بشكل خاص عند معدلات الخطأ الإيجابي المنخفضة، وهو مقياس حاسم لتدقيق الخصوصية العملي.
• أنظمة الضعف: يكون الهجوم أكثر فعالية في نظام "الذاكرة التقريبية"، حيث تحتفظ النقاط الاصطناعية بعلاقة مع بيانات التدريب ولكنها ليست نسخًا مطابقة تمامًا. في هذا النظام، تنهار هجمات النقطة الواحدة (مثل DOMIAS) والهجمات القائمة على المسافة (مثل DCR)، بينما يقوم Gen-LRA بتجميع الأدلة عبر جيران متعددين للنجاح.
• اختيار النموذج البديل: خلافًا للتوجهات في تقدير الكثافة عالي الأبعاد حيث غالبًا ما تتفوق نماذج التعلم العميق على KDE، يجد المؤلفون أن Gaussian KDE يتفوق على Block Neural Autoregressive Flows (BNAF) بالنسبة لـ Gen-LRA. ويُعزى ذلك إلى تحكم KDE الصريح في التنعيم المحلي (Bandwidth)، والذي يتوافق مع مقياس الذاكرة، بينما يقوم BNAF بتحسين الدقة العالمية ويُدخل ضجيجًا عشوائيًا يحجب إشارة تأثير النقطة الواحدة.

الأهمية والادعاءات
يزعم البحث أن أدوات تدقيق الخصوصية الحالية في إعداد "لا صندوق" تقلل بشكل كبير من مخاطر الخصوصية لأنها تختبر فرضيات خاطئة أو تعتمد على استدلالات تفشل في نظام الذاكرة التقريبية الشائع في المولدات الجدولية الحديثة.

يوفر Gen-LRA أداة مبدئية وفعالة حاسوبيًا لأطراف ثالثة لتدقيق إصدارات البيانات الاصطناعية دون الحاجة إلى الوصول إلى النموذج. يجادل المؤلفون بأن إعداد "لا صندوق" هو الأكثر واقعية لتدقيق الخصوصية، حيث إن المدافعين الذين يتبعون أفضل الممارسات سيحجبون تفاصيل النموذج، مما يجعل هجمات "الصندوق الظلي" غير فعالة. ومن خلال إثبات أن الإفراط في التخصيص في النماذج التوليدية يشكل مخاطر خصوصية كبيرة حتى في غياب الوصول إلى النموذج، يسلط البحث الضوء على الحاجة إلى أدوات تدقيق أقوى لضمان الإصدار المسؤول للبيانات الاصطناعية في المجالات الحساسة مثل الرعاية الصحية والتمويل. ويخلص المؤلفون إلى أنه بينما لا يوجد هجوم واحد مثالي بشكل موحد عبر جميع الظروف، فإن Gen-LRA يقدم الأداء الأكثر قوة واتساقًا للكشف عن تسرب الخصوصية في إصدارات البيانات الاصطناعية في العالم الحقيقي.