Quantifying the Privacy of Counterfactuals by Leveraging Membership Inference Attacks Against Synthetic Data

Resumo Técnico: Quantificando a Privacidade de Contrafactuais ao Aproveitar Ataques de Inferência de Membro contra Dados Sintéticos

Definição do Problema
Explicações contrafactuais são amplamente utilizadas em aplicações de aprendizado de máquina (ML) de alto risco para elucidar decisões de modelos, mostrando aos usuários como alterar seus perfis para alcançar um resultado desejado. No entanto, a liberação dessas explicações acarreta um risco de privacidade. Embora pesquisas existentes tenham identificado que os contrafactuais podem vazar informações sobre os dados de treinamento por meio de Ataques de Inferência de Membro (MIAs), os ataques atuais específicos para contrafactuais (ex: o Ataque de Distância de Contrafactual) tipicamente exigem que o adversário tenha acesso de consulta ao modelo alvo. Essa limitação permite que provedores de modelos possam mitigar riscos potencialmente restringindo taxas de consulta ou fornecendo contrafactuais repetitivos. O artigo aborda a lacuna crítica de se violações de privacidade podem ocorrer em um cenário "no-box", onde um adversário tem acesso apenas a um conjunto de contrafactuais liberados, sem qualquer acesso ao modelo subjacente, aos seus dados de treinamento ou à capacidade de consultá-lo.

Metodologia
Os autores propõem um novo modelo de ameaça que trata os contrafactuais liberados como uma forma de dados sintéticos. Baseando-se na analogia de que os contrafactuais são substitutos realistas para dados de treinamento reais, semelhantes aos dados sintéticos gerados por GANs ou outros modelos generativos, o artigo investiga a transferibilidade de MIAs de estado da arte projetados para dados sintéticos para o cenário contrafactual.

O framework experimental envolve as seguintes etapas:

1. Definição do Modelo de Ameaça: O estudo define um cenário de ataque "no-box" onde o adversário possui um conjunto de contrafactuais gerados para vários usuários, mas carece de acesso ao modelo alvo ($f_\theta$) ou ao conjunto de dados de treinamento ($D$). Isso é contrastado com um cenário de linha de base de "acesso de consulta" (o Ataque de Distância de Contrafactual), que utiliza modelos de sombra e requer a consulta ao modelo alvo para calcular distâncias.
2. Implementação do Ataque: Os autores implementam um ensemble de seis MIAs de estado da arte para dados sintéticos:
   • Distance to Closest Record (DCR/DCR-Diff)
   • Monte-Carlo Attack
   • DOMIAS (MIA baseado em densidade)
   • Data Plagiarism Index (DPI)
   • Gen-LRA (Generative Likelihood Ratio Attack)
   • LOGAN/Classifier
     Estes ataques são aplicados a contrafactuais gerados por quatro mecanismos distintos:
   • Baseados em instâncias: Nearest Instance Counterfactual Explanations (NICE) e Diverse Counterfactual Explanations usando k-d trees (Dice-kdtree).
   • Baseados em perturbação: Diverse Counterfactual Explanations usando gradientes (Dice-gradient) e SCFE (Smooth Counterfactual Explanations).
3. Estratégia de Ensemble: Para lidar com a incerteza de qual mecanismo de ataque é mais eficaz para um método específico de geração de contrafactual, os autores empregam estratégias de ensemble (Votação Majoritária e Agregação de Média) para combinar os sinais dos seis ataques individuais.
4. Configuração Experimental: Experimentos foram conduzidos em quatro conjuntos de dados tabulares (Adult, Acs_income, Compas, Heloc) utilizando várias técnicas de geração de contrafactuais. O desempenho foi avaliado usando ROC AUC, Taxa de Verdadeiros Positivos (TPR) em baixas Taxas de Falsos Positivos (FPR) e Precisão-Recall AUC.

Principais Contribuições

• Unindo Domínios: O artigo estabelece um elo teórico e prático entre a privacidade de dados sintéticos e a privacidade contrafactual, demonstrando que MIAs projetados para dados sintéticos são diretamente aplicáveis a contrafactuais.
• Viabilidade de Ataque No-Box: Os autores demonstram que ataques de MIA bem-sucedidos podem ser realizados contra contrafactuais sem qualquer acesso ao modelo gerador ou aos dados de treinamento, desafiando a suposição de que limitar o acesso de consulta é suficiente para a proteção da privacidade.
• Eficácia do Ensemble: O estudo mostra que um ensemble de ataques de dados sintéticos supera o Ataque de Distância de Contrafactual existente na maioria dos cenários, particularmente quando os contrafactuais são baseados em instâncias.
• Análise de Vulnerabilidade: A pesquisa identifica que a vulnerabilidade dos contrafactuais a MIAs correlaciona-se com sua similaridade com a distribuição dos dados de treinamento. Métodos baseados em instâncias (que selecionam instâncias reais de treinamento) são considerados mais vulneráveis do que métodos baseados em perturbação (que alteram valores de características).

Resultos
Os resultados experimentais indicam que o MIA de ensemble é consistentemente mais forte que o Ataque de Distância de Contrafactual (Dist-LRT) na maioria dos conjuntos de dados e métodos de geração de contrafactuais, com a exceção notável do método dice_gradient no dataset Compas.

• Baseados em Instâncias vs. Baseados em Perturbação: O ataque de ensemble supera significativamente a linha de base em contrafactuais baseados em instâncias (NICE, Dice-kdtree), alcançando pontuações de ROC AUC de até 0,694 (SCFE no Compas) e 0,624 (Dice-kdtree no Compas). Em contraste, ambos os ataques performam próximo ao acaso em métodos baseados em perturbação (Dice-gradient, SCFE) para conjuntos de dados maiores, embora o ensemble ainda mantenha uma leve vantagem.
• Tamanho do Dataset: O desempenho do ataque é geralmente maior em datasets menores (Compas, Heloc) comparados a maiores (Adult, Acs_income), consistente com a hipótese de que datasets menores levam a uma maior memorização.
• Proximidade e Diversidade: O estudo descobriu que uma maior proximidade com a instância original geralmente aumenta a vulnerabilidade, embora essa relação seja não linear. Limitar mudanças apenas a características "acionáveis" aumentou a vulnerabilidade no dataset Acs_income, mas a diminuiu no Compas.
• Superioridade No-Box: No dataset Compas usando Dice-kdtree, o ataque de ensemble no-box mostrou uma melhoria de 26% sobre a linha de base de consulta, destacando a severidade do risco mesmo sem acesso ao modelo.

Significância e Alegações
O artigo alega que a liberação de contrafactuais sem medidas robustas de privacidade constitui um risco significativo de privacidade, mesmo quando os provedores de modelos limitam o acesso de consulta. Os autores argumentam que, como os contrafactuais atuam como substitutos realistas para os dados de treinamento, eles herdam as vulnerabilidades de privacidade dos dados sintéticos.

• Implicação para Profissionais: Desenvolvedores de modelos devem exercer cautela ao liberar contrafactuais, pois estes podem ser explorados para inferir a participação no conjunto de treinamento sem a necessidade de consultar o modelo.
• Implicação para Auditores: O cenário de ataque no-box proposto permite que auditores externos avaliem a vazão de privacidade em modelos implantados sem exigir acesso aos próprios modelos.
• Limitações e Trabalhos Futuros: Os autores observam modestamente que, para alguns datasets e métodos, o desempenho do ataque é apenas ligeiramente superior ao acaso. Eles esclarecem que isso não garante a privacidade, pois o vazamento ainda pode existir mesmo que o MIA específico falhe. Sugerem que defesas como Privacidade Diferencial (DP) na geração de contrafactuais ou o retorno de instâncias prototípicas em vez de contrafactuais específicos de consulta poderiam mitigar esses riscos.