Privacy Evaluation of Generative Models for Trajectory Generation

Resumo Técnico: Avaliação de Privacidade de Modelos Generativos para Geração de Trajetórias

Enunciado do Problema
Os dados de trajetória são críticos para aplicações de inteligência urbana, mas apresentam riscos graves de privacidade, pois um pequeno número de pontos espaço-temporais pode identificar indivíduos de forma única. Embora modelos generativos profundos (Autoencoders Variacionais, Redes Adversariais Generativas e Modelos de Difusão) sejam cada vez mais utilizados para sintetizar dados de trajetória a fim de evitar o compartilhamento de registros reais, a suposição de que esses modelos preservam inerentemente a privacidade não está comprovada. Sabe-se que modelos generativos memorizam dados de treinamento, permitindo potencialmente que adversários reconstruam registros originais ou inferam informações sensíveis. Atualmente, há uma lacuna significativa na avaliação empírica da privacidade dentro da literatura de geração de trajetórias; muitos estudos focam exclusivamente na utilidade dos dados e na qualidade da geração, frequentemente negligenciando avaliações rigorosas de privacidade. Além disso, garantias formais de privacidade, como Privacidade Diferencial (DP), possuem limitações, incluindo trade-offs com a utilidade dos dados, possíveis falhas em provas de implementação e a incapacidade de defender contra todos os tipos de ataques (por exemplo, inferência de propriedades).

Metodologia
Os autores propõem uma investigação sistemática sobre a privacidade da geração sintética de trajetórias através de três etapas principais:

1. Revisão e Categorização da Literatura: O artigo primeiro categoriza os métodos existentes de avaliação empírica de privacidade aplicáveis a trajetórias, incluindo Vinculação de Usuário de Trajetória (TUL), Probabilidade de Ataque de Vinculação (LA), Ataques de Reconstrução (RAoPT, iTracker), Probabilidade de Ataque de Rastreamento (TA), Informação Mútua (MI) e Ataques de Inferência de Associação (MIA).
2. Análise de Lacunas: Os autores analisam modelos generativos representativos (VAEs, GANs e Modelos de Difusão) para mapear seu uso desses métodos de avaliação. Eles constatam que estudos de VAE e Modelos de Difusão geralmente carecem de avaliação de privacidade, enquanto apenas um subconjunto de estudos de GAN inclui qualquer forma de avaliação. Crucialmente, nenhum estudo revisado havia aplicado anteriormente Ataques de Inferência de Associação (MIAs) a modelos generativos de trajetória.
3. Avaliação Empírica via MIAs: Para abordar essa lacuna, os autores implementam Ataques de Inferência de Associação contra quatro modelos representativos:
   • Baseados em GAN: LSTM-TrajGAN e MoveSim.
   • Baseados em Difusão: DiffTraj e Diff-RNTraj.
   • Formulações de Ataque:
     • Para GANs, utiliza-se um MIA baseado no discriminador, aproveitando as pontuações de confiança do discriminador para distinguir entre trajetórias de treinamento (membros) e não de treinamento (não membros).
     • Para Modelos de Difusão, emprega-se um MIA baseado em perda, calculando o Erro Quadrático Médio (MSE) negativo da previsão média de ruído ao longo de múltiplos passos de tempo. Uma perda menor indica uma maior probabilidade de associação.
   • Conjuntos de Dados: Os experimentos utilizam os conjuntos de dados de trajetória de táxi Foursquare NYC, GeoLife e DiDi Chengdu. A avaliação é conduzida em um cenário de caixa branca, onde o adversário tem acesso total aos pesos e à arquitetura do modelo.

Principais Contribuições

1. Identificação da Lacuna de Avaliação: O artigo identifica e categoriza métodos de avaliação empírica de privacidade para geração de trajetórias e demonstra uma falta significativa de tais avaliações na literatura atual, particularmente no que diz respeito a MIAs.
2. Mapeamento Sistemático: Os autores mapeiam sistematicamente modelos generativos representativos (VAEs, GANs, Modelos de Difusão) para métodos de avaliação existentes, destacando que as práticas atuais frequentemente falham em avaliar os riscos de privacidade de forma abrangente.
3. Demonstração de Viabilidade: O trabalho fornece a primeira implementação de Ataques de Inferência de Associação contra modelos generativos de trajetória, provando que tais avaliações empíricas são práticas e necessárias.

Resultados
A avaliação empírica produziu resultados mistos entre os quatro modelos testados, demonstrando que os riscos de privacidade dependem do modelo:

• MoveSim (GAN): Apresentou uma AUC-ROC de 0,7002, indicando evidências claras de vazamento de associação. Isso sugere que o modelo memorizou trajetórias específicas de treinamento em um grau explorável por um adversário.
• LSTM-TrajGAN (GAN), DiffTraj (DM) e Diff-RNTraj (DM): Apresentaram valores de AUC-ROC próximos a 0,5 (variando de 0,4949 a 0,5029), consistentes com um chute aleatório. Sob as formulações de ataque específicas utilizadas, esses modelos não exibiram vazamento de associação explorável.

Significância e Alegações
O artigo alega que a natureza generativa desses modelos não elimina os riscos de privacidade. O sucesso do ataque no MoveSim confirma que as vulnerabilidades de privacidade são tangíveis e não podem ser presumidas como ausentes simplesmente porque os dados são sintéticos. Os autores argumentam que:

• Garantias formais (como DP) são insuficientes por si só devido a falhas de implementação, escolhas inadequadas da Unidade de Privacidade (UoP) e limitações de escopo.
• A avaliação empírica é um complemento necessário às garantias formais, ou um substituto onde tais garantias estão ausentes.
• As descobertas sublinham a necessidade de uma avaliação empírica de privacidade sistemática e abrangente em toda a gama de modelos generativos de trajetória para garantir a segurança da implantação de dados sintéticos.

Os autores concluem modestamente que, embora seu trabalho demonstre a viabilidade de MIAs, outras formulações e categorias de ataque (como ataques de reconstrução ou inferência de propriedades) podem revelar vulnerabilidades adicionais, necessitando de investigação mais ampla.