Res-MIA: A Training-Free Resolution-Based Membership Inference Attack on Federated Learning Models

Resumo Técnico: Res-MIA

Definição do Problema
Ataques de Inferência de Membros (MIAs) representam uma ameaça crítica à privacidade, na qual adversários determinam se uma amostra de dados específica fez parte do conjunto de treinamento de um modelo. Embora o Aprendizado Federado (FL) seja projetado para preservar a privacidade ao descentralizar os dados, evidências recentes indicam que o modelo global final ainda pode vazar informações de membros através de acesso de caixa-preta (black-box). Os MIAs existentes frequentemente dependem de modelos de sombra (shadow models) computacionalmente caros, exigem dados auxiliares ou dependem de métricas de consulta única (como perda ou entropia) que falham em capturar diferenças comportamentais sutis entre membros e não membros. Além disso, muitos métodos atuais enfrentam dificuldades em configurações de caixa-preta restritas, onde apenas pontuações de confiança ou rótulos estão disponíveis.

Metodologia: Res-MIA
O artigo introduz o Res-MIA, um novo ataque de inferência de membro de caixa-preta e livre de treinamento. A intuição central é que modelos de aprendizado profundo treinados em conjuntos de dados específicos tendem a sofrer overfitting ao memorizar detalhes de alta frequência e granulação fina presentes nas amostras de treinamento. Em contraste, as predições em amostras não vistas (não membros) baseiam-se mais fortemente em características robustas, de baixa frequência e de granulação grossa.

O Res-MIA explora essa sensibilidade degradando progressivamente a resolução da entrada e observando o decaimento resultante na confiança da predição do modelo. O fluxo de ataque opera da seguinte forma:

1. Erosão Progressiva: Começando com uma imagem de entrada $x_0$, o método aplica uma sequência de $K$ etapas de erosão. Em cada etapa $k$, a resolução da imagem é reduzida via pooling médio (average pooling) e, em seguida, restaurada ao tamanho original usando interpolação de vizinho mais próximo (nearest-neighbor interpolation). Esta combinação específica atua como um filtro passa-baixa que suprime detalhes de alta frequência sem reconstruí-los artificialmente (um risco com interpolações mais suaves como a bilinear).
2. Rastreamento de Confiança: O modelo alvo é consultado em cada etapa de erosão $k$ para obter a confiança da predição $c_k$ para a classe prevista.
3. Pontuação: Uma Pontuação de Decaimento de Confiança (Confidence Decay Score), $S(x)$, é calculada como a taxa média de perda de confiança através das etapas de erosão:
   $$S(x) = \frac{f_{y^*}(x_0) - f_{y^*}(x_K)}{K}$$
   onde $y^*$ é a classe prevista para a entrada original.
4. Inferência: A hipótese é que amostras membros exibem um declínio de confiança significativamente mais acentuado (maior $S(x)$) conforme os detalhes de alta frequência são removidos, enquanto amostras não membros apresentam um declínio mais gradual.

Principais Contribuições

• Livre de Treinamento e Caixa-Preta: Diferente dos ataques baseados em modelos de sombra, o Res-MIA não requer dados auxiliares, não exige o treinamento de classificadores de ataque e não possui acesso aos gradientes do modelo. Ele opera exclusivamente através de passagens de ida (forward passes) do modelo alvo.
• Novo Sinal: O artigo identifica o "overfitting sensível à frequência" como uma fonte robusta de vazamento de privacidade. Demonstra que a taxa de decaimento da confiança sob erosão de resolução é um sinal de membro mais forte do que métricas estáticas como confiança inicial ou entropia.
• Eficiência: O ataque é computacionalmente leve, exigindo apenas um pequeno número de passagens de ida (por exemplo, $K+1$ consultas) por amostra.

Resultados Experimentais
Os autores avaliaram o Res-MIA em um modelo Federated ResNet-18 treinado no conjunto de dados CIFAR-10 com 10 clientes.

• Desempenho: O Res-MIA alcançou um AUC de 0,88, superando substancialmente as linhas de base de caixa-preta livres de treinamento existentes, incluindo um ataque baseado em perda (AUC 0,75) e um ataque baseado em entropia (AUC 0,68).
• Taxa de Falso Positivo: Em uma Taxa de Verdadeiro Positivo (TPR) fixa de 80%, o Res-MIA reduziu a Taxa de Falso Positivo (FPR) para 0,19, quase metade da linha de base baseada em confiança (0,38).
• Robustez: O ataque demonstrou desempenho consistente em todos os 10 clientes federados, com valores de AUC por cliente variando entre 0,86 e 0,89, indicando que não depende de artefatos específicos de cada cliente.
• Ablação: O estudo confirmou que a upsampling por vizinho mais próximo é crítica; o uso de interpolação bilinear degradou o desempenho (o AUC caiu para 0,72), provavelmente porque a interpolação mais suave mascara os efeitos da remoção de alta frequência.
• Sobrecarga (Overhead): O custo computacional foi modesto, com um tempo de inferência de 18,9 ms por amostra (comparado a 3,1 ms para uma única passagem de ida), tornando-o viável para cenários de larga escala.

Significância e Alegações
O artigo afirma que o Res-MIA destaca um mecanismo de vazamento de privacidade anteriormente subexplorado: a dependência de modelos com overfitting em características de entrada de granulação fina e não robustas. Os autores argumentam que esta descoberta sugere que o design de modelos que preservam a privacidade deve ir além da melhoria da generalização; é necessário reduzir explicitamente a dependência de um modelo em relação aos detalhes de alta frequência.

O trabalho posiciona-se como um complemento à literatura de defesa existente (como Privacidade Diferencial ou regularização adversária). Ao demonstrar que sinais de membro podem ser extraídos puramente através da transformação de entrada sem retreinamento, o artigo enfatiza a necessidade de modelos que sejam inerentemente robustos a perturbações baseadas em frequência. Os autores concluem que mitigar esses riscos requer uma mudança na forma como os modelos são projetados, para garantir que não memorizem pistas frágeis e específicas de cada amostra.