Evaluating Differential Privacy Against Membership Inference in Federated Learning: Insights from the NIST Genomics Red Team Challenge

إليك ملخص تقني مفصل لورقة البحث: "تقييم الخصوصية التفاضلية ضد استدلال العضوية في التعلم الاتحادي: رؤى من تحدي فريق أحمر لبيانات الجينوم الخاص بـ NIST."

1. بيان المشكلة

تتناول الورقة البحثية ثغرة التعلم الاتحادي (Federated Learning - FL) تجاه هجمات استدلال العضوية (Membership Inference Attacks - MIAs). وبينما يمنع التعلم الاتحادي تبادل البيانات الخام، إلا أن النماذج العالمية أو المحلية الناتجة يمكن أن تظل تسرب معلومات حول ما إذا كانت سجلات محددة جزءًا من مجموعة بيانات التدريب أم لا. وهذا أمر بالغ الأهمية خاصة في المجالات الحساسة مثل علم الجينوم.

تركز الدراسة على حدث NIST لعام 2025 لخصوصية الجينوم في التعلم الاتحادي (PPFL) لفريق الأحمر (Red Teaming)، والذي وفر بيئة محكومة لتقييم فعالية الخصوصية التفاضلية (Differential Privacy - DP) كدفاع ضد هجمات استدلال العضوية.

• نموذج التهديد: خادم مركزي غير موثوق (مجمع) يتواطأ مع عميل واحد. يمتلك المهاجم وصولاً بنظام "الصندوق الأسود" إلى نماذج العملاء (يمكنه استعلام المدخلات ومراقبة المخرجات) والوصول إلى مجموعات بيانات مساعدة (سجلات ذات صلة وخارجية) ولكن دون الوصول إلى تدرجات التدريب الخاصة أو المعلمات الداخلية.
• مجموعة البيانات: بيانات جينومية عالية الأبعاد (توقع لون غلاف بذور الصويا) تحتوي على 125,767 متغيرًا جينيًا مع عدد قليل جدًا من العينات لكل عميل (الحد الأقصى 95). هذا النظام الذي يكون فيه $n \ll p$ (عينات قليلة مقابل أبعاد عالية) يؤدي إلى فرط تخصيص (overfitting) شديد، مما يضخم إشارات استدلال العضوية.
• تكوينات الخصوصية: تقيم الدراسة ثلاث مستويات:
  1. بدون خصوصية تفاضلية (No DP): شبكة عصبية تلافيفية (CNN) قياسية ($\epsilon = \infty$).
  2. خصوصية منخفضة (Low Privacy): استخدام DP-SGD مع $\epsilon = 200$.
  3. خصوصية عالية (High Privacy): استخدام DP-SGD مع $\epsilon = 10$.

2. المنهجية: هجوم التجميع القائم على التكديس (Stacking-Based Ensemble Attack)

يقترح المؤلفون هجوماً مبتكراً يعتمد على التكديس (stacking) والصندوق الأسود، مصمماً لتجاوز قيود هجمات "النموذج الظلي" (shadow-model) التقليدية (التي تعد غير مجدية هنا بسبب نقص بيانات التدريب الخاصة أو صغر حجم المجموعات المساعدة).

أ. المقدرات الأساسية (استخراج الإشارة)

بدلاً من الاعتماد على إشارة واحدة فقط (مثل الخسارة فقط أو الثقة فقط)، يستخدم الهجوم سبعة مقدرات متنوعة للصندوق الأسود مدربة على مخرجات النموذج المستهدف:

1. الشبكة العصبية (NN)
2. الغابة العشوائية (RF)
3. شجرة القرار (DT)
4. تعزيز التدرج (GB)
5. الجيران الأقرب (KNN)
6. آلة ناقلات الدعم (SVM)
7. الانحدار اللوجستي (LR)

يتم تدريب هذه النماذج على تسميات وسيطة مشوشة: السجلات "ذات الصلة" (مزيج من الأعضاء وغير الأعضاء) تُعامل كأعضاء محتملين، بينما السجلات "الخارجية" (غير أعضاء مؤكدين) تُعامل كغير أعضاء.

ب. بناء الميزات العليا (Meta-Feature Construction)

لكل سجل مستهدف، يستخرج النظام متجه ميزات مكون من 8 أبعاد:

• 7 احتمالات عضوية مستمرة من المقدرات الأساسية.
• قيمة خسارة الإنتروبيا المتقاطعة ($L_{CE}$) من النموذج المستهدف.

ج. المصنف الأعلى (Meta-Classifier) وتكيف النطاق

• النموذج الأعلى (Meta-Model): يتم تدريب مصنف XGBoost لتجميع هذه الإشارات غير المتجانسة.
• استراتيجية التدريب: يتم تدريب النموذج الأعلى على العميل 4، حيث تُعرف تسميات العضوية الحقيقية بالكامل (بسبب فرضية التواطؤ).
• تكييف النطاق (Domain Adaptation): لتطبيق النموذج على العملاء 1 و2 و3 (حيث المسميات الحقيقية غير معروفة)، استخدم المؤلفون استراتيجية التدريب الجزئي (partial-fit)، حيث يتم ضبط نموذج XGBoost باستخدام السجلات "الخارجية" (غير الأعضاء المعروفين) للعميل المستهدف للتكيف مع تغيرات التوزيع.
• قاعدة القرار: يتم تعيين السجل لعميل محدد فقط إذا:
  1. تجاوز احتمال التنبؤ به عتبة خاصة بالعميل ($P_{thr}$، وهي المئين 55).
  2. كان تسجيله أعلى بشكل ملحوظ (بمعامل $\lambda=1.5$) من متوسط التسجيل عبر جميع العملاء الآخرين.

3. المساهمات الرئيسية

1. هجوم خالٍ من النماذج الظلية: تقدم الورقة استراتيجية هجوم تستبدل المتطلب التقليدي للنماذج الظلية (التي يجب تدريبها على بيانات من نفس توزيع الهدف) بـ التعلم الميتا (meta-learning) المدفوع بالسجلات المساعدة. وهذا يجعل الهجوم قابلاً للتطبيق في نماذج التعلم الاتحادي الواقعية حيث تكون البيانات الخاصة غير متاحة.
2. التوصيف التجريبي للخصوصية التفاضلية (DP): توفر الورقة تقييماً صارماً من طرف ثالث لمدى تدهور هجمات التجميع متعددة الإشارات عبر مستويات الخصوصية المعايرة ($\epsilon = \infty, 200, 10$)، مما يكشف أن تسرب المعلومات المتبقي يستمر حتى عند ميزانيات الخصوصية المتوسطة التي تفشل فيها هجمات الإشارة الواحدة.
3. معيار قابل لإعادة الإنتاج: يضع العمل خط أساساً قابلاً لإعادة الإنتاج لأبحاث استدلال العضوية على مجموعة بيانات NIST للجينوم المتاحة للجمهور، باستخدام منصة تقييم مستقلة من طرف ثالث.

4. النتائج الرئيسية

أ. دقة الهجوم

حقق منهج التجميع المقترح أعلى دقة في التحدي لمستويات "بدون DP" و"الخصوصية المنخفضة":

• بدون DP ($\epsilon = \infty$): دقة 53.42% (مقابل 30.14% لأفضل خط أساس تالٍ). هذه النتيجة ذات دلالة إحصائية ($p < 0.01$).
• خصوصية منخفضة ($\epsilon = 200$): دقة 38.36%. والأهم من ذلك، أنها تفوقت على خط الأساس LiRA (أحادية الإشارة) الذي انهار إلى أداء يقارب العشوائية، مما يثبت أن أساليب التجميع يمكنها استخراج إشارات متبقية حتى عند وجود الضجيج.
• خصوصية عالية ($\epsilon = 10$): دقة 24.66%. اقترب أداء النموذج من خط الأساسات الأخرى ومن مستوى التعيين العشوائي (~26%)، مما يشير إلى أن الـ DP القوي يحيد الهجوم بفعالية.

ب. معدل الإيجاب الحقيقي (TPR) عند معدلات الإيجاب الكاذب (FPR) المنخفضة

عند تقييم TPR عند عتبات FPR صارمة ($\le 1\%$) على العميل 4:

• بدون DP: حقق LiRA (أحادي الإشارة) نسبة TPR بلغت 92.31%، بينما حقق التجميع 46.15%.
• خصوصية منخفضة ($\epsilon = 200$): انخفضت نسبة TPR في LiRA إلى 0.00%. بينما حافظ التجميع على 30.77%.
• الأهمية: يوضح هذا أنه بينما يدمر ضجيج DP الإشارات البسيطة القائمة على الخسارة، فإن تنوع التجميع (الذي يجمع بين المقدرات القائمة على الأشجار، والمسافات، والمعلمات) يسمح للمصنف الأعلى باستعادة إشارات عضوية جزئية تفوتها هجمات الإشارة الواحدة.

ج. المقايضة بين الخصوصية والمنفعة (Privacy-Utility Trade-off)

تحاكي الورقة عملية تدريب التعلم الاتحادي لقياس تكلفة الخصوصية:

• $\epsilon = 200$: تحافظ على المنفعة (دقة 83–85%) ولكنها تترك النموذج عرضة لهجمات التجميع متعددة الإشارات.
• $\epsilon = 10$: تقضي على الهجوم بفعالية ولكنها تدمر منفعة النموذج (تنخفض الدقة إلى 16–47%، وتفشل في التقارب).
• الاستنتاج: في هذا الإعداد الجينومي عالي الأبعاد، توجد "فجوة" حيث تحافظ الخصوصية المنخفضة على المنفعة ولكنها تفشل في حماية الخصوصية، بينما تحمي الخصوصية العالية الخصوصية ولكنها تجعل النموذج عديم الفائدة.

5. الأهمية والآثار المترتبة

• محدودية تدقيق DP القياسي: تجادل الدراسة بأن تقييم الدفاعات ضد هجمات الإشارة الواحدة البسيطة (مثل عتبة الخسارة الأساسية) غير كافٍ. إذ يمكن لهجمات التجميع المتقدمة متعددة الإشارات تجاوز حماية DP المتوسطة ($\epsilon=200$).
• مخاطر النشر العملي: بالنسبة للتطبيقات الحساسة مثل علم الجينوم، فإن الاعتماد فقط على DP بميزانية "منخفضة" ($\epsilon=200$) قد يوفر شعوراً زائفاً بالأمان. وعلى العكس من ذلك، فإن الميزانية "العالية" ($\epsilon=10$) المطلوبة للأمان غير عملية حالياً لهذه المهمة تحديداً بسبب انهيار المنفعة.
• الاتجاهات المستقبلية: يشير المؤلفون إلى أن DP وحده قد لا يكون كافياً ضد المهاجمين المتطورين. يجب أن تستكشف الدفاعات المستقبلية آليات تكميلية مثل التجميع الآمن (secure aggregation) أو تشويه المخرجات (output perturbation) لسد الفجوة بين المنفعة والخصوصية دون الاعتماد فقط على حقن الضجيج المفرط.

باخت-مختصر، تثبت الورقة أنه بينما تعد الخصوصية التفاضلية مكوناً ضرورياً للتعلم الاتحائي الآمن، فإن فعاليتها تعتمد بشكل كبير على مدى تطور المهاجم. يمكن لهجمات التجميع متعددة الإشارات استغلال التسرب المتبقي في إعدادات الخصوصية المنخفضة، مما يستوجب إعادة تقييم المقايضة بين الخصوصية والمنفعة في سياق التعلم الاتحادي عالي الأبعاد للجينوم.