🤖 AI

Pretrained, Frozen, Still Leaking: Auditing Cross-Encoder Attribute Transfer in EEG Foundation Models

本論文は、事前学習済みEEG基盤モデル（BIOT、LaBraM、EEGPT）が、単一のエンドポイントに対するセキュリティチェックを通過しているにもかかわらず、テストされたすべてのエンドポイントにわたってスペクトル属性を漏洩させていることを示す、クロスエンコーダー監査フレームワークを紹介するものである。

原著者： Jianwei Tai

公開日 2026-06-09

📖 1 分で読めます☕ さくっと読める

CC BY 4.0

原著者： Jianwei Tai

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

非常に高度な、あなたの脳波（EEG）を聴き取り、それを「埋め込み（embedding）」と呼ばれる短い圧縮された「要約ノート」に変換するマシンを想像してください。このノートは、高レベルの天気予報のようなものです。それは「雨が降っている」あるいは「晴れている」ということを伝えますが、実際の雨粒や風の音までは含まれていません。

ある論文が、極めて重要な問いを投げかけています。もしこれらの要約ノートを公に公開した場合、それらは本当にプライバシーを守れているのでしょうか？

ほとんどのセキュリティチェックは、以下の2つのことのみを確認します：

元の脳波を再構築できるか？（例：天気予報から実際の嵐を復元しようとすること）。
特定の個人のデータがそのマシンを訓練するために使用されたかどうかを判別できるか？（例：ゲストリストを確認すること）。

この論文は、セキュリティチームが見落としている第3の危険な漏洩、すなわち**「スペクトル属性（Spectral Attributes）」**について論じています。

コアとなる発見：「漏洩する要約」

研究者たちは、3つの人気のある脳モデル（BIOT、LaBraM、EEGPT）を監査しました。彼らは、要約ノートから生の脳波を再構築することはできず、また特定の個人が訓練データに含まれていたかどうかを簡単に判断することもできない一方で、要約ノートは依然としてその人の脳の状態に関する機密性の高い詳細を漏らしていることを発見しました。

比喩：
あなたが友人にケーキの圧縮された写真を送ると想像してください。

生の再構築： 彼らはその画像を解凍して、正確なフロスティングの質感を見ることができるでしょうか？ いいえ。
メンバーシップ： あなたの特定のケーキが、その圧縮アルゴリズムを教えるために使われたかどうかを、彼らは判断できるでしょうか？ いいえ。
漏洩： しかし、その圧縮された写真には、依然として味（フレーバー）（例：「チョコレート」）や食事制限（例：「グルテンフリー」）がはっきりと写っています。たとえ画像がぼやけていても、その属性は完璧に明確なのです。

この研究において、「味」とはスペクトル属性（脳活動における特定のパターン）です。研究者たちは、あるデコーダーを一つのモデルに対して訓練すれば、モデルが一度も見たことがない人々に対しても、別のモデルからこれらの属性を推測できることを証明しました。

「ブリッジ（架け橋）」のトリック

最も驚くべき発見は、**クロスエンコーダー転送（Cross-Encoder Transfer）**です。
想像してみてください、脳の言葉の異なる方言を話す3つの異なる翻訳者（モデルA、モデルB、モデルC）がいるとします。

研究者たちは、モデルAの要約を理解するためのデコーダーを訓練しました。
次に、モデルBの要約をモデルAの言語に翻訳するためのシンプルな「ブリッジ」（線形数学ツール）を構築しました。
結果： デコーダーは、モデルBやモデルCの要約からも、秘密の属性を完璧に読み取ることができました。

これは、これらのモデルがすべて、脳の属性に関する「共通の隠れた言語」を共有していることを証明しています。もし一つのモデルが漏洩するなら、すべてが漏洩するのです。

なぜ標準的な防御策は失敗したのか

研究者たちは、標準的なプライバシーツールを使用してこの漏洩を「修正」しようと試みましたが、失敗しました。

ノイズの追加（静電気）： 彼らは、詳細を隠すために要約ノートに静止ノイズを加えようとしました。
- 結果： それは、その人が「誰であるか（アイデンティティ）」を特定することを困難にしましたが、「味（属性）」は明確なままでした。それは、写真に霧がかかったフィルターをかけるようなものです。顔は見えなくなりますが、その人が着ている赤いシャツは依然としてはっきりと見えます。
データの縮小（ボトルネック）： 彼らは、要約ノートをより小さくしようと試みました。
- 結果： 漏洩は持続しました。重要な情報は冗長であったため、サイズを削っても秘密は削られませんでした。
差分プライバシー（数学的保証）： 彼らは、厳格な数学的プライバシー規則を使用しました。
- 結果： 漏洩を止めるためには、要約ノートを使い物にならないほど無意味なものにする必要がありました。この特定のセットアップにおいて、高い有用性（ユーティリティ）と高いプライバシーを両立させることはできません。

「不一致スコア」（AEDS）

この論文は、意思決定のための新しい方法である**監査エンドポイント不一致スコア（Audit-Endpoint Disagreement Score: AEDS）**を導入しています。

古いやり方： 「生の再構築に失敗した。だから公開しても安全だ。」（この論文はこう言っています：間違いです！）
新しいやり方： 「生の再構築には失敗したが、属性の漏洩が甚大であり、かつ防御策が機能していない。したがって、公開をブロックせよ。」

結論

この論文は、テストされたモデルについて次のように結論付けています：

生の脳波： 安全（漏洩していない）。
アイデンティティ： もし比較対象となる候補者のリスト（指名手配写真のようなもの）を既に持っていれば、漏洩します。リストを持っていなければ、その人を特定することはできません。
属性（危険性）： 安全ではありません。 要約ノートは、モデルが一度も出会ったことがない人々に対しても、デコード可能な機密性の高い脳の状態（睡眠段階や特定の脳パターンなど）を明らかにします。

まとめ： これらの脳埋め込みを、生の脳波ではないという理由だけで「安全」だと扱うことはできません。これらは、あなたの正確な位置や健康状態をうっかり明かしてしまう天気予報のようなものです。より優れた防御策が見つかるまで、これらの要約を公開することはリスクを伴います。

技術要約：学習済み、凍結、それでも漏洩する

1. 問題提起

本論文は、BIOT、LaBraM、EEGPTといったEEG基盤モデル（EEG-FM）のプライバシー監査における決定的な欠落を指摘している。現在のプライバシー評価は通常、放出された埋め込み（中間表現）に対し、生の波形再構成、メンバーシップ推論、アイデンティティ・リンケージ、あるいはダウンストリーム・ヘッドに対する差分プライバシー（DP）といった単一のエンドポイントに対してのみ評価を行っている。

著者らは、これらの単一エンドポイントによる監査は不十分であると主張する。放出された埋め込みは、高忠実度な生の波形再構成をサポートできなかったり、弱いメンバーシップ推論信号しか示さなかったりする場合でも、被験者の状態に関連するスペクトル属性（例：中心化されたパワースペクトル密度構造）を保持している可能性がある。さらに、アイデンティティ・リンケージの結果はしばしば誤解される。すなわち、「同一被験者」設定における強力なアイデンティティ回復は、「保持された（held-out）」被験者（訓練セットや参照セットに含まれない被験者）に対する回復を意味するものではない。核心となる問題は、リリース決定が安全であるかどうかを判断するために、これら4つのエンドポイントすべてを同時に評価する結合監査フレームワークが欠如しており、特にスペクトル属性が異なるエンコーダやデータセット間で漏洩するかどうかに焦点を当てた枠組みが必要であることである。

2. 手法

本論文は、すべてのプライバシー主張が特定の反証制御を生き残ることを強制する、**分割制御された表現プライバシー監査（split-controlled representation privacy audit）**を提案している。

2.1 脅威モデル

被害者: 埋め込み（生の波形ではなく）を放出するEEG-FMサービス。
攻撃者: シャドウセットとしてのEEGウィンドウを保有しており、放出された埋め込みからスペクトル属性へのデコーダを訓練できる。アイデンティティ・リンケージについては、攻撃者は候補被験者の参照セットを保有している。
目標:
1. 属性回復: 埋め込みからスペクトル属性（中心化PSD）を推論する。
2. 参照セット・リンケージ: 埋め込みを既知の被験者に割り当てる。
3. プライバシー監査: 防御策（ノイズ、ボトルネック、DP）がユーティリティを破壊することなく、漏洩を減少させるかどうかをテストする。

2.2 監査プロトコルと制御

監査は4つの標準的なエンドポイントの下で埋め込みを評価するが、過剰な主張を防ぐために厳格な分割制御を適用する：

生コピー・チェック（Raw-Copy Check）: 隣接するウィンドウがニア・デュプリケート（コサイン類似度 $\ge$ 0.99）であるかを確認する。
時間間隔分割（Temporal-Gap Split）: ウィンドウを時間的に分離し、隣接ウィンドウによるアーティファクトを排除する。
被験者非重複分割（Subject-Disjoint Split）: 訓練被験者とテスト被験者が重複しないようにする。これは保持された被験者の属性漏洩に関する決定的な制御である。ここでは候補となるアイデンティティが存在しないため、アイデンティティ・リンケージは主張されない。
参照セット・アイデンティティ: アイデンティティ・リンケージ（BPID@1）は、攻撃者に候補となる被験者が存在する場合にのみ評価される。
負の制御（Negative Controls）: すべての漏洩結果は、ランダムなガウス型埋め込みおよび分割されたローカル・パーミュート埋め込みと比較され、ベースラインを確立する。

2.3 理論的枠組み

著者らは、**クロスエンコーダ・ブリッジ定理（Cross-Encoder Bridge Theorem）と監査エンドポイント不一致スコア（AEDS）**を導入している：

ブリッジ転移性: 2つのエンコーダが非自明な属性座標プロジェクターの重なり（ $\beta$ ）を共有している場合、一方の凍結されたエンコーダ上で訓練されたリッジ属性デコーダは、適合された線形ブリッジを介して、もう一方のエンコーダの保持された被験者スプリットへと転移できることを証明している。利得の下限は $\sqrt{\beta/(1 + \tau^2_t)} - \epsilon_{br} - \rho_0$ として導出される。
AEDS: $AEDS = L_A - \max(R_M, R_I)$ と定義される決定ルールである。ここで、 $L_A$ は属性漏洩利得、 $R_M$ はメンバーシップ推論残差、 $R_I$ はアイデンティティ・リンケージ残差である。正のAEDSは、他のエンドポイントが安全に見えても、属性漏洩が決定的なリスク要因であることを示す。

2.4 防御の評価

監査は以下の標準的な防御策をテストする：

ガウスノイズ: 埋め込みに加えられる。
ボトルネックとドロップアウト: 次元の削減および座標の除去。
DP-SGD: 各サンプルごとのクリッピングとRDP計上を用いた、ダウンストリーム・ヘッドの差分プライベートな微調整。
適応型攻撃者: 既知のノイズレベルに基づいて埋め込みを事前ホワイトニングする、ウィーナー型のノイズ認識型攻撃者。

3. 主な結果

3.1 スペクトル属性の漏洩

8つの評価設定（EEGMMIにおけるBIOT、LaBraM、EEGPT；Sleep-EDF、LIMO、CHB-MITにおけるLaBraM）全体を通じて、スペクトル属性は埋め込みから一貫して回復可能である。

被験者非重複漏洩: すべての被験者非重複スプリットにおいて、中心化されたPSD利得は、一致する負の制御に対して有意に正であり続ける（95%信頼区間の下限は0.157から0.487の範囲）。
クロスエンコーダ転移: 一方のエンコーダ（例：BIOT）で訓練された単一のリッジデコーダは、線形ブリッジを介して、他のエンコーダ（LaLaM、EEGPT）の保持された被験者スプリットへ正常に転移する。示唆されるプロジェクターの重なり $\beta$ は $[0.008, 0.198]$ の範囲にあると推定される。
展開への関連性: Sleep-EDF睡眠段階分類タスクにおいて、攻撃者は保持された被験者に対して70.4%の精度を達成し、ガウスノイズ（ $\sigma=1.0$ ）がある場合でも、コントロール群を大幅に上回った。

3.2 アイデンティティ・リンケージの範囲

参照セット・リンケージ: 強力なアイデンティティ・リンケージ（BPID@1 最大0.950）は、攻撃者が候補被験者を含む参照セット（同一被験者または重複スプリット）を保有している場合にのみ観察される。
保持された被験者: 被験者非重複スプリットにおけるアイデンティティ回復は主張されない。本論文は、「参照セット・リンケージ」（可能）と「保持されたアイデンティティ回復」（実証されていない）を明確に区別している。

3.3 エンドポイントの不一致（AEDS）

単一エンドポイントの失敗: 標準的な監査（生コピー、メンバーシップ推論、参照セット・アイデンティティ）は、しばしばリリースを許可してしまう。例えば、メンバーシップ推論のAUCは低く（0.50–0.70）、生波形の再構成は負であった。
結合監査の失敗: AEDSは、8つすべての被験者非重複一致CIセルにおいて正であった（ $p < 0.001$ ）。これは、メンバーシップやアイデンティティのエンドポイントが安全を示していても、属性漏洩の信号がリリース決定を阻止するほど強力であることを意味する。

3.4 防御の失敗

ノイズとDP: 標準的なガウスノイズおよびダウンストリーム・ヘッドへのDP-SGDは、ユーティリティを維持しながら属性チャネルを閉じることに失敗した。
- ユーティリティを維持する $\epsilon \in \{4, 8\}$ において、属性利得は非プライベートなベースラインと統計的に区別がつかない状態であった。
- $\epsilon=1$ の時のみ属性利得は低下したが、その際、タスクのユーティリティは崩壊した（バランス精度が運用ゲートを下回った）。
適応型攻撃: ノイズ認識型の適応型攻撃者（ウィーナー型）は、非適応型ベースラインよりも性能を向上させたが、プライバシーギャップを埋めることはできず、属性チャネルは開いたままとなった。
ボトルネック/ドロップアウト: これらの変換はアイデンティティ・リンケージをわずかに減少させたが、属性漏洩は正のまま残った。

4. 重要性と主張

本論文は、EEG-FMの埋め込みに関する限定的な否定的な主張を行っている：

埋め込みはスペクトル属性に対するプライバシー境界ではない: BIOT、LaBraM、EEGPTから放出された埋め込みは、生の波形再構成やメンバーシップ推論が弱くても、保持された被験者に対してデコード可能なスペクトル属性（中心化PSD）を漏洩させる。
単一エンドポイントの監査は不十分である: 生波形再構成、メンバーシップ推論、またはアイデンティティ・リンケージのみに頼ることは、誤ったポジティブ判定（不安全な埋め込みのリリース）につながる。AEDSフレームワークは、この不一致を検出するために提案されている。
現在の防御策は効果が低い: 標準的な防御策（ノイズ、DP、ボトルネック）は、テストされた領域において、ユーティリティを維持しながら属性漏洩を排除することを同時に達成できない。
アイデンティティの主張は範囲を限定すべきである: 強力なアイデンティティ結果は、参照セットの設定（登録ユーザー）においてのみ有効であり、保持された被験者へと外挿することはできない。

著者らが認める限界事項:

知見は特定のデータセット（EEGMMI, Sleep-EDF, LIMO, CHB-MIT）およびモデルに基づいている。全臨床EEGデータへの集団レベルの一般化は主張していない。
理論的結果（定理1-5）は十分条件の表明であり、スタイライズされたモデルであって、特定のエンコーダの適合パラメータではない。
学習ノイズの実験はプロキシであり、正式なDP保証を構成するものではない。

結論: 本論文は、EEG-FMの埋め込みが、生の波形ではないという理由だけで、脱識別化されたデータとして扱われるべきではないと結論付けている。このような表現をリリースする前には、属性漏洩を優先し、分割制御された主張の境界を持つ結合監査フレームワークが必要である。