Technische Samenvatting: FERMI – Het Benutten van Relaties voor Lidmaatschapsinference Tegen Tabulaire Diffusiemodellen

1. Probleemstelling

Diffusiemodellen zijn het leidende paradigma geworden voor het synthetiseren van tabulaire data, met name in hoog-risicodomeinen zoals gezondheidszorg en financiën, waar privacyregels (bijv. AVG, HIPAA) directe datapublicatie beperken. Hoewel Lidmaatschapsinference-aanvallen (MIAs) de standaardtool zijn voor het beoordelen van de privacyrisico's van dergelijke generatieve modellen, gaan bestaande aanvallen voornamelijk uit van een enkel-tabel setting.

Deze aanname negeert de realiteit dat gevoelige tabulaire data doorgaans in meerdere-relatie databases is ondergebracht, waarbij informatie van een individu zich uitstrekt over onderling verbonden tabellen (bijv. patiënten gekoppeld aan voorschriften, laboratoriumresultaten en demografische gegevens). Huidige evaluaties die deze relationele structuur negeren, riskeren privacyblootstelling aanzienlijk te onderschatten.

Een kritieke uitdaging doet zich voor in realistische dreigingsmodellen: een aanvaller kan tijdens de trainingsfase van de aanval beschikken over rijke hulpdata met volledige relationele structuren (bijv. via eerdere lekken of openbare releases). Echter, op het moment van lidmaatschapsinference, observeert de aanvaller vaak slechts een kandidaat-rij uit de doeltabel, zonder toegang tot de specifieke records van dat individu in gerelateerde ouder- of kindtabellen. Het artikel adresseert de kloof hoe relationele hulpinformatie die tijdens het trainen beschikbaar is, kan worden benut om een sterkere aanval uit te voeren, zelfs wanneer de inference beperkt blijft tot attributen van een enkele tabel.

2. Methodologie: FERMI Framework

De auteurs stellen FERMI (FEature-mapping for Relational Membership Inference) voor, een framework ontworpen om relationele lidmaatschapssignalen te distilleren naar een enkel-tabel feature-ruimte. De aanpak volgt het standaard shadow-model paradigma en werkt in drie fasen:

A. Gekoppelde Feature-extractie

De aanvaller traint $S$ shadow-diffusiemodellen op disjuncte subsets van een hulpdata-set ($D_{aux}$). Voor elk shadow-record worden twee feature-streams geëxtraheerd:

1. Enkel-tabel Stream: Features $\Phi_{single}(x)$ worden geëxtraheerd uit een shadow-model dat uitsluitend is getraind op de doeltabel $T_j$.
2. Relationele Stream: Features $\Phi_{multi}(\tilde{x})$ worden geëxtraheerd uit een shadow-model dat is getraind op een samengevoegde representatie waarbij het doeldocument $x$ is verrijkt met zijn relationele context (bijv. samengevoegd met ouder-tabellen $T_p$).

De feature-extractie maakt gebruik van een loss-fingerprint-benadering, waarbij het denoising-verlies $\ell_{\theta}(x_0, t, \epsilon)$ wordt berekend over meerdere tijdstappen en noise-realiserings. Empirisch vertonen trainingsleden systematisch lagere denoising-verliezen dan niet-leden.

B. Feature Mapping

De kerninnovatie is het leren van een mapping-functie $f_{map}$ die enkel-tabel features projecteert naar hun relationele tegenhangers. Dit wordt geformuleerd als een domeinadaptatie-probleem met twee doelen:

1. Puntsgewijze Reconstructie: Het minimaliseren van de Euclidische afstand tussen de gemapte features en de ware relationele features: $\|f_{map}(\Phi_{single}(x)) - \Phi_{multi}(\tilde{x})\|^2_2$.
2. Distributie-uitlijning: Het gebruik van de CORAL (Correlation Alignment) loss om de covariantiestructuren van de gemapte en ware multi-tabel feature-ruimtes te matchen, zodat de relationele geometrie behouden blijft.

C. Lidmaatschapsvoorspelling

Een aanval-classificator $f_{att}$ wordt getraind op de gemapte features om lidmaatschapslabels te voorspellen. Het framework staat gezamenlijke fine-tuning toe van zowel de mapper als de classificator, waarbij gradiënten van het classificatiedoel de mapper verfijnen om features te extraheren die het meest informatief zijn voor lidmaatschapsinference.

Dreigingsmodel:

• Trainingsfase: De aanvaller heeft toegang tot hulpdata met volledige relationele structuur (Parent-Context Side Information of Full-Relational Side Information).
• Inferentiefase: De aanvaller is beperkt tot de doeltabel alleen (toegang tot één rij) en het doemodel (of zijn synthetische output in black-box settings). De mapper wordt toegepast op de enkel-tabel features om het relationele signaal te herstellen zonder dat de gerelateerde tabellen tijdens de inferentie nodig zijn.

3. Belangrijkste Bijdragen

1. Formalisatie van Relationele MIAs: Het artikel demonstreert dat relationele context aanzienlijk sterkere lidmaatschapssignalen oplevert in tabulaire diffusiemodellen in vergelijking met enkel-tabel settings, en formaliseert het probleem van lidmaatschapsinference in multi-relationele settings.
2. FERMI Framework: Het introduceert een feature-mapping framework dat succesvol relationele lidmaatschapssignalen distilleert naar de enkel-tabel feature-ruimte. Dit maakt sterkere aanvallen mogelijk zonder toegang tot relationele data tijdens de inferentiefase, waardoor de asymmetrie tussen training en inference wordt opgelost.
3. Uitgebreide Evaluatie: Het framework wordt geëvalueerd over drie diffusie-architecturen (TabDDPM, TabSyn, TabDiff) en drie real-world relationele datasets (California, Instacart, Berka) onder zowel white-box als black-box settings.

4. Experimentele Resultaten

De evaluatie beslaat drie datasets en drie modelarchitecturen, waarbij drie settings worden vergeleken: Direct Enkel-Tabel (baseline), Direct Samengevoegde Tabel (bovengrens met volledige relationele toegang) en FERMI.

• Prestatiewinst: FERMI presteert consequent beter dan enkel-tabel baselines.
  • In de white-box setting verbeterde FERMI de True Positive Rate bij 0,1 False Positive Rate (TPR@0.1FPR) met maximaal 53% ten opzichte van de enkel-tabel baseline voor TabDDPM en TabDiff.
  • In de black-box setting (met behulp van surrogate-modellen getraind op synthetische data) verbeterde FERMI TPR@0.1FPR met 22% ten opzichte van de baseline.
• Modelsensitiviteit:
  • TabDDPM en TabDiff (data-ruimte modellen) vertoonden een hoge vatbaarheid voor relationele aanvallen. De "Samengevoegde" aanval (volledige relationele toegang) bereikte bijna plafond-prestaties (bijv. TPR@0.01 van 0,994 op Instacart voor TabDDPM), wat ernstige privacyrisico's benadrukt wanneer relationele data betrokken is.
  • TabSyn (latent-ruimte model) bleek opmerkelijk resistent. Zelfs met volledige relationele toegang bleef de AUC dicht bij het niveau van willekeurige gokken. Dit suggereert dat de latent-ruimte bottleneck fungeert als structurele privacybescherming, en FERMI geen bruikbare signalen kon distilleren omdat het relationele signaal zelf zwak was voor deze architectuur.
• Black-Box Uitbreiding: Het artikel bevestigt dat het relationele signaal blijft bestaan, zelfs wanneer de aanvaller alleen synthetische data observeert. FERMI herstelde ongeveer 55% van de AUC-gap tussen de enkel-tabel baseline en de bovengrens van de samengevoegde tabel in de black-box setting.

5. Betekenis en Claims

Het artikel beweert dat het evalueren van tabulaire diffusiemodellen in enkel-tabel settings de ware privacyrisico's betekenisvol onderschat. De aanwezigheid van relationele structuur in trainingsdata creëert sterkere lidmaatschapssporen die kunnen worden uitgebuit door aanvallen met relationele hulpkennis.

Belangrijkste bevindingen zijn:

• Relationele Context als Kwetsbaarheid: De relationele structuur encodeert rijkere conditioneringssignalen die diffusiemodellen internaliseren, waardoor sterkere vingerafdrukken achterblijven in het denoising-verlies.
• Architectuurafhankelijkheid: Privacyrisico's zijn sterk afhankelijk van de modelarchitectuur. Modellen die direct op data-ruimte werken (TabDDPM, TabDiff) zijn aanzienlijk kwetsbaarder dan die welke latent-codering gebruiken (TabSyn).
• Praktische Implicaties: Het FERMI-framework demonstreert dat een aanvaller geen directe toegang tot gerelateerde tabellen tijdens de inferentiefase nodig heeft om een geavanceerde aanval uit te voeren; ze hoeven alleen de relationele mapping te hebben geleerd tijdens de trainingsfase.

De auteurs concluderen dat architecturale beslissingen die upstream van privacymechanismen worden genomen (bijv. kiezen voor latent-ruimte versus data-ruimte diffusie) nader onder de loep moeten worden genomen in privacygevoelige implementaties, aangezien de latent-codering lijkt te zijn de primaire determinant van weerstand tegen lidmaatschapsinference in relationele settings.