तकनीकी सारांश: अनुक्रमिक सदस्यता अनुमान हमले (Sequential Membership Inference Attacks)

समस्या विवरण

आधुनिक मशीन लर्निंग मॉडल शायद ही कभी स्थिर होते हैं; वे अपने जीवनचक्र के दौरान निरंतर अपडेट, फाइन-ट्यूनिंग और वर्जनिंग से गुजरते हैं। जबकि गोपनीयता ऑडिटिंग (privacy auditing) आमतौर पर एक एकल स्थिर मॉडल स्नैपशॉट पर ध्यान केंद्रित करती है, यह दृष्टिकोण मॉडल रिलीज़ की अस्थायी संरचना (temporal structure) का लाभ उठाने में विफल रहता है। मौजूदा तरीके मॉडल अपडेट को अलग-थलग घटनाओं के रूप में देखते हैं या स्कोर को ह्यूरिस्टिक रूप से एकत्रित करते हैं, जिससे प्रशिक्षण डेटा के संचय होने पर गोपनीयता रिसाव (privacy leakage) का संकेत कमजोर हो सकता है। यह शोध पत्र अनुक्रमिक सदस्यता अनुमान (SeMI) हमलों को डिजाइन करने की चुनौती को संबोधित करता है जो अधिक सटीक गोपनीयता ऑडिट करने के लिए जारी किए गए मॉडलों के अनुक्रम का लाभ उठाते हैं। विशेष रूप से, लेखक जांच करते हैं कि क्या एक हमलावर, $T$ मॉडल स्नैपशॉट के अनुक्रम और एक लक्षित "कैनरी" (एक विशिष्ट डेटा बिंदु) के सम्मिलन समय $\tau$ को नियंत्रित करने की क्षमता के साथ, अंतिम मॉडल स्नैपशॉट तक सीमित हमलों की तुलना में उच्च विभेदन शक्ति (distinguishing power) प्राप्त कर सकता है।

कार्यप्रणाली

सैद्धांतिक ढांचा: द SeMI गेम

लेखक इस समस्या को एक "क्रैफ्टर" (जो लक्ष्य को सम्मिलित करता है) और एक "हमलावर" (जो मॉडल अनुक्रम का अवलोकन करता है) के बीच एक परिकल्पना परीक्षण खेल (hypothesis testing game) के रूपore औपचारिक रूप देते हैं।

• परिकल्पनाएँ (Hypotheses): हमलावर $H_0$ (लक्ष्य $z^*$ प्रशिक्षण डेटा में नहीं है) बनाम $H_\tau^1$ (लक्ष्य विशेष रूप से चरण $\tau$ पर बैच में सम्मिलित किया गया था) का परीक्षण करता है।
• गोपनीयता ऑडिटिंग: SeMI हमले की त्रुटियों (Type-I और Type-II) को डिफरेंशियल प्राइवेसी (differential privacy) के कंपोजिशन थ्योरम के एक सामान्यीकृत संस्करण का उपयोग करके $\epsilon$ पैरामीटर के निचले स्तर (lower bound) पर मैप किया जाता है। इन त्रुटियों को न्यूनतम करके एक कड़ा (tighter) बाउंड प्राप्त किया जाता है।

इष्टतम हमला व्युत्पत्ति: एम्पिरिकल मीन (Empirical Mean)

यह शोध पत्र पहले गॉसियन डेटा पर एम्पिरिकल मीन मैकेनिज्म के लिए इष्टतम हमले को व्युत्पन्न करता है।

• SeMI* (इष्टतम हमला): नेमन-पियर्सन लेम्मा (Neyman-Pearson lemma) का उपयोग करते हुए, लेखक ज्ञात सम्मिलन समय $\tau$ के लिए लाइकलीहुड रेशियो (LR) टेस्ट को व्युत्पन्न करते हैं।
• अलगाव गुण (Isolation Property): एक प्रमुख सैद्धांतिक निष्कर्ष अलगाव गुण है। पूरे अनुक्रम $(o_1, \dots, o_T)$ के लिए लाइकलीहुड रेशियो इस प्रकार विभाजित होता है कि टेस्ट स्टैटिस्टिक केवल सम्मिलन चरण से ठीक पहले और बाद के बैच सांख्यिकी ($\hat{\mu}_{\tau-1}$ और $\hat{\mu}_\tau$) पर निर्भर करता है। अन्य सभी चरणों का योगदान रद्द हो जाता है।
• निहितार्थ: एक "फाइनल ऑब्जर्वेशन" हमले के विपरीत, जो लक्ष्य को $nT$नमूनों के बीच पूल करता है (जिससे सिग्नल$T$के कारक से कम/डाइल्यूट हो जाता है), SeMI\* हमला एक रिकवर किए गए बैच के आकार$n$पर कार्य करता है। फलस्वरूप, इसकी विभेदन शक्ति कुल प्रशिक्षण चरणों$T$ की संख्या के बावजूद स्थिर रहती है।
• अज्ञात $\tau$: लेखक अज्ञात सम्मिलियन समय के लिए वेरिएंट भी व्युत्पन्न करते हैं: SeMI$_{max}$ (सामान्यीकृत लाइकलीहुड रेशियो टेस्ट) और SeMI$_{Unif}$ ( $\tau$ पर यूनिफॉर्म प्रायर मानते हुए)।

(DP-)SGD के लिए विस्तार

इन अंतर्दृष्टि को व्यावहारिक डीप लर्निंग में लागू करने के लिए, लेखक इसे (डिफरेंशियल प्राइवेटी) स्टोकेस्टिक ग्रेडिएंट डिसेंट (DP-SGD) के साथ प्रशिक्षित मॉडलों तक विस्तारित करते हैं।

• धारणा: वे मानते हैं कि बैच ग्रेडिएंट्स एक गॉसियन वितरण का पालन करते हैं (जो सेंट्रल लिमिट थ्योरम द्वारा न्यायसंगत है)।
• SeMI$_{SGD}$ (व्हाइट-बॉक्स): इस धारणा के तहत, अलगाव गुण पैरामीटर अपडेट के लिए लागू होता है। इष्टतम टेस्ट स्टैटिस्टिक, स्केल्ड पैरामीटर अपडेट ($\theta_\tau - \theta_{\tau-1}$) और जनसंख्या माध्य से लक्ष्य के ग्रेडिएंट के विचलन के बीच एक महालानोबिस-वेटेड (Mahalanobis-weighted) आंतरिक उत्पाद (inner product) है।
• ब्लैक-बॉक्स हमले: जब केवल लॉस वैल्यू उपलब्ध होती है, तो लेखक Loss Diff और Loss Ratio सांख्यिकी प्रस्तावित करते हैं। ये सम्मिलन चरण से पहले और बाद के मॉडल पर लक्ष्य के लॉस ($\ell(\theta_{\tau-1}; z^*)$ बनाम $\ell(\theta_\tau; z^*)$) की तुलना करते हैं, जो प्रभावी रूप से पिछले ह्यूरिस्टिक्स (जैसे Back-Front या Delta) को उस विशिष्ट संक्रमण (transition) तक सीमित करते हैं जहाँ सिग्नल केंद्रित होता है।

मुख्य योगदान

1. इष्टतम SeMI हमला (SeMI*): क्रमबद्ध अवलोकनों के लिए सैद्धांतिक रूप से इष्टतम सदस्यता अनुमान हमले की व्युत्पत्ति, जो सम्मिलन समय द्वारा पैरामीटराइज्ड है। शोध पत्र सिद्ध करता है कि यह हमला एक अलगाव गुण प्राप्त करता है, जिससे इसकी शक्ति कुल प्रशिक्षण चरणों $T$ से स्वतंत्र हो जाती है, जो स्थिर हमलों के विपरीत है।
2. (DP-)SGD के लिए व्हाइट-बॉक्स और ब्लैक-बॉक्स SeMI हमले: ग्रेडिएंट-आधारित प्रशिक्षण के लिए इष्टतम LR फ्रेमवर्क का विस्तार। इसमें SeMI$_{SGD}$ (ग्रेडिएंट का उपयोग करके) और व्यावहारिक लॉस-आधारित सरोगेट्स (Loss Diff, Loss Ratio) शामिल हैं जो विशिष्ट सम्मिलन ट्रांजिशन पर ध्यान केंद्रित करके मौजूदा ह्यूरिस्टिक्स को रिकवर और रिफाइन करते हैं।
3. अनुक्रमिक गोपनीयता ऑडिटिंग प्रोटोकॉल: एक अनुक्रमिक खेल के रूप में गोपनीयता ऑडिटिंग का औपचारिकीकरण। लेखक यह प्रदर्शित करते हैं कि कैसे SeML हमलों की त्रुटि दरों को $\epsilon$ के टाइट लोअर बाउंड में बदला जा सकता है।
4. अनुभवजन्य सत्यापन (Empirical Validation): सिंथेटिक डेटा और वास्तविक दुनिया के डेटासेट (Fashion-MNIST, CIFAR-10, Purchase-100) पर व्यापक प्रयोग जो DP-SGD के साथ प्रशिक्षित हैं।

परिणाम

• स्थिर बेसलाइन पर श्रेष्ठता: सभी डेटासेट और मॉडलों में, SeMI हमले लगातार स्थिर (static) बेसलाइन जैसे LiRA, Back-Front, और Delta हमलों की तुलना में उच्च विभेदन शक्ति (निश्चित FPR पर TPR) प्राप्त करते हैं और अधिक सटीक गोपनीयता लोअर बाउंड ($\hat{\epsilon}$) प्रदान करते हैं।
• अनुक्रम की लंबाई ($T$) का प्रभाव: एम्पिरिकल मीन सेटिंग में, $T$ बढ़ने पर SeMI* की शक्ति स्थिर रहती है, जबकि "फाइनल ऑब्जर्वेशन" हमले की शक्ति काफी घट जाती है। DP-SGD प्रयोगों में, केवल अंतिम मॉडल को देखने की तुलना में पूरे स्नैपशॉट अनुक्रम को देखना अधिक सटीक $\epsilon$ बाउंड प्रदान करता है।
• LR-आधारित विधियों की इष्टतमता: लाइकलीहुड-रेशियो आधारित SeMI$_{SGD}$, ह्यूरिस्टिक लॉस-आधारित विधियों (Delta, Back-Front) से बेहतर प्रदर्शन करता है, विशेष रूप से कम-प्राइवेसी शासन (low $\epsilon$) और कम फॉल्स-पॉजिटिव रेट शासन में, जो सटीक ऑडिटिंग के लिए महत्वपूर्ण हैं।
• सम्मिलन समय ($\tau$) की भूमिका:
  • $\tau$ को ज्ञात मानने से $\tau$ को अज्ञात मानने (SeMI$_{SGD}$ बनाम SeMI$_{SGD}^{max}$ की तुलना में) की तुलना में काफी अधिक सटीक ऑडिट प्राप्त होता है।
  • ऑडिट की सटीकता $\tau$ पर मजबूती से निर्भर करती है। DP-SGD फाइन-ट्यूनिंग परिदृश्यों में, बाद के सम्मिलन समय अक्सर अधिक सटीक बाउंड देते हैं, जो यह सुझाव देता है कि सिग्नल तब मजबूत होता है जब मॉडल इनिशियलाइजेशन से दूर हो जाता है।

महत्व और दावे

शोध पत्र का दावा है कि जारी किए गए मॉडलों के अनुक्रम की जांच करना, एक एकल अंतिम स्नैपशॉट का विश्लेषण करने की तुलना में अधिक सटीक गोपनीयता ऑडिट प्रदान करता है। अलगाव गुण का लाभ उठाकर, SeMI हमले गोपनीयता सिग्नल को प्रशिक्षण डेटा के संचय के साथ कमजोर (dilute) होने से रोकते हैं।

लेखक इस बात पर जोर देते हैं कि उनका दृष्टिकोण एक सिद्धांत-संचालित, सिद्धांत-आधारित डिज़ाइन प्रदान करता है, जो केवल ह्यूरिस्टिक स्कोर एकत्रीकरण से आगे जाता है। उनका तर्क है कि सम्मिलन समय $\tau$ को नियंत्रित करने की क्षमता ऑडिटरों के लिए एक नया क्रियाशील लीवर (actionable lever) के रूप में कार्य करती है, जिससे उन्हें ऑडिट की सटीकता को अधिकतम करने के लिए सम्मिलन के इष्टतम क्षणों को चुनने की अनुमति मिलती है। यह कार्य डिफरेंशियल प्राइवेसी गारंटी और अनुभवजन्य गोपनीयता अनुमानों के बीच के अंतर को पाटता है, यह दिखाते हुए कि अनुक्रमिक पहुंच आधुनिक, विकसित होते ML सिस्टम के लिए गोपनीयता ऑडिट की सटीकता में सुधार कर सकती है।

शोध पत्र अपनी मान्यताओं के संबंध में विनम्र बना हुआ है, यह नोट करते हुए कि इसकी सैद्धांतिक इष्टतमता गॉसियन ग्रेडिएंट एप्रोक्सिमेशन और ज्ञात वितरणों पर निर्भर करती है, हालांकि DP-SGD पर अनुभवजन्य परिणाम बताते हैं कि अलगाव गुण जटिल डीप लर्निंग सेटिंग्स में भी मजबूती से काम करता है। भविष्य के कार्य के रूप में सिंगल-रन ऑडिटिंग तकनीकों को अनुक्रमिक सेटिंग में अनुकूलित करने और मॉडल रिलीज के माध्यम से वितरण बदलाव (distribution shifts) के प्रभाव का और अधिक अध्ययन करने का सुझाव दिया गया है।