Resumo Técnico: Ataques Sequenciais de Inferência de Membro

Declaração do Problema

Modelos de aprendizado de máquina modernos raramente são estáticos; eles passam por atualizações contínuas, ajuste fino e versionamento ao longo de seus ciclos de vida. Embora a auditoria de privacidade geralmente se concentre em um único instantâneo estático do modelo, essa abordagem falha em aproveitar a estrutura temporal das liberações de modelos. Métodos existentes frequentemente tratam atualizações de modelos como eventos isolados ou agregam pontuações de forma heurística, potencialmente diluindo o sinal de vazamento de privacidade à medida que os dados de treinamento se acumulam. O artigo aborda o desafio de projetar ataques de Inferência de Membro Sequencial (SeMI) que exploram a sequência de modelos liberados para realizar auditorias de privacidade mais rigorosas. Especificamente, os autores investigam se um adversário, dado acesso a uma sequência de $T$ instantâneos de modelos e a capacidade de controlar o tempo de inserção $\tau$ de um "canário" alvo (um ponto de dados específico), pode alcançar um poder de distinção maior do que ataques restritos ao instantâneo final do modelo.

Metodologia

Estrutura Teórica: O Jogo SeMI

Os autores formalizam o problema como um jogo de teste de hipóteses entre um "criador" (que insere o alvo) e um "adversário" (que observa a sequência de modelos).

• Hipóteses: O adversário testa $H_0$ (o alvo $z^*$ não está nos dados de treinamento) contra $H_\tau^1$ (o alvo foi inserido especificamente no lote no passo $\tau$).
• Auditoria de Privacidade: Os erros do ataque SeMI (Tipo I e Tipo II) são mapeados para um limite inferior no parâmetro de privacidade diferencial $\epsilon$ usando uma versão generalizada do teorema de composição para privacidade diferencial. Um limite mais rigoroso é alcançado minimizando esses erros.

Derivação do Ataque Ótimo: Média Empírica

O artigo primeiro deriva o ataque ótimo para o mecanismo de média empírica em dados Gaussianos.

• SeMI* (Ataque Ótimo): Usando o lema de Neyman-Pearson, os autores derivam o teste de Razão de Verossimilhança (LR) para um tempo de inserção $\tau$ conhecido.
• Propriedade de Isolamento: Uma descoberta teórica chave é a propriedade de isolamento. A razão de verossimilhança para a sequência inteira $(o_1, \dots, o_T)$ fatora de modo que a estatística de teste depende apenas das estatísticas do lote imediatamente antes e depois do passo de inserção ($\hat{\mu}_{\tau-1}$ e $\hat{\mu}_\tau$). As contribuições de todos os outros passos cancelam-se.
• Implicação: Diferentemente de um ataque de "Observação Final", que agrupa o alvo entre $nT$ amostras (diluindo o sinal por um fator de $T$), o ataque SeMI* opera em um lote recuperado de tamanho $n$. Consequentemente, seu poder de distinção permanece constante, independentemente do número total de passos de treinamento $T$.
• $\tau$ Desconhecido: Os autores também derivam variantes para tempos de inserção desconhecidos: SeMI$_{max}$ (teste de Razão de Verossimilhança Generalizada) e SeMI$_{Unif}$ (assumindo uma priora uniforme em $\tau$).

Extensão para (DP-)SGD

Para aplicar essas ideias ao aprendizado profundo prático, os autores estendem a estrutura para modelos treinados com Descida de Gradiente Estocástica (Diferencialmente Privada) (DP-SGD).

• Suposição: Eles assumem que os gradientes do lote seguem uma distribuição Gaussiana (justificada pelo Teorema do Limite Central).
• SeMI$_{SGD}$ (Caixa-Branca): Sob essa suposição, a propriedade de isolamento vale para as atualizações de parâmetros. A estatística de teste ótima é um produto interno ponderado por Mahalanobis entre a atualização de parâmetros escalonada ($\theta_\tau - \theta_{\tau-1}$) e o desvio do gradiente do alvo em relação à média da população.
• Ataques Caixa-Preta: Quando apenas valores de perda são acessíveis, os autores propõem estatísticas de Diferença de Perda (Loss Diff) e Razão de Perda (Loss Ratio). Estas contrastam a perda do alvo no modelo antes e depois do passo de inserção ($\ell(\theta_{\tau-1}; z^*)$ vs. $\ell(\theta_\tau; z^*)$), restringindo efetivamente heurísticas anteriores (como Back-Front ou Delta) à transição específica onde o sinal está concentrado.

Contribuições Principais

1. Ataque SeMI Ótimo (SeMI*): A derivação do ataque de inferência de membro teoricamente ótimo para observações sequenciais, parametrizado pelo tempo de inserção. O artigo prova que este ataque alcança uma propriedade de isolamento, tornando seu poder independente do número total de passos de treinamento $T$, ao contrário de ataques estáticos.
2. Ataques SeMI Caixa-Branca e Caixa-Preta para (DP-)SGD: A extensão da estrutura ótima de LR para treinamento baseado em gradientes. Isso inclui SeMI$_{SGD}$ (usando gradientes) e substitutos práticos baseados em perda (Diferença de Perda, Razão de Perda) que recuperam e refinam heurísticas existentes ao focar na transição específica de inserção.
3. Protocolo de Auditoria de Privacidade Sequencial: Uma formalização da auditoria de privacidade como um jogo sequencial. Os autores demonstram como converter as taxas de erro dos ataques SeMI em limites inferiores rigorosos para $\epsilon$.
4. Validação Empírica: Experimentos extensivos em dados sintéticos e conjuntos de dados do mundo real (Fashion-MNIST, CIFAR-10, Purchase-100) treinados com DP-SGD.

Resultados

• Superioridade sobre Baselines Estáticas: Em todos os conjuntos de dados e modelos, os ataques SeMI consistentemente alcançam maior poder de distinção (TPR em FPR fixo) e produzem limites inferiores de privacidade mais rigorosos ($\hat{\epsilon}$) em comparação com baselines independentes de instantâneos como LiRA, Back-Front e ataques Delta.
• Impacto do Comprimento da Sequência ($T$): No cenário de média empírica, o poder do SeMI* permanece constante à medida que $T$ aumenta, enquanto o poder do ataque de "Observação Final" degrada-se significativamente. Nos experimentos com DP-SGD, observar a sequência completa de instantâneos produz limites $\epsilon$ mais rigorosos do que observar apenas o modelo final.
• Optimalidade de Métodos Baseados em LR: O SeMI$_{SGD}$ baseado em razão de verossimilhança supera métodos heurísticos baseados em perda (Delta, Back-Front), particularmente em regimes de baixa privacidade (baixo $\epsilon$) e regimes de baixa taxa de falso-positivo, que são críticos para auditorias rigorosas.
• Papel do Tempo de Inserção ($\tau$):
  • Conhecer o tempo de inserção $\tau$ produz auditorias significativamente mais rigorosas do que tratar $\tau$ como desconhecido (comparando SeMI$_{SGD}$ vs. SeMI$_{SGD}^{max}$).
  • A rigorosidade da auditoria depende fortemente de $\tau$. Em cenários de ajuste fino com DP-SGD, tempos de inserção posteriores frequentemente produzem limites mais rigorosos, sugerindo que o sinal é mais forte uma vez que o modelo se afastou da inicialização.

Significado e Alegações

O artigo alega que escrutinar a sequência de modelos liberados produz auditorias de privacidade mais rigorosas do que analisar um único instantâneo final. Ao aproveitar a propriedade de isolamento, os ataques SeMI impedem que o sinal de privacidade seja diluído à medida que os dados de treinamento se acumulam.

Os autores enfatizam que sua abordagem fornece um design principiado e orientado por teoria para ataques de inferência de membro, indo além da agregação heurística de pontuações. Eles argumentam que a capacidade de controlar o tempo de inserção $\tau$ atua como uma nova alavanca acionável para auditores, permitindo-lhes selecionar momentos ótimos para inserção a fim de maximizar a rigorosidade da auditoria. O trabalho preenche a lacuna entre garantias teóricas de privacidade diferencial e estimativas empíricas de privacidade, mostrando que o acesso sequencial pode melhorar significativamente a precisão das auditorias de privacidade para sistemas de ML modernos e em evolução.

O artigo permanece modesto quanto às suas suposições, observando que a optimalidade teórica depende de aproximações de gradientes Gaussianos e distribuições conhecidas, embora os resultados empíricos em DP-SGD sugiram que a propriedade de isolamento se mantém robustamente mesmo em cenários complexos de aprendizado profundo. Sugere-se trabalho futuro para adaptar técnicas de auditoria de execução única ao cenário sequencial e estudar mais a fundo o impacto de mudanças de distribuição entre liberações de modelos.