🤖 machine learning

FERMI: Exploiting Relations for Membership Inference Against Tabular Diffusion Models

本文介绍了 FERMI，这是一种新颖的成员推断攻击，它利用训练过程中可用的关系辅助信息，显著提升了多表场景下表结构扩散模型的隐私风险评估能力，其真阳性率比现有的单表基线方法高出多达 53%。

原作者： Abtin Mahyar, Masoumeh Shafieinejad, Yuhan Liu, Xi He

发布于 2026-05-13

📖 1 分钟阅读☕ 轻松阅读

原作者： Abtin Mahyar, Masoumeh Shafieinejad, Yuhan Liu, Xi He

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

以下是论文《FERMI：利用关系对表格扩散模型进行成员推理攻击》的通俗解释，辅以生动的类比。

宏观视角：“合成数据”的安全检查

想象一家医院希望与研究人员共享患者数据以研究疾病，但由于隐私法规，他们无法共享真实的姓名和地址。因此，他们使用一个超级智能的 AI（称为扩散模型）来生成虚假但逼真的患者记录。这些虚假记录在外观和行为上与真实记录完全一致，但它们并非真实的人。

核心问题是：这些虚假数据真的安全吗？ 黑客能否通过查看虚假数据，推断出某个特定真实人物（例如“约翰·多伊”）是否包含在原始训练集中？

这被称为成员推理攻击。这就像侦探试图仅通过观察模具，来猜测某个特定的指纹是否被用来制作该模具。

问题所在：“单表”的盲点

针对这些 AI 模型的大多数安全测试，一次只查看一张数据表。

类比：想象侦探试图仅通过查看嫌疑人的单张面部照片来识别嫌疑人。
现实：现实生活不仅仅是一张照片。一个人的数据分散在许多相互关联的文件中：他们的病史、处方、化验结果和保险索赔。这些文件像家谱一样相互链接。

该论文指出，以往的安全测试过于简单。它们只看了“脸”（单张表），却忽略了“家谱”（关联的表）。通过忽略这些关联，它们低估了系统被攻破的难易程度。

发现：“家谱”暴露了秘密

研究人员发现，当 AI 从关联数据（例如与处方关联的患者）中学习时，它也会记忆这些关系。

类比：如果你教一个孩子识别狗，他们可能只学会了狗长什么样。但如果你教他们“这只狗总是坐在某只特定的猫旁边”，他们就会记住这个配对。如果你稍后只给他们看狗，他们甚至可能告诉你这只狗属于哪只猫，即使你只给他们看了狗。

论文表明，如果攻击者知道“家谱”（表与表之间的关系），他们比仅查看单张表时能更容易地识别出真实人物。当包含这些关联时，AI 留下的“指纹”要强烈得多。

解决方案：FERMI（“翻译器”）

这里是棘手之处：在现实世界中，黑客通常只能看到单张表（“脸”）。在他们发动攻击的那一刻，他们无法访问完整的家谱（“处方”或“化验结果”）。

那么，如果你没有家谱，如何利用“家谱”的知识呢？

作者构建了一个名为FERMI的工具。

类比：想象一名间谍在训练期间研究了嫌疑人的整个生活（家庭、朋友、习惯）。但当他们去机场抓捕嫌疑人时，他们只看到了嫌疑人的脸。
FERMI 的工作原理：间谍使用一个“心理翻译器”。因为他们研究了嫌疑人的完整生活，他们知道“如果这张脸看起来像 X，通常意味着该嫌疑人与 Y 有关联”。
过程：
1. 训练：攻击者使用一个拥有完整家谱的虚假数据集来训练一个“翻译器”（神经网络）。他们教导翻译器：“当你看到这张单脸时，想象完整的家谱是什么样子的。”
2. 攻击：当攻击者看到真实目标（仅一张脸）时，将其输入翻译器。翻译器根据所学内容“幻觉”或重建缺失的家谱细节。
3. 结果：攻击者现在拥有了一个“虚假家谱”，其质量足以识别成员身份，即使没有看到真实的家谱。

结果：更大的差距

研究人员在三种不同类型的 AI 模型和三个真实世界数据集（如医院记录和杂货购物数据）上测试了这种方法。

基线：当攻击者仅查看单张表时，他们的猜测能力尚可，但不够出色。
“完全访问”攻击：当攻击者拥有完整家谱时，他们的猜测能力令人恐惧地强（在某些情况下准确率高达 99%）。
FERMI：即使 FERMI 在攻击时刻仅拥有单张表，它利用其“翻译器”恢复了拥有完整家谱所带来优势的约50%。

关键要点：

TabDDPM（直接在原始数据上工作的模型）非常脆弱。
TabSyn（先将数据压缩到隐藏的“潜在空间”的模型）更难被攻破。“压缩”充当了隐私护盾，隐藏了关系信号。

结论

该论文得出结论，我们不能仅通过一次查看一张表来判断合成数据的安全性。如果数据是更大、更互联系统的一部分，隐私风险要高得多。

FERMI 证明，即使黑客在攻击时刻没有所有数据，他们也可以利用训练期间学到的知识来“填补空白”，从而仍然破坏隐私。这是一个警告：对于高度敏感且相互关联的数据，简单的隐私检查是不够的；我们需要审视整个关联网络。

技术摘要：FERMI——利用关系对表格扩散模型进行成员推理攻击

1. 问题陈述

扩散模型已成为合成表格数据的主导范式，特别是在医疗和金融等高风险领域，这些领域的隐私法规（如 GDPR、HIPAA）限制了直接数据发布。虽然成员推理攻击（MIAs）是评估此类生成模型隐私风险的标准工具，但现有攻击主要假设处于单表环境。

这一假设忽视了一个现实：敏感的表格数据通常存储在多关系数据库中，其中个人的信息跨越相互关联的表（例如，患者与处方、实验室结果和人口统计数据相关联）。忽略这种关系结构的当前评估可能会严重低估隐私暴露风险。

在现实威胁模型中出现了一个关键挑战：攻击者在攻击训练阶段可能拥有包含完整关系结构的丰富辅助数据（例如，通过先前的泄露或公开发布）。然而，在成员推理时，攻击者通常只能观察到目标表中的候选行，无法访问该特定个体在相关父表或子表中的记录。本文旨在解决如何利用训练期间可用的关系辅助信息来发动更强大的攻击，即使推理仅限于单表属性。

2. 方法论：FERMI 框架

作者提出了FERMI（用于关系成员推理的特征映射），这是一个旨在将关系成员信号提炼到单表特征空间中的框架。该方法遵循标准的影子模型范式，并分三个阶段运行：

A. 配对特征提取

攻击者在辅助数据集（ $D_{aux}$ ）的不相交子集上训练 $S$ 个影子扩散模型。对于每个影子记录，提取两个特征流：

单表流：特征 $\Phi_{single}(x)$ 从仅在目标表 $T_j$ 上训练的影子模型中提取。
关系流：特征 $\Phi_{multi}(\tilde{x})$ 从在合并表示上训练的影子模型中提取，其中目标记录 $x$ 与其关系上下文（例如，与父表 $T_p$ 连接）进行了增强。

特征提取采用损失指纹方法，在多个时间步和噪声实现上计算去噪损失 $\ell_{\theta}(x_0, t, \epsilon)$ 。经验表明，训练成员表现出的去噪损失系统性地低于非成员。

B. 特征映射

核心创新在于学习一个映射函数 $f_{map}$ ，将单表特征投影到其关系对应特征。这被表述为一个具有两个目标的域适应问题：

点对点重建：最小化映射特征与真实关系特征之间的欧几里得距离： $\|f_{map}(\Phi_{single}(x)) - \Phi_{multi}(\tilde{x})\|^2_2$ 。
分布对齐：使用CORAL（相关性对齐）损失来匹配映射特征空间与真实多表特征空间的协方差结构，确保关系几何结构得以保留。

C. 成员预测

攻击分类器 $f_{att}$ 在映射特征上进行训练以预测成员标签。该框架允许对映射器和分类器进行联合微调，其中来自分类目标的梯度会细化映射器，以提取对成员推理最有信息的特征。

威胁模型：

训练阶段：攻击者可以访问具有完整关系结构的辅助数据（父上下文侧信息或全关系侧信息）。
推理阶段：攻击者仅限于目标表（单行访问）和目标模型（或在黑盒设置下的其合成输出）。映射器应用于单表特征以恢复关系信号，而无需在推理时访问相关表。

3. 主要贡献

关系 MIAs 的形式化：本文证明了与单表设置相比，关系上下文在表格扩散模型中产生了显著更强的成员信号，并形式化了多关系设置中的成员推理问题。
FERMI 框架：它引入了一个特征映射框架，成功地将关系成员信号提炼到单表特征空间中。这使得在不需要在推理时访问关系数据的情况下也能发动更强大的攻击，从而解决了训练与推理之间的不对称性。
全面评估：该框架在三种扩散架构（TabDDPM、TabSyn、TabDiff）和三个真实世界关系数据集（California、Instacart、Berka）上进行了评估，涵盖了白盒和黑盒设置。

4. 实验结果

评估涵盖了三个数据集和三种模型架构，比较了三种设置：直接单表（基线）、直接合并表（具有完整关系访问的上限）和FERMI。

性能提升：FERMI 始终优于单表基线。
- 在白盒设置中，对于 TabDDPM 和 TabDiff，FERMI 将 0.1 假阳性率下的真阳性率（TPR@0.1FPR）比单表基线提高了高达53%。
- 在黑盒设置（使用在合成数据上训练的代理模型）中，FERMI 将 TPR@0.1FPR 比基线提高了22%。
模型敏感性：
- TabDDPM 和 TabDiff（数据空间模型）显示出对关系攻击的高度易感性。“合并”攻击（具有完整关系访问）实现了接近上限的性能（例如，TabDDPM 在 Instacart 上的 TPR@0.01 为 0.994），突显了涉及关系数据时的严重隐私风险。
- TabSyn（潜在空间模型）表现出惊人的抵抗力。即使具有完整的关系访问权限，其 AUC 仍保持在接近随机猜测的水平。这表明潜在空间瓶颈起到了结构性隐私保护的作用，而 FERMI 无法提炼出有用的信号，因为对于这种架构，关系信号本身就很弱。
黑盒扩展：本文证实，即使攻击者仅观察合成数据，关系信号依然存在。在黑盒设置中，FERMI 恢复了单表基线与合并表上限之间约**55%**的 AUC 差距。

5. 意义与主张

本文声称，在单表设置中评估表格扩散模型会严重低估真实的隐私风险。训练数据中关系结构的存在会产生更强的成员痕迹，拥有辅助关系知识的攻击者可以利用这些痕迹。

主要发现包括：

关系上下文作为漏洞：关系结构编码了更丰富的条件信号，扩散模型将其内化，从而在去噪损失中留下更强的指纹。
架构依赖性：隐私风险高度依赖于模型架构。直接在数据空间运行的模型（TabDDPM、TabDiff）比使用潜在编码的模型（TabSyn）脆弱得多。
实际影响：FERMI 框架表明，攻击者不需要在推理时直接访问相关表即可发动复杂的攻击；他们只需要在训练阶段学习关系映射即可。

作者总结道，在隐私敏感部署中，隐私机制上游做出的架构决策（例如，选择潜在空间与数据空间扩散）值得更严格的审查，因为潜在编码似乎是关系设置中成员推理抵抗力的主要决定因素。