Resumen Técnico: FERMI – Explotación de Relaciones para Inferencia de Membresía contra Modelos de Difusión Tabulares

1. Enunciado del Problema

Los modelos de difusión se han convertido en el paradigma líder para la síntesis de datos tabulares, particularmente en dominios de alto riesgo como la atención médica y las finanzas, donde las regulaciones de privacidad (por ejemplo, GDPR, HIPAA) restringen la liberación directa de datos. Si bien los Ataques de Inferencia de Membresía (AIM) son la herramienta estándar para evaluar los riesgos de privacidad de tales modelos generativos, los ataques existentes asumen predominantemente un entorno de tabla única.

Esta suposición pasa por alto la realidad de que los datos tabulares sensibles residen típicamente en bases de datos multi-relacionales, donde la información de un individuo abarca tablas interconectadas (por ejemplo, pacientes vinculados a recetas, resultados de laboratorio y datos demográficos). Las evaluaciones actuales que ignoran esta estructura relacional corren el riesgo de subestimar significativamente la exposición a la privacidad.

Surge un desafío crítico en modelos de amenazas realistas: un adversario puede poseer datos auxiliares ricos que contienen estructuras relacionales completas (por ejemplo, a través de filtraciones anteriores o liberaciones públicas) durante la fase de entrenamiento del ataque. Sin embargo, en el momento de la inferencia de membresía, el adversario a menudo observa solo una fila candidata de la tabla objetivo, sin acceso a los registros de ese individuo específico en tablas padre o hija relacionadas. El artículo aborda la brecha sobre cómo aprovechar la información auxiliar relacional disponible durante el entrenamiento para montar un ataque más fuerte, incluso cuando la inferencia se restringe a atributos de tabla única.

2. Metodología: Marco FERMI

Los autores proponen FERMI (Mapeo de Características para Inferencia de Membresía Relacional), un marco diseñado para destilar señales de membresía relacional en un espacio de características de tabla única. El enfoque sigue el paradigma estándar de modelo sombra y opera en tres etapas:

A. Extracción de Características Emparejadas

El adversario entrena $S$ modelos de difusión sombra en subconjuntos disjuntos de un conjunto de datos auxiliar ($D_{aux}$). Para cada registro sombra, se extraen dos flujos de características:

1. Flujo de Tabla Única: Las características $\Phi_{single}(x)$ se extraen de un modelo sombra entrenado únicamente sobre la tabla objetivo $T_j$.
2. Flujo Relacional: Las características $\Phi_{multi}(\tilde{x})$ se extraen de un modelo sombra entrenado sobre una representación fusionada donde el registro objetivo $x$ se aumenta con su contexto relacional (por ejemplo, unido con tablas padre $T_p$).

La extracción de características utiliza un enfoque de huella de pérdida, calculando la pérdida de eliminación de ruido $\ell_{\theta}(x_0, t, \epsilon)$ a lo largo de múltiples pasos de tiempo y realizaciones de ruido. Empíricamente, los miembros del entrenamiento exhiben pérdidas de eliminación de ruido sistemáticamente más bajas que los no miembros.

B. Mapeo de Características

La innovación central es aprender una función de mapeo $f_{map}$ que proyecta las características de tabla única hacia sus contrapartes relacionales. Esto se formula como un problema de adaptación de dominio con dos objetivos:

1. Reconstrucción Punto a Punto: Minimizar la distancia euclidiana entre las características mapeadas y las características relacionales verdaderas: $\|f_{map}(\Phi_{single}(x)) - \Phi_{multi}(\tilde{x})\|^2_2$.
2. Alineación Distribucional: Utilizar la pérdida CORAL (Alineación de Correlación) para igualar las estructuras de covarianza de los espacios de características de tablas múltiples mapeados y verdaderos, asegurando que la geometría relacional se preserve.

C. Predicción de Membresía

Un clasificador de ataque $f_{att}$ se entrena sobre las características mapeadas para predecir las etiquetas de membresía. El marco permite el ajuste fino conjunto tanto del mapeador como del clasificador, donde los gradientes del objetivo de clasificación refinan el mapeador para extraer características más informativas para la inferencia de membresía.

Modelo de Amenaza:

• Fase de Entrenamiento: El adversario tiene acceso a datos auxiliares con estructura relacional completa (Información Lateral de Contexto Padre o Información Lateral Relacional Completa).
• Fase de Inferencia: El adversario está restringido únicamente a la tabla objetivo (acceso a una sola fila) y al modelo objetivo (o sus salidas sintéticas en configuraciones de caja negra). El mapeador se aplica a las características de tabla única para recuperar la señal relacional sin necesidad de las tablas relacionadas en el momento de la inferencia.

3. Contribuciones Clave

1. Formalización de AIM Relacionales: El artículo demuestra que el contexto relacional produce señales de membresía sustancialmente más fuertes en modelos de difusión tabulares en comparación con entornos de tabla única y formaliza el problema de inferencia de membresía en configuraciones multi-relacionales.
2. Marco FERMI: Introduce un marco de mapeo de características que destila con éxito señales de membresía relacional en el espacio de características de tabla única. Esto permite ataques más fuertes sin requerir acceso a datos relacionales en el momento de la inferencia, resolviendo la asimetría entre entrenamiento e inferencia.
3. Evaluación Exhaustiva: El marco se evalúa en tres arquitecturas de difusión (TabDDPM, TabSyn, TabDiff) y tres conjuntos de datos relacionales del mundo real (California, Instacart, Berka) bajo configuraciones de caja blanca y caja negra.

4. Resultados Experimentales

La evaluación cubre tres conjuntos de datos y tres arquitecturas de modelos, comparando tres configuraciones: Tabla Única Directa (línea base), Tabla Fusionada Directa (límite superior con acceso relacional completo) y FERMI.

• Ganancias de Rendimiento: FERMI supera consistentemente a las líneas base de tabla única.
  • En la configuración de caja blanca, FERMI mejoró la Tasa de Verdaderos Positivos a 0.1 de Tasa de Falsos Positivos (TPR@0.1FPR) en hasta un 53% sobre la línea base de tabla única para TabDDPM y TabDiff.
  • En la configuración de caja negra (utilizando modelos sustitutos entrenados con datos sintéticos), FERMI mejoró TPR@0.1FPR en un 22% sobre la línea base.
• Sensibilidad del Modelo:
  • TabDDPM y TabDiff (modelos en espacio de datos) mostraron una alta susceptibilidad a ataques relacionales. El ataque "Fusionado" (acceso relacional completo) logró un rendimiento cercano al techo (por ejemplo, TPR@0.01 de 0.994 en Instacart para TabDDPM), destacando riesgos de privacidad severos cuando se involucran datos relacionales.
  • TabSyn (modelo en espacio latente) demostró ser notablemente resistente. Incluso con acceso relacional completo, su AUC permaneció cerca de los niveles de adivinanza aleatoria. Esto sugiere que el cuello de botella del espacio latente actúa como una protección estructural de privacidad, y FERMI no pudo destilar señales útiles porque la propia señal relacional era débil para esta arquitectura.
• Extensión de Caja Negra: El artículo confirma que la señal relacional persiste incluso cuando el adversario solo observa datos sintéticos. FERMI recuperó aproximadamente el 55% de la brecha de AUC entre la línea base de tabla única y el límite superior de tabla fusionada en la configuración de caja negra.

5. Significado y Afirmaciones

El artículo afirma que evaluar modelos de difusión tabulares en configuraciones de tabla única subestima significativamente el verdadero riesgo de privacidad. La presencia de estructura relacional en los datos de entrenamiento crea rastros de membresía más fuertes que pueden ser explotados por adversarios con conocimiento relacional auxiliar.

Los hallazgos clave incluyen:

• Contexto Relacional como Vulnerabilidad: La estructura relacional codifica señales de condicionamiento más ricas que los modelos de difusión internalizan, dejando huellas dactilares más fuertes en la pérdida de eliminación de ruido.
• Dependencia Arquitectónica: Los riesgos de privacidad dependen en gran medida de la arquitectura del modelo. Los modelos que operan directamente en el espacio de datos (TabDDPM, TabDiff) son significativamente más vulnerables que aquellos que utilizan codificación latente (TabSyn).
• Implicaciones Prácticas: El marco FERMI demuestra que un adversario no necesita acceso directo a tablas relacionadas en el momento de la inferencia para montar un ataque sofisticado; solo necesita haber aprendido el mapeo relacional durante la fase de entrenamiento.

Los autores concluyen que las decisiones arquitectónicas tomadas aguas arriba de los mecanismos de privacidad (por ejemplo, elegir difusión en espacio latente vs. espacio de datos) merecen un escrutinio más cercano en implementaciones sensibles a la privacidad, ya que la codificación latente parece ser el determinante principal de la resistencia a la inferencia de membresía en configuraciones relacionales.