技術概要：FERMI – 表形式拡散モデルに対するメンバーシップ推論攻撃における関係性の活用

1. 問題定義

拡散モデルは、特に GDPR や HIPAA などのプライバシー規制が直接データ公開を制限する医療や金融などの高リスク分野において、表形式データを合成するための主要なパラダイムとなっています。メンバーシップ推論攻撃（MIA）は、このような生成モデルのプライバシーリスクを評価する標準的なツールですが、既存の攻撃は主に単一テーブル設定を前提としています。

この前提は、機微な表形式データが通常、多関係データベースに存在し、個人の情報が処方箋、検査結果、人口統計データなど、相互に連結されたテーブルにまたがっているという現実を見落としています。この関係構造を無視した現在の評価は、プライバシーの露出を著しく過小評価するリスクがあります。

現実的な脅威モデルにおいて重要な課題が生じます。攻撃者は攻撃訓練段階において、完全な関係構造を含む豊富な補助データ（過去の漏洩や公開リリースを通じて得られるなど）を保有している可能性があります。しかし、メンバーシップ推論時には、攻撃者は対象テーブルからの候補行のみを観測し、関連する親テーブルや子テーブルにおけるその特定の個人のレコードにはアクセスできないことがよくあります。本論文は、訓練時に利用可能な関係補助情報をどのように活用して、推論が単一テーブル属性に制限されている場合でも、より強力な攻撃を仕掛けるかというギャップに焦点を当てています。

2. 手法：FERMI フレームワーク

著者らは、関係性メンバーシップ信号を単一テーブル特徴空間に蒸留するために設計されたFERMI（FEature-mapping for Relational Membership Inference）を提案します。このアプローチは標準的なシャドウモデルパラダイムに従い、3 つの段階で動作します。

A. ペア化特徴抽出

攻撃者は、補助データセット（$D_{aux}$）の分割部分集合を用いて $S$ 個のシャドウ拡散モデルを訓練します。各シャドウレコードに対して、2 つの特徴ストリームが抽出されます。

1. 単一テーブルストリーム: 対象テーブル $T_j$ のみで訓練されたシャドウモデルから特徴 $\Phi_{single}(x)$ を抽出します。
2. 関係ストリーム: 対象レコード $x$ を親テーブル $T_p$ などで結合した関係的文脈で拡張したマージ表現で訓練されたシャドウモデルから特徴 $\Phi_{multi}(\tilde{x})$ を抽出します。

特徴抽出にはロス・フィンガープリントアプローチが採用され、複数の時間ステップとノイズ実現値にわたって脱ノイズロス $\ell_{\theta}(x_0, t, \epsilon)$ を計算します。経験的に、訓練メンバーは非メンバーよりも体系的に低い脱ノイズロスを示します。

B. 特徴マッピング

中核的な革新は、単一テーブル特徴をその関係対応物へ投影するマッピング関数 $f_{map}$ を学習することです。これは 2 つの目的を持つドメイン適応問題として定式化されます。

1. 点ごとの再構成: 写像された特徴と真の関係特徴間のユークリッド距離を最小化します: $\|f_{map}(\Phi_{single}(x)) - \Phi_{multi}(\tilde{x})\|^2_2$。
2. 分布の整合: 写像された特徴空間と真の多テーブル特徴空間の共分散構造を一致させるためにCORAL（相関整合）ロスを採用し、関係幾何学が保持されることを保証します。

C. メンバーシップ予測

攻撃分類器 $f_{att}$ を、マッピングされた特徴を用いてメンバーシップラベルを予測するように訓練します。このフレームワークは、マッパーと分類器の共同微調整を可能にし、分類目的からの勾配がマッパーを洗練させ、メンバーシップ推論に最も有益な特徴を抽出するようにします。

脅威モデル:

• 訓練段階: 攻撃者は完全な関係構造を持つ補助データ（親コンテキスト側情報または完全関係側情報）にアクセスできます。
• 推論段階: 攻撃者は対象テーブルのみ（単一行アクセス）と対象モデル（またはブラックボックス設定におけるその合成出力）に制限されます。マッパーは、推論時に関連テーブルを必要とすることなく、関係信号を回復するために単一テーブル特徴に適用されます。

3. 主要な貢献

1. 関係性 MIA の形式化: 本論文は、表形式拡散モデルにおいて関係的文脈が単一テーブル設定に比べて著しく強力なメンバーシップ信号をもたらすことを実証し、多関係設定におけるメンバーシップ推論問題を形式化しました。
2. FERMI フレームワーク: 関係性メンバーシップ信号を単一テーブル特徴空間に成功裏に蒸留する特徴マッピングフレームワークを導入しました。これにより、推論時に関係データへのアクセスを必要とせずに強力な攻撃が可能となり、訓練 - 推論の非対称性が解消されました。
3. 包括的な評価: このフレームワークは、白箱および黒箱設定の両方において、3 つの拡散アーキテクチャ（TabDDPM、TabSyn、TabDiff）と 3 つの実世界関係データセット（California、Instacart、Berka）で評価されました。

4. 実験結果

評価は 3 つのデータセットと 3 つのモデルアーキテクチャを対象に行われ、直接単一テーブル（ベースライン）、直接マージテーブル（完全関係アクセスによる上限）、およびFERMIの 3 つの設定を比較しました。

• 性能向上: FERMI は一貫して単一テーブルベースラインを上回りました。
  • 白箱設定において、FERMI は TabDDPM および TabDiff に対して、単一テーブルベースラインに対し TPR@0.1FPR（0.1 偽陽性率における真陽性率）を最大**53%**向上させました。
  • 黒箱設定（合成データで訓練されたサロゲートモデルを使用）において、FERMI はベースラインに対し TPR@0.1FPR を**22%**向上させました。
• モデル感受性:
  • TabDDPMおよびTabDiff（データ空間モデル）は、関係攻撃に対して高い感受性を示しました。「マージ」攻撃（完全関係アクセス）は、ほぼ天井に近い性能を達成しました（例：TabDDPM の Instacart における TPR@0.01 は 0.994）。これは、関係データが関与する場合の深刻なプライバシーリスクを浮き彫りにしています。
  • TabSyn（潜在空間モデル）は、驚くほど耐性があることが判明しました。完全な関係アクセスがあっても、その AUC はランダム推測レベルのままでした。これは、潜在空間のボトルネックが構造的なプライバシー保護として機能することを示唆しており、FERMI は有用な信号を蒸留できませんでした。なぜなら、このアーキテクチャ自体において関係信号が弱かったからです。
• 黒箱拡張: 攻撃者が合成データのみを観測する場合でも、関係信号が維持されることを本論文は確認しました。黒箱設定において、FERMI は単一テーブルベースラインとマージテーブル上限の間の AUC ギャップの約**55%**を回復しました。

5. 意義と主張

本論文は、単一テーブル設定で表形式拡散モデルを評価することは、真のプライバシーリスクを意味のある形で過小評価すると主張しています。訓練データにおける関係構造の存在は、補助的な関係知識を持つ攻撃者によって悪用され得る、より強力なメンバーシップ痕跡を生成します。

主な知見は以下の通りです。

• 脆弱性としての関係的文脈: 関係構造は、拡散モデルが内部化し、脱ノイズロスにより強力なフィンガープリントを残す、より豊かな条件付け信号を符号化しています。
• アーキテクチャ依存性: プライバシーリスクはモデルアーキテクチャに強く依存します。データ空間で直接動作するモデル（TabDDPM、TabDiff）は、潜在符号化を使用するモデル（TabSyn）に比べて著しく脆弱です。
• 実用的な含意: FERMI フレームワークは、攻撃者が推論時に関連テーブルに直接アクセスする必要なく、洗練された攻撃を仕掛けることができることを実証しています。彼らが訓練段階中に関係マッピングを学習しているだけで十分です。

著者らは結論として、プライバシーメカニズムの上流で行われるアーキテクチャ上の決定（例：潜在空間対データ空間拡散の選択）は、プライバシーに敏感な展開においてより厳密な検討に値すると述べています。なぜなら、潜在符号化が関係設定におけるメンバーシップ推論耐性の主要な決定要因のように見えるからです。