Privacy Auditing Synthetic Data Release through Local Likelihood Attacks

기술 요약: 국소 가능도 공격을 통한 합성 데이터 공개의 프라이버시 감사

문제 제기
합성 데이터의 프라이버시 유출 감사는 여전히 해결되지 않은 과제로 남아 있습니다. 기존 프라이버시 감사 프레임워크는 종종 휴리스틱(거리 또는 밀도 지표 등) 또는 모델 접근에 대한 비현실적인 가정(예: 화이트박스 또는 섀도우박스 설정)에 의존합니다. 이러한 접근법은 생성 모델이 과적합과 같은 특정 실패 모드를 보일 때 특히 프라이버시 노출을 탐지하거나 설명하는 능력이 제한적입니다. furthermore, 많은 기존 공격들은 무엇을 측정하는지 또는 어떤 조건에서 성공해야 하는지에 대한 이론적 기반이 부족하여, 원칙적인 설계와 벤치마크 특유의 우연한 결과를 구분하기 어렵게 만듭니다.

방법론: 생성 가능도 비율 공격 (Gen-LRA)
저자들은 No-Box 위협 모델을 위해 설계된 새로운 멤버십 추론 공격 (MIA) 인 Gen-LRA를 제안합니다. 이 설정에서 공격자는 생성 모델의 아키텍처, 매개변수 또는 내부 메커니즘에 전혀 접근할 수 없습니다. 공격자는 다음만 보유합니다:

1. 공개된 합성 데이터셋 ($S$).
2. 동일한 기본 인구 분포 ($P$) 에서 추출된 독립적으로 수집된 참조 데이터셋 ($R$).

핵심 메커니즘
Gen-LRA 는 멤버십 추론을 테스트 관찰 ($x^*$) 이 합성 데이터셋의 추정 가능도에 미치는 영향의 측정으로 프레임합니다. 이 공격은 생성 모델이 과적합할 경우, 참조 세트에 훈련 데이터 포인트 $x^*$ 를 포함시키는 것이 합성 데이터 $S$ 의 추정 가능도를 증가시킨다는 가설에 기반합니다.

공격은 다음 단계로 진행됩니다:

1. 대리 모델링: 참조 세트 $R$ 에 대리 밀도 추정기 (구체적으로 가우시안 커널 밀도 추정기, KDE) 를 적합시켜 $\hat{p}_R$을 얻습니다.
2. 증강: 증강된 세트 $R \cup \{x^*\}$ 에 두 번째 대리 모델을 적합시켜 $\hat{p}_{R \cup \{x^*\}}$를 얻습니다.
3. 국소 가능도 비율: 공격 점수는 $x^*$ 의 $k$-최근접 합성 이웃 ($S_k(x^*)$로 표기) 에 대한 로그 가능도 비율의 합으로 계산됩니다:
   $$\hat{I}(x^*; R, S) = \sum_{s \in S_k(x^*)} \left[ \log \hat{p}_{R \cup \{x^*\}}(s) - \log \hat{p}_R(s) \right]$$
4. 결정: 높은 점수는 $x^*$ 를 참조 세트에 추가하는 것이 인근 합성 포인트들의 가능도를 유의미하게 증가시켰음을 나타내며, 이는 $x^*$ 가 훈련 세트의 일부였음을 시사합니다.

이론적 프레임워크
본 논문은 Gen-LRA 를 뒷받침하는 세 가지 주요 이론적 결과를 제시합니다:

1. 불변성: 로그 가능도 비율 점수는 데이터의 가역적 재매개변수화에 대해 불변이므로, 스케일링 또는 인코딩과 같은 전처리 선택에 대한 견고성을 보장합니다.
2. 폐쇄형 특성화: 저자들은 Gen-LRA 점수가 국소화된 밀도 비율 통계량으로서 폐쇄형 특성을 가진다고 증명합니다. 단일 포인트 밀도 비율 공격 (예: DOMIAS) 과 달리, Gen-LRA 는 국소 영역에 걸쳐 증거를 집계하여 확산된 기억 신호를 포착합니다.
3. 평균 점수 간격: 국소 과적합의 일반적 모델 하에서, 저자들은 멤버와 논멤버의 기대 점수 사이에 증명 가능한 간격이 존재함을 증명합니다. 이 간격의 크기는 과적합 강도 ($\epsilon$) 에 선형적으로 의존하며, 대리 모델의 대역폭과 생성기의 기억 규모 ($\rho$) 사이의 중첩에 의해 지배됩니다.

주요 기여

1. 새로운 공격: Gen-LRA 는 No-Box 설정에 명시적으로 영향 함수 프레임워크를 적용하여 멤버십 추론을 테스트 포인트가 대리 모델의 가능도 비율에 미치는 영향으로 공식화한, 테이블형 합성 데이터를 위한 최초의 MIA 입니다.
2. 이론적 정당성: 본 작업은 공격이 무엇을 측정하는지 (국소화된 밀도 비율) 및 언제 성공할지 예측하는지 (국소 과적합 하에서) 에 대한 엄밀한 이론적 설명을 제공합니다.
3. 시뮬레이션 검증: 통제된 시뮬레이션은 과적합 모델을 구체화하여, Gen-LRA 가 과적합 영역 전반에 걸쳐 고유하게 조정 가능하며 기존 방법들, 특히 생성기가 훈련 데이터를 대략적으로 기억할 때 더 우수함을 검증합니다.
4. 실증적 벤치마크: 저자들은 35 개 데이터셋, 9 가지 생성 아키텍처 (GAN, VAE, Diffusion 모델, Transformer 포함), 그리고 9 가지 경쟁 공격으로 구성된 포괄적인 벤치마크에 대해 Gen-LRA 를 평가했습니다. 이는 1,525 개의 고유한 합성 데이터셋 구성과 10,000 회 이상의 공격 실행으로 이어졌습니다.

결과

• 집계 성능: Gen-LRA 는 경쟁 MIA 들을 일관되게 압도합니다. 모든 1,525 회 실행에서 모든 지표 (AUC 및 고정 위양성률에서의 True Positive Rate) 에 대해 가장 높은 Top-1 순위 달성률을 기록합니다. 구체적으로, AUC 의 경우 실행의 38% 이상에서, TPR@FPR=0 의 경우 42% 에서 1 위를 차지하여, 다음으로 가장 좋은 기준선보다 두 배 이상 높은 비율을 보입니다.
• 낮은 위양성률: Gen-LRA 는 실용적인 프라이버시 감사를 위한 핵심 지표인 낮은 위양성률에서 특히 강력한 개선을 보입니다.
• 취약성 영역: 이 공격은 합성 포인트가 훈련 데이터와 관계를 유지하지만 정확한 복사본은 아닌 "대략적 기억" 영역에서 가장 효과적입니다. 이 영역에서 단일 포인트 공격 (DOMIAS 등) 과 거리 기반 공격 (DCR 등) 은 무너지지만, Gen-LRA 는 여러 이웃에 걸쳐 증거를 집계하여 성공합니다.
• 대리 모델 선택: 고차원 밀도 추정에서 딥러닝 모델이 종종 KDE 를 능가하는 경향과 달리, 저자들은 Gen-LRA 에서는 가우시안 KDE 가 Block Neural Autoregressive Flows (BNAF) 보다 우수함을 발견했습니다. 이는 KDE 가 기억 규모와 일치하는 국소 평활화 (대역폭) 에 대한 명시적 제어를 가지기 때문이며, 반면 BNAF 는 전역 정확도를 최적화하고 단일 포인트 영향 신호를 흐리게 만드는 확률적 노이즈를 도입하기 때문입니다.

의의 및 주장
본 논문은 현재 No-Box 프라이버시 감사 도구가 잘못된 가설을 테스트하거나 현대 테이블형 생성기에서 일반적인 대략적 기억 영역에서 실패하는 휴리스틱에 의존하기 때문에 프라이버시 위험을 크게 과소평가한다고 주장합니다.

Gen-LRA 는 모델 접근 없이도 제 3 자가 합성 데이터 공개를 감사할 수 있는 원칙적이고 계산적으로 효율적인 도구를 제공합니다. 저자들은 "No-Box" 설정이 프라이버시 감사를 위해 가장 현실적이라고 주장합니다. 최선의 관행을 따르는 방어자는 모델 세부 정보를 공개하지 않으므로 섀도우박스 공격은 무효화되기 때문입니다. 생성 모델의 과적합이 모델 접근 부재에서도 상당한 프라이버시 위험을 초래한다는 점을 입증함으로써, 본 논문은 의료 및 금융과 같은 민감한 분야에서 합성 데이터의 책임 있는 공개를 보장하기 위해 더 강력한 감사 도구가 필요함을 강조합니다. 저자들은 모든 조건에서 균일하게 최적인 단일 공격은 존재하지 않지만, Gen-LRA 가 실제 세계의 합성 데이터 공개에서 프라이버시 유출을 탐지하는 데 가장 견고하고 일관된 성능을 제공한다고 결론지었습니다.