Resumo Técnico: FERMI – Explorando Relações para Inferência de Membros Contra Modelos de Difusão Tabular

1. Declaração do Problema

Os modelos de difusão tornaram-se o paradigma líder para a síntese de dados tabulares, particularmente em domínios de alto risco como saúde e finanças, onde regulamentações de privacidade (por exemplo, GDPR, HIPAA) restringem a liberação direta de dados. Embora os Ataques de Inferência de Membros (MIAs) sejam a ferramenta padrão para avaliar os riscos de privacidade desses modelos generativos, os ataques existentes assumem predominantemente um cenário de tabela única.

Essa suposição ignora a realidade de que dados tabulares sensíveis residem tipicamente em bancos de dados multi-relacionais, onde as informações de um indivíduo abrangem tabelas interconectadas (por exemplo, pacientes vinculados a prescrições, resultados de laboratório e dados demográficos). Avaliações atuais que ignoram essa estrutura relacional correm o risco de subestimar significativamente a exposição à privacidade.

Um desafio crítico surge em modelos de ameaça realistas: um adversário pode possuir dados auxiliares ricos contendo estruturas relacionais completas (por exemplo, através de violações anteriores ou liberações públicas) durante a fase de treinamento do ataque. No entanto, no momento da inferência de membros, o adversário frequentemente observa apenas uma linha candidata da tabela alvo, sem acesso aos registros específicos desse indivíduo em tabelas pai ou filho relacionadas. O artigo aborda a lacuna de como aproveitar informações auxiliares relacionais disponíveis durante o treinamento para realizar um ataque mais forte, mesmo quando a inferência é restrita a atributos de tabela única.

2. Metodologia: Framework FERMI

Os autores propõem o FERMI (FEature-mapping for Relational Membership Inference), um framework projetado para destilar sinais de membros relacionais em um espaço de características de tabela única. A abordagem segue o paradigma padrão de modelo sombra e opera em três etapas:

A. Extração de Características Emparelhadas

O adversário treina $S$ modelos de difusão sombra em subconjuntos disjuntos de um conjunto de dados auxiliar ($D_{aux}$). Para cada registro sombra, dois fluxos de características são extraídos:

1. Fluxo de Tabela Única: Características $\Phi_{single}(x)$ são extraídas de um modelo sombra treinado exclusivamente na tabela alvo $T_j$.
2. Fluxo Relacional: Características $\Phi_{multi}(\tilde{x})$ são extraídas de um modelo sombra treinado em uma representação mesclada onde o registro alvo $x$ é aumentado com seu contexto relacional (por exemplo, unido com tabelas pai $T_p$).

A extração de características utiliza uma abordagem de impressão digital de perda, calculando a perda de remoção de ruído $\ell_{\theta}(x_0, t, \epsilon)$ em múltiplos passos de tempo e realizações de ruído. Empiricamente, membros de treinamento exibem sistematicamente perdas de remoção de ruído mais baixas do que não membros.

B. Mapeamento de Características

A inovação central é aprender uma função de mapeamento $f_{map}$ que projeta características de tabela única em direção às suas contrapartes relacionais. Isso é formulado como um problema de adaptação de domínio com dois objetivos:

1. Reconstrução Ponto a Ponto: Minimizar a distância euclidiana entre as características mapeadas e as características relacionais verdadeiras: $\|f_{map}(\Phi_{single}(x)) - \Phi_{multi}(\tilde{x})\|^2_2$.
2. Alinhamento Distribucional: Usar a perda CORAL (Correlation Alignment) para corresponder as estruturas de covariância dos espaços de características mapeados e verdadeiros de múltiplas tabelas, garantindo que a geometria relacional seja preservada.

C. Predição de Membros

Um classificador de ataque $f_{att}$ é treinado nas características mapeadas para prever rótulos de membros. O framework permite o ajuste fino conjunto tanto do mapeador quanto do classificador, onde os gradientes do objetivo de classificação refinam o mapeador para extrair características mais informativas para a inferência de membros.

Modelo de Ameaça:

• Fase de Treinamento: O adversário tem acesso a dados auxiliares com estrutura relacional completa (Informação Lateral de Contexto-Pai ou Informação Lateral Relacional Completa).
• Fase de Inferência: O adversário está restrito apenas à tabela alvo (acesso a uma única linha) e ao modelo alvo (ou suas saídas sintéticas em configurações de caixa preta). O mapeador é aplicado às características de tabela única para recuperar o sinal relacional sem necessidade das tabelas relacionadas no momento da inferência.

3. Contribuições Principais

1. Formalização de MIAs Relacionais: O artigo demonstra que o contexto relacional produz sinais de membros substancialmente mais fortes em modelos de difusão tabular em comparação com cenários de tabela única e formaliza o problema de inferência de membros em cenários multi-relacionais.
2. Framework FERMI: Introduz um framework de mapeamento de características que destila com sucesso sinais de membros relacionais no espaço de características de tabela única. Isso permite ataques mais fortes sem exigir acesso a dados relacionais no momento da inferência, resolvendo a assimetria treinamento-inferência.
3. Avaliação Abrangente: O framework é avaliado em três arquiteturas de difusão (TabDDPM, TabSyn, TabDiff) e três conjuntos de dados relacionais do mundo real (California, Instacart, Berka) sob configurações de caixa branca e caixa preta.

4. Resultados Experimentais

A avaliação abrange três conjuntos de dados e três arquiteturas de modelo, comparando três cenários: Tabela Única Direta (linha de base), Tabela Mesclada Direta (limite superior com acesso relacional completo) e FERMI.

• Ganhos de Desempenho: O FERMI supera consistentemente as linhas de base de tabela única.
  • No cenário de caixa branca, o FERMI melhorou a Taxa de Verdadeiros Positivos em 0,1 de Taxa de Falsos Positivos (TPR@0.1FPR) em até 53% sobre a linha de base de tabela única para TabDDPM e TabDiff.
  • No cenário de caixa preta (usando modelos substitutos treinados em dados sintéticos), o FERMI melhorou o TPR@0.1FPR em 22% sobre a linha de base.
• Sensibilidade do Modelo:
  • TabDDPM e TabDiff (modelos no espaço de dados) mostraram alta suscetibilidade a ataques relacionais. O ataque "Mesclado" (acesso relacional completo) alcançou desempenho próximo ao teto (por exemplo, TPR@0.01 de 0,994 no Instacart para TabDDPM), destacando riscos graves de privacidade quando dados relacionais estão envolvidos.
  • TabSyn (modelo no espaço latente) provou ser notavelmente resistente. Mesmo com acesso relacional completo, sua AUC permaneceu próxima aos níveis de palpite aleatório. Isso sugere que o gargalo do espaço latente atua como uma proteção estrutural de privacidade, e o FERMI não pôde destilar sinais úteis porque o próprio sinal relacional era fraco para essa arquitetura.
• Extensão de Caixa Preta: O artigo confirma que o sinal relacional persiste mesmo quando o adversário observa apenas dados sintéticos. O FERMI recuperou aproximadamente 55% da lacuna de AUC entre a linha de base de tabela única e o limite superior de tabela mesclada no cenário de caixa preta.

5. Significado e Alegações

O artigo afirma que avaliar modelos de difusão tabular em cenários de tabela única subestima significativamente o risco real de privacidade. A presença de estrutura relacional nos dados de treinamento cria rastros de membros mais fortes que podem ser explorados por adversários com conhecimento relacional auxiliar.

As principais descobertas incluem:

• Contexto Relacional como Vulnerabilidade: A estrutura relacional codifica sinais de condicionamento mais ricos que os modelos de difusão internalizam, deixando impressões digitais mais fortes na perda de remoção de ruído.
• Dependência Arquitetural: Os riscos de privacidade dependem altamente da arquitetura do modelo. Modelos que operam diretamente no espaço de dados (TabDDPM, TabDiff) são significativamente mais vulneráveis do que aqueles que usam codificação latente (TabSyn).
• Implicações Práticas: O framework FERMI demonstra que um adversário não precisa de acesso direto a tabelas relacionadas no momento da inferência para realizar um ataque sofisticado; eles apenas precisam ter aprendido o mapeamento relacional durante a fase de treinamento.

Os autores concluem que as decisões arquitetônicas tomadas a montante dos mecanismos de privacidade (por exemplo, escolher difusão em espaço latente versus espaço de dados) merecem escrutínio mais próximo em implantações sensíveis à privacidade, pois a codificação latente parece ser o determinante primário da resistência à inferência de membros em cenários relacionais.