DIME: Query-Efficient Framework for Membership Inference on Diffusion Models

Nel panorama moderno dell'intelligenza artificiale, una specifica classe di sistemi noti come modelli di diffusione è diventata il motore dietro molte delle immagini più sorprendenti che vediamo online. Questi sistemi imparano a creare nuove immagini partendo da uno statico casuale e rimuovendo gradualmente il rumore finché non emerge un'immagine nitida. Per farlo, vengono addestrati su collezioni massicce di fotografie esistenti, apprendendo i pattern statistici che collegano un'immagine all'altra. Sebbene questi modelli siano celebrati per la loro capacità di generare arte, una silenziosa preoccupazione per la privacy è emersa insieme al loro successo. Poiché l'elenco specifico di foto utilizzate per addestrare un modello è raramente reso pubblico, è difficile sapere se la foto privata di un particolare individuo sia stata inclusa in quel set di addestramento. Ciò è importante per diverse ragioni: confermare che i dati medici o biometrici di una persona siano stati utilizzati potrebbe essere di per sé una violazione della privacy, e secondo le attuali leggi sulla protezione dei dati, gli individui hanno il diritto di richiedere che i loro dati vengano rimossi, eppure spesso non c'è modo di verificare se un modello li abbia effettivamente dimenticati. Inoltre, se un modello ha memorizzato un'immagine specifica protetta da copyright invece di apprendere solo uno stile generale, ciò solleva questioni legali su chi possiede le nuove immagini che crea.

Per anni, i ricercatori hanno cercato di costruire strumenti per rispondere alla domanda se una specifica immagine facesse parte dei dati di addestramento di un modello. Questi tentativi, noti come attacchi di inferenza dell'appartenenza (membership inference attacks), si sono ampiamente basati sull'intuizione. I ricercatori ipotizzavano che se un modello avesse già visto un'immagine, avrebbe potuto reagire ad essa in modo leggermente diverso rispetto a un'immagine che non aveva mai visto. Testavano vari segnali, come quanto errore commetteva il modello nel cercare di pulire una versione rumorosa dell'immagine. Tuttavia, questi metodi erano spesso incerti, richiedevano un gran numero di domande da porre al modello e mancavano di una solida base teorica che spiegasse perché funzionassero. Erano come cercare un ago in un pagliaio indovinando quale parte della paglia potesse essere appuntita, piuttosto che comprendere la forma dell'ago stesso.

Un team di ricercatori dell'Università dell'Illinois a Urbana-Champaign ha ora affrontato questo problema da un angolo completamente diverso. Invece di indovinare quali segnali potessero essere utili, sono partiti derivando matematicamente esattamente quale sarebbe stato il miglior segnale possibile. Si sono posti una domanda fondamentale: se un modello di diffusione è stato addestrato su un insieme finito di immagini, qual è la funzione teorica perfetta che dovrebbe usare per rimuovere il rumore da una qualsiasi immagine data? Risolvendo questo problema matematicamente, hanno scoperto che il comportamento del modello è governato da un tipo specifico di mediazione. Quando il modello osserva un'immagine rumorosa, essenzialmente chiede: "Quali delle mie immagini di addestramento avrebbero potuto produrre questo?" e poi fonde le risposte, pesandole in base a quanto ogni immagine di addestramento corrisponde al rumore attuale.

Questa intuizione teorica ha rivelato che il comportamento del modello contiene due indizi distinti sul fatto che un'immagine facesse parte del set di addestramento. Il primo indizio è quello che i ricercatori chiamano termine di bias (distorsione). Questo misura quanto la migliore ipotesi del modello per l'immagine originale sia lontana dall'immagine stessa in fase di test. Se l'immagine era nel set di addestramento, la ipotesi del modello sarà molto vicina all'immagine stessa. Se l'immagine non era mai stata vista, l'ipotesi sarà probabilmente più distante. Questa parte del segnale era già nota ai ricercatori precedenti, che la usavano per costruire i loro attacchi. Tuttavia, la derivazione matematica dei ricercatori ha scoperto un secondo indizio, precedentemente ignorato: un termine di crowding (affollamento). Questo misura quanto siano densamente raggruppate le immagini di addestramento simili attorno al punto in cui il modello sta effettuando la sua ipotesi. Immaginate una folla di persone in un campo. Se siete fermi da soli, le persone intorno a voi sono lontane. Se siete in un gruppo denso, le persone intorno a voi sono molto vicine tra loro. I ricercatori hanno scoperto che anche se l'ipotesi del modello è accurata, il modo in cui le immagini di addestramento sono raggruppate attorno a quell'ipotesi fornisce un segnale potente e indipendente. Un'immagine non appartenente potrebbe accidentalmente atterrare in un punto in cui l'ipotesi del modello è vicina, ma se le immagini di addestramento responsabili di quell'ipotesi sono sparse, la logica interna del modello rivela che l'immagine è nuova.

Usando questa doppia comprensione di bias e crowding, il team ha sviluppato un nuovo metodo di attacco che chiamano DIME. Questo metodo è progettato per essere incredibilmente efficiente. Gli attacchi precedenti richiedevano spesso di porre decine di domande al modello per ottenere una risposta affidabile, il che è lento ed costoso negli scenari reali in cui le aziende fanno pagare per ogni query o limitano il numero di domande che possono essere poste. DIME, al contrario, può ottenere risultati con appena due domande. Funziona chiedendo al modello di osservare l'immagine in questione e poi versioni leggermente alterate della stessa immagine. Confrontando come le predizioni del modello cambiano tra queste viste, il metodo può calcolare sia il segnale di bias che quello di crowding senza la necessità di vedere il codice interno del modello o di riaddestrare altri modelli.

I ricercatori hanno testato questo nuovo approccio su una grande varietà di dataset di immagini, che vanno da piccole e semplici immagini a fotografie complesse di volti e scene diverse. In ogni caso, DIME ha superato i migliori metodi esistenti. Su alcuni dataset, è stato in grado di identificare correttamente le immagini di addestramento tre volte più spesso del precedente miglior metodo, utilizzando una frazione delle domande. Sorprendentemente, la versione dell'attacco che utilizzava solo due domande era spesso in grado di eguagliare o battere le prestazioni di altri attacchi che ne utilizzavano trenta. Questa efficienza è cruciale perché significa che l'attacco è praticabile contro sistemi reali che potrebbero cercare di proteggersi limitando l'accesso. I ricercatori hanno anche testato il loro metodo contro una difesa standard della privacy chiamata differential privacy (privacy differenziale), che è progettata per garantire matematicamente che nessuna singola immagine di addestramento possa influenzare troppo il modello. Hanno scoperto che quando questa difesa era attiva, l'attacco falliva completamente, riducendo il suo tasso di successo al livello di un tiro casuale. Ciò conferma che, sebbene il nuovo metodo sia potente contro i modelli non protetti, le difese matematiche esistenti rimangono efficaci.

La portata di questo lavoro risiede non solo nel fatto che sia un attacco migliore, ma nel modo in cui cambia la nostra comprensione di questi sistemi. Partendo da una descrizione teorica del modello ideale, i ricercatori hanno dimostrato che i rischi per la privacy non sono anomalie casuali, ma sono integrati nella struttura stessa di come questi modelli apprendono. Hanno provato che il comportamento del modello lascia una traccia rilevabile che può essere misurata in due modi complementari. Ciò fornisce una spiegazione chiara e matematicamente fondata sul perché l'inferenza dell'appartenenza funzioni e offre una tabella di marcia per costruire difese migliori in futuro. Lo studio dimostra che anche i modelli generativi più sofisticati non sono immuni all'essere sottoposti ad audit, e che comprendere la meccanica precisa del loro processo di apprendimento è la chiave sia per esporre le loro vulnerabilità che per proteggerle.