Riepilogo Tecnico: Attacchi di Inferenza di Appartenenza Sequenziali

Enunciato del Problema

I modelli di machine learning moderni sono raramente statici; subiscono aggiornamenti continui, fine-tuning e versioning lungo tutto il loro ciclo di vita. Sebbene l'audit della privacy si concentri tipicamente su un singolo snapshot statico del modello, questo approccio non riesce a sfruttare la struttura temporale delle release del modello. I metodi esistenti spesso trattano gli aggiornamenti del modello come eventi isolati o aggregano i punteggi in modo euristico, potenzialmente diluendo il segnale della fuga di privacy man mano che i dati di addestramento si accumulano. Il documento affronta la sfida di progettare attacchi di Inferenza di Appartenenza Sequenziale (SeMI) che sfruttano la sequenza di modelli rilasciati per eseguire audit della privacy più rigorosi. Nello specifico, gli autori indagano se un avversario, avendo accesso a una sequenza di $T$ snapshot del modello e la capacità di controllare il tempo di inserimento $\tau$ di un "canarino" target (un punto dati specifico), possa ottenere un potere discriminante superiore rispetto agli attacchi limitati all'ultimo snapshot del modello.

Metodologia

Quadro Teorico: Il Gioco SeMI

Gli autori formalizzano il problema come un gioco di test di ipotesi tra un "creatore" (che inserisce il target) e un "avversario" (che osserva la sequenza del modello).

• Ipotesi: L'avversario testa $H_0$ (il target $z^*$ non è nei dati di addestramento) contro $H_\tau^1$ (il target è stato inserito specificamente nel batch al passo $\tau$).
• Audit della Privacy: Gli errori dell'attacco SeMI (Tipo-I e Tipo-II) sono mappati su un limite inferiore per il parametro di privacy differenziale $\epsilon$ utilizzando una versione generalizzata del teorema di composizione per la privacy differenziale. Un limite più stretto è ottenuto minimizzando questi errori.

Derivazione dell'Attacco Ottimale: Media Empirica

Il documento deriva inizialmente l'attacco ottimale per il meccanismo della media empirica su dati Gaussiani.

• SeMI (Attacco Ottimale):* Utilizzando il lemma di Neyman-Pearson, gli autori derivano il test del Rapporto di Verosimiglianza (LR) per un tempo di inserimento $\tau$ noto.
• Proprietà di Isolamento: Una scoperta teorica chiave è la proprietà di isolamento. Il rapporto di verosimiglianza per l'intera sequenza $(o_1, \dots, o_T)$ si fattorizza in modo tale che la statistica del test dipenda solo dalle statistiche del batch immediatamente prima e dopo il passo di inserimento ($\hat{\mu}_{\tau-1}$ e $\hat{\mu}_\tau$). I contributi da tutti gli altri passi si annullano.
• Implicazione: A differenza di un attacco "Osservazione Finale", che raggruppa il target tra $nT$ campioni (diluyendo il segnale di un fattore $T$), l'attacco SeMI* opera su un batch recuperato di dimensione $n$. Di conseguenza, il suo potere discriminante rimane costante indipendentemente dal numero totale di passi di addestramento $T$.
• $\tau$ Sconosciuto: Gli autori derivano anche varianti per tempi di inserimento sconosciuti: SeMI$_{max}$ (test del Rapporto di Verosimiglianza Generalizzato) e SeMI$_{Unif}$ (assumendo una prior uniforme su $\tau$).

Estensione a (DP-)SGD

Per applicare queste intuizioni al deep learning pratico, gli autori estendono il quadro ai modelli addestrati con Stochastic Gradient Descent (DP-SGD) (Privacy Differenziale).

• Assunzione: Assumono che i gradienti del batch seguano una distribuzione Gaussiana (giustificata dal Teorema del Limite Centrale).
• SeMI$_{SGD}$ (White-Box): Sotto questa assunzione, la proprietà di isolamento vale per gli aggiornamenti dei parametri. La statistica del test ottimale è un prodotto interno ponderato con la distanza di Mahalanobis tra l'aggiornamento scalato dei parametri ($\theta_\tau - \theta_{\tau-1}$) e la deviazione del gradiente del target dalla media della popolazione.
• Attacchi Black-Box: Quando sono accessibili solo i valori di perdita, gli autori propongono le statistiche Loss Diff e Loss Ratio. Queste confrontano la perdita del target sul modello prima e dopo il passo di inserimento ($\ell(\theta_{\tau-1}; z^*)$ vs. $\ell(\theta_\tau; z^*)$), restringendo efficacemente le euristiche precedenti (come Back-Front o Delta) alla specifica transizione in cui il segnale è concentrato.

Contributi Chiave

1. Attacco SeMI Ottimale (SeMI):* La derivazione dell'attacco di inferenza di appartenenza teoricamente ottimale per osservazioni sequenziali, parametrizzato dal tempo di inserimento. Il documento dimostra che questo attacco raggiunge una proprietà di isolamento, rendendo il suo potere indipendente dal numero totale di passi di addestramento $T$, a differenza degli attacchi statici.
2. Attacchi SeMI White-Box e Black-Box per (DP-)SGD: L'estensione del quadro LR ottimale all'addestramento basato su gradienti. Questo include SeMI$_{SGD}$ (utilizzando i gradienti) e surrogati pratici basati sulla perdita (Loss Diff, Loss Ratio) che recuperano e affinano le euristiche esistenti concentrandosi sulla specifica transizione di inserimento.
3. Protocollo di Audit della Privacy Sequenziale: Una formalizzazione dell'audit della privacy come gioco sequenziale. Gli autori dimostrano come convertire i tassi di errore degli attacchi SeMI in limiti inferiori stretti su $\epsilon$.
4. Validazione Empirica: Esperimenti estesi su dati sintetici e dataset reali (Fashion-MNIST, CIFAR-10, Purchase-100) addestrati con DP-SGD.

Risultati

• Superiorità rispetto alle Baseline Statiche: Su tutti i dataset e modelli, gli attacchi SeMI raggiungono costantemente un potere discriminante superiore (TPR a FPR fissato) e producono limiti inferiori di privacy più stretti ($\hat{\epsilon}$) rispetto alle baseline indipendenti dagli snapshot come LiRA, Back-Front e attacchi Delta.
• Impatto della Lunghezza della Sequenza ($T$): Nel setting della media empirica, il potere di SeMI* rimane costante all'aumentare di $T$, mentre il potere dell'attacco "Osservazione Finale" degrada significativamente. Negli esperimenti DP-SGD, osservare l'intera sequenza di snapshot produce limiti $\epsilon$ più stretti rispetto all'osservazione del solo modello finale.
• Ottimalità dei Metodi basati su LR: Il SeMI$_{SGD}$ basato sul rapporto di verosimiglianza supera i metodi euristici basati sulla perdita (Delta, Back-Front), specialmente in regimi a bassa privacy (basso $\epsilon$) e in regimi a basso tasso di falsi positivi, che sono critici per un audit rigoroso.
• Ruolo del Tempo di Inserimento ($\tau$):
  • Conoscere il tempo di inserimento $\tau$ produce audit significativamente più stretti rispetto al trattare $\tau$ come sconosciuto (confronto tra SeMI$_{SGD}$ e SeMI$_{SGD}^{max}$).
  • La strettezza dell'audit dipende fortemente da $\tau$. Negli scenari di fine-tuning DP-SGD, i tempi di inserimento successivi spesso producono limiti più stretti, suggerendo che il segnale è più forte una volta che il modello si è allontanato dall'inizializzazione.

Significato e Affermazioni

Il documento afferma che scrutinare la sequenza di modelli rilasciati produce audit della privacy più stretti rispetto all'analisi di un singolo snapshot finale. Sfruttando la proprietà di isolamento, gli attacchi SeMI impediscono che il segnale di privacy venga diluito man mano che i dati di addestramento si accumulano.

Gli autori sottolineano che il loro approccio fornisce una progettazione fondata su principi e guidata dalla teoria per gli attacchi di inferenza di appartenenza, andando oltre l'aggregazione euristica dei punteggi. Sostengono che la capacità di controllare il tempo di inserimento $\tau$ agisce come una nuova leva azionabile per gli auditor, permettendo loro di selezionare momenti ottimali per l'inserimento al fine di massimizzare la strettezza dell'audit. Il lavoro colma il divario tra le garanzie teoriche di privacy differenziale e le stime empiriche della privacy, mostrando che l'accesso sequenziale può migliorare significativamente la precisione degli audit della privacy per i moderni sistemi ML in evoluzione.

Il documento rimane modesto riguardo alle sue assunzioni, notando che l'ottimalità teorica si basa su approssimazioni Gaussiane dei gradienti e distribuzioni note, sebbene i risultati empirici su DP-SGD suggeriscano che la proprietà di isolamento vale robustamente anche in contesti complessi di deep learning. Viene suggerito un lavoro futuro per adattare le tecniche di audit a singola esecuzione al setting sequenziale e per studiare ulteriormente l'impatto degli spostamenti di distribuzione tra le release del modello.