DIME: Query-Efficient Framework for Membership Inference on Diffusion Models

In het moderne landschap van kunstmatige intelligentie is een specifieke klasse van systemen, bekend als diffusiemodellen, de motor geworden achter veel van de meest opvallende afbeeldingen die we online zien. Deze systemen leren nieuwe plaatjes te creëren door te beginnen met willekeurige statische ruis en geleidelijk de ruis te verwijderen totdat een helder beeld verschijnt. Om dit te doen, worden ze getraind op enorme collecties bestaande foto's, waarbij ze de statistische patronen leren die één afbeelding met een andere verbinden. Hoewel deze modellen worden geprezen om hun vermogen om kunst te genereren, is er naast hun succes ook een stille privacyzorg ontstaan. Omdat de specifieke lijst met foto's die voor een model zijn gebruikt zelden openbaar wordt gemaakt, is het moeilijk te weten of de privéfoto van een bepa$\text{de}$ persoon deel uitmaakte van die trainingsset. Dit is om verschillende redenen van belang: het bevestigen dat de medische of biometrische gegevens van een persoon zijn gebruikt, kan op zichzelf al een schending van de privacy zijn, en onder de huidige gegevensbeschermingswetten hebben individuen het recht om te verzoeken hun gegevens te laten verwijderen, maar er is vaak geen manier om te verifiëren of een model hen daadwerkelijk is vergeten. Bov�ien een model een specifieke auteursrechtelijk beschermde afbeelding heeft onthouden in plaats van alleen een algemene stijl te hebben geleerd, roept dit juridische vragen op over wie de nieuwe afbeeldingen die het creëert, bezit.

Jarenlang hebben onderzoekers geprobeerd hulpmiddelen te bouwen om de vraag te beantwoorden of een specifieke afbeelding deel uitmaakte van de trainingsdata van een model. Deze pogingen, bekend als membership inference attacks (lidmaatschap-inferentie-aanvallen), vertrouwden grotendeels op intuïtie. Onderzoekers gokten dat als een model een afbeelding eerder had gezien, het er misschien iets anders op zou reageren dan op een afbeelding die het nooit eerder had gezien. Ze testten verschillende signalen, zoals hoeveel fouten het model maakte bij het proberen op te schonen van een ruizige versie van de afbeelding. Deze methoden waren echter vaak een kwestie van geluk of pech, vereisten een groot aantal vragen aan het model en misten een solide theoretische basis die verklaarde waarom ze werkten. Het was alsof men probeerde een speld in een hooiberg te vinden door te raden welk deel van het hooi scherp zou kunnen zijn, in plaats van de vorm van de speld zelf te begrijpen.

Een team onderzoekers van de University of Illinois at Urbana-Champaign heeft nu een heel andere invalshoek gekozen voor dit probleem. In plaats van te gokken welke signalen nuttig zouden kunnen zijn, begonnen zij met het wiskundig afleiden van hoe het best mogelijke signaal er precies uit zou zien. Ze stelden een fundamentele vraag: als een diffusiemodel is getraind op een eindige set afbeeldingen, wat is dan de perfecte, theoretische functie die het zou moeten gebruiken om ruis te verwijderen van een gegeven plaatje? Door dit wiskundig op te lossen, ontdekten ze dat het gedrag van het model wordt beheerst door een specifiek type middeling. Wanneer het model naar een ruizige afbeelding kijkt, vraagt het in essentie: "Welke van mijn trainingsafbeeldingen hadden deze afbeelding kunnen produceren?" en mengt vervolgens de antwoorden samen, waarbij de antwoorden worden gewogen op basis van hoe nauw elke trainingsafbeelding overeenkomt met de huidige ruis.

Dit theoretische inzicht onthulde dat het gedrag van het model twee duidelijke aanwijzingen bevat over de vraag of een afbeelding deel uitmaakte van de trainingsset. De eerste aanwijzing is wat de onderzoekers een bias-term noemen. Dit meet hoe ver de beste gok van het model voor de oorspronkelijke afbeelding verwijderd is van de geteste afbeelding. Als de afbeelding in de trainingsset zat, zal de gok van het model zeer dicht bij de afbeelding zelf liggen. Als de afbeelding nooit eerder is gezien, zal de gok waarschijnlijk verder weg liggen. Dit deel van het signaal was al bekend bij eerdere onderzoekers, die het gebruikten om hun aanvallen op te bouwen. Echter, de wiskundige afleiding van de onderzoekers onthulde een tweede, eerder genegeerde aanwijzing: een crowding-term (verdringingsterm). Deze meet hoe dicht opeen gepakt de vergelijkbare trainingsafbeeldingen zijn rond het punt waar het model zijn gok doet. Stel je een menigte mensen voor die in een veld staan. Als je alleen staat, zijn de mensen om je heen ver weg. Als je in een dicht cluster staat, zijn de mensen om je heen zeer dicht bij elkaar. De onderzoekers ontdekten dat zelfs als de gok van het model accuraat is, de manier waarop de trainingsafbeeldingen rond die gok geclusterd zijn, een krachtig, onafhankelijk signaal biedt. Een afbeelding die geen lid is van de set, kan per ongeluk op een plek terechtkomen waar de gok van het model dichtbij ligt, maar als de trainingsafbeeldingen die verantwoordelijk zijn voor die gok verspreid zijn, verraadt de interne logica van het model dat de afbeelding nieuw is.

Met dit dubbele begrip van bias en crowding ontwikkelde het team een nieuwe aanvalsmethode die zij DIME noemen. Deze methode is ontworpen om extreem efficiënt te zijn. Eerdere aanvallen vereisten vaak tientallen vragen aan het model om een betrouwbaar antwoord te krijgen, wat traag en duur is in real-world scenario's waarin bedrijven per query rekenen of het aantal vragen beperken. DIME kan daarentegen resultaten behalen met slechts twee vragen. Het werkt door het model te vragen naar de afbeelding in kwestie en vervolgens naar licht gewijzigde versies van diezelfde afbeelding. Door te berekenen hoe de voorspellingen van het model verschuiven tussen deze weergaven, kan de methode zowel de bias- als de crowding-signalen berekenen zonder de interne code van het model te hoeven zien of andere modellen te hoeven hertrainen.

De onderzoekers testten deze nieuwe aanpak op een grote verscheidenheid aan beelddatasets, variërend van kleine, eenvoudige plaatjes tot grote, complexe foto's van gezichten en diverse scènes. In elk geval presteerde DIME beter dan de beste bestaande methoden. Op sommige datasets kon het de trainingsafbeeldingen drie keer vaker correct identificeren dan de vorige beste methode, terwijl het slechts een fractie van de vragen gebruikte. Opmerkelijk genoeg was de versie van de aanval die slechts twee vragen gebruikte, vaak in staat om de prestaties van andere aanvallen te evenaren of te verbeteren die dertig vragen nodig hadden. Deze efficiëntie is cruciaal omdat het betekent dat de aanval praktisch inzetbaar is tegen real-world systemen die proberen zichzelf te beschermen door de toegang te beperken. De onderzoekers testten hun methode ook tegen een standaard privacyverdediging genaamd differential privacy, die bedoeld is om wiskundig te garanderen dat geen enkele trainingsafbeelding een te grote invloed op het model kan uitoefenen. Ze ontdekten dat wanneer deze verdediging actief was, de aanval volledig faalde en de succesrate terugbracht tot het niveau van willekeurig gokken. Dit bevestigt dat hoewel de nieuwe methode krachtig is tegen onbeschermde modellen, de bestaande wiskundige verdedigingen effectief blijven.

De betekenis van dit werk ligt niet alleen in het feit dat het een betere aanval is, maar in hoe het ons begrip van deze systemen verandert. Door te beginnen met een theoretische beschrijving van het ideale model, hebben de onderzoekers aangetoond dat de privacyrisico's geen willekeurige eigenaardigheden zijn, maar ingebakken zitten in de structuur van hoe deze modellen leren. Ze bewezen dat het gedrag van het model een detecteerbaar spoor achterlaat dat op twee complementaire manieren gemeten kan worden. Dit biedt een duidelijke, wiskundig onderbouwde verklaring voor waarom membership inference werkt en biedt een blauwdruk voor hoe er in de toekomst betere verdedigingen gebouwd kunnen worden. De studie laat zien dat zelfs de meest geavanceerde generatieve modellen niet immuun zijn voor audits, en dat het begrijpen van de precieze mechanica van hun leerproces de sleutel is tot zowel het blootleggen van hun kwetsbaarheden als het beveiligen ervan.