Privacy Evaluation of Generative Models for Trajectory Generation

ملخص تقني: تقييم الخصوصية للنماذج التوليدية لإنشاء المسارات

بيان المشكلة
تعد بيانات المسارات بالغة الأهمية لتطبيقات الذكاء الحضري، ولكنها تشكل مخاطر جسيمة على الخصوصية، حيث يمكن لعدد قليل من النقاط الزمانية والمكانية أن يحدد هوية الأفراد بشكل فريد. وبينما تُستخدم النماذج التوليدية العميقة (المشفرات التلقائية التباينية VAEs، وشبكات الخصومة التوليدية GANs، ونماذج الانتشار Diffusion Models) بشكل متزايد لتخليق بيانات المسارات لتجنب مشاركة السجلات الحقيقية، فإن الافتراض بأن هذه النماذج تحافظ بطبيعتها على الخصوصية هو أمر غير مثبت. فمن المعروف أن النماذج التوليدية تحفظ بيانات التدريب، مما قد يسمح للمهاجمين بإعادة بناء السجلات الأصلية أو استنتاج معلومات حساسة. وفي الوقت الحالي، توجد فجوة كبيرة في التقييم التجريبي للخصوصية ضمن أدبيات إنشاء المسارات؛ حيث تركز العديد من الدراسات فقط على منفعة البيانات وجودة الإنشاء، وغالباً ما تهمل التقييمات الصارمة للخصوصية. علاوة على ذلك، فإن الضمانات الرسمية للخصوصية مثل الخصوصية التفاضلية (DP) لها قيود، بما في ذلك المقايضات مع منفعة البيانات، والعيوب المحتملة في إثباتات التنفيذ، وعدم القدرة على الدفاع ضد جميع أنواع الهجمات (مثل استنتاج الخصائص).

المنهجية
يقترح المؤلفون تحقيقاً منهجياً في خصوصية إنشاء المسارات الاصطناعية من خلال ثلاث خطوات رئيسية:

1. مراجعة الأدبيات والتصنيف: يصنف البحث أولاً طرق تقييم الخصوصية التجريبية القائمة والقابلة للتطبيق على المسارات، بما في ذلك ربط مستخدم المسار (TUL)، واحتمالية هجوم الربط (LA)، وهجمات إعادة البناء (RAoPT، iTracker)، واحتمالية هجوم التتبع (TA)، والمعلومات المتبادلة (MI)، وهجمات استنتاج العضوية (MIA).
2. تحليل الفجوة: يستعرض المؤلفون نماذج توليدية ممثلة (VAEs وGANs وDiffusion Models) لرسم خريطة لاستخدامها لطرق التقييم هذه. ويجدون أن دراسات VAE ونماذج الانتشار تفتقر عموماً إلى تقييم الخصوصية، بينما تتضمن مجموعة فرعية فقط من دراسات GAN أي شكل من أشكال التقييم. والأهم من ذلك، لم يسبق لأي دراسة تمت مراجعتها أن طبقت هجمات استنتاج العضوية (MIAs) على نماذج المسارات التوليدية.
3. التقييم التجريبي عبر هجمات استنتاج العضوية (MIAs): لمعالجة هذه الفجوة، يقوم المؤلفون بتنفيذ هجمات استنتاج العضوية ضد أربعة نماذج ممثلة:
   • القائمة على GAN: وهي LSTM-TrajGAN وMoveSim.
   • القائمة على الانتشار (Diffusion): وهي DiffTraj وDiff-RNTraj.
   • صيغ الهجوم:
     • بالنسبة لـ GANs، يتم استخدام هجوم استنتاج عضوية قائم على المميز (Discriminator-based MIA)، وذلك باستغلال درجات الثقة الخاصة بالمميز للتمييز بين المسارات التدريبية (العضو) وغير التدريبية (غير العضو).
     • بالنسبة لنماذج الانتشار، يتم استخدام هجوم استنتاج عضوية قائم على الخسارة (Loss-based MIA)، عبر حساب متوسط متوسط الخطأ التربيعي (MSE) لتنبؤ الضوضاء عبر عدة خطوات زمنية. تشير الخسارة المنخفضة إلى احتمالية أعلى للعضوية.
   • مجموعات البيانات: تستخدم التجارب مجموعات بيانات Foursquare NYC وGeoLife وDiDi Chengdu لبيانات مسارات سيارات الأجرة. ويتم إجراء التقييم في بيئة "الصندوق الأبيض" (white-box) حيث يمتلك المهاجم وصولاً كاملاً إلى أوزان النموذج وبنيته.

المساهمات الرئيسية

1. تحديد فجوة التقييم: يحدد البحث ويصنف طرق التقييم التجريبية للخصوصية لإنشاء المسارات، ويوضح وجود نقص كبير في مثل هذه التقييمات في الأدبيات الحالية، لا سيها فيما يتعلق بهجمات استنتاج العضوية (MIAs).
2. الرسم الخرائطي المنهجي: يرسم المؤلفون خريطة منهجية للنماذج التوليدية الممثلة (VAEs وGANs وDiffusion Models) مع طرق التقييم الموجودة، مما يسلط الضوء على أن الممارسات الحالية غالباً ما تفشل في تقييم مخاطر الخصوصية بشكل شامل.
3. إثبات الجدوى: يقدم هذا العمل أول تنفيذ لهجمات استنتاج العضوية ضد نماذج المسارات التوليدية، مما يثبت أن هذه التقييمات التجريبية عملية وضرورية.

النتائج
أسفر التقييم التجريبي عن نتائج مختلطة عبر النماذج الأربعة المختبرة، مما يثبت أن مخاطر الخصوصية تعتمد على النموذج:

• MoveSim (GAN): أظهرت قيمة AUC-ROC بلغت 0.7002، مما يشير إلى دليل واضح على تسرب العضوية. وهذا يعني أن النموذج حفظ مسارات تدريبية محددة لدرجة يمكن للمهاجم استغلالها.
• LSTM-TrajGAN (GAN)، وDiffTraj (DM)، وDiff-RNTraj (DM): أظهرت قيم AUC-ROC قريبة من 0.5 (تتراوح بين 0.4949 و0.5029)، وهو ما يتوافق مع التخمين العشوائي. وتحت صيغ الهجوم المحددة المستخدمة، لم تظهر هذه النماذج تسرب عضوية قابلاً للاستغلال.

الأهمية والادعاءات
يدعي البحث أن الطبيعة التوليدية لهذه النماذج لا تلغي مخاطر الخصوصية. ويؤكد نجاح الهجوم على MoveSim أن ثغرات الخصوصية ملموسة ولا يمكن افتراض غيابها لمجرد أن البيانات اصطناعية. ويرى المؤلفون أن:

• الضمانات الرسمية (مثل DP) غير كافية بمفردها بسبب عيوب التنفيذ، واختيارات "وحدة الخصوصية" (UoP) غير المناسبة، ومحدودية النطاق.
• التقييم التجريبي ضروري كمكمل للضمانات الرسمية، أو كبديل في حال غياب هذه الضمانات.
• تؤكد النتائج الحاجة إلى تقييم تجريبي منهجي وشامل عبر النطاق الكامل لنماذج المسارات التوليدية لضمان سلامة نشر البيانات الاصطناعية.

يختتم المؤلفون بتواضع بأن عملهم، رغم أنه يثبت جدوى هجمات استنتاج العضوية (MIAs)، إلا أن صيغ وفئات الهجمات الأخرى (مثل هجمات إعادة البناء أو هجمات استنتاج الخصائص) قد تكشف عن ثغرات إضافية، مما يستوجب مزيداً من البحث الواسع.