Membership Inference Attack with Partial Features

#### Контекст Машинное обучение (ML) широко используется в различных областях, но эти модели чувствительны к атакам на членство (Membership Inference Attack, MIA). Эта атака призвана определить, был ли конкретный пример включен в обучающую выборку модели. Основные подходы к MIA предполагают, что атакующий агент имеет доступ ко всем функциям (признакам) целевого примера. Однако в реальной жизни часто есть ситуации, когда доступны только частичные данные. Это ограничивает эффективность существующих методов. В данной работе мы исследуем сценарий, когда атакующий имеет доступ только к части признаков целевого примера, и определяем это проблему как Partial Feature Membership Inference (PFMI). #### Метод Мы предлагаем фреймворк MRAD (Memory-guided Reconstruction and Anomaly Detection), который работает в двух этапах. В первом этапе MRAD оптимизирует неизвестные признаки, минимизируя потери модели. Во втором этапе он оценивает отклонение реконструированного примера от распределения обучающих данных с помощью аномализационных методов. Этот подход позволяет атакующему использовать частичные данные для определения, был ли пример использован в обучении модели. Мы используем широкий спектр техник аномализации, таких как Autoencoder, PCA, и t-SNE, для оценки отклонений. #### Результаты Мы провели эксперименты на STL-10 и других датасетах, в том числе с отсутствующими частью признаков. На STL-10 MRAD показал высокую эффективность, достигнув AUC 0.6 даже при отсутствии 40% признаков. Мы также проверили совместимость MRAD с разными методами аномализации, такими как t-SNE и Autoencoder, и показали, что MRAD работает эффективно в разных условиях. #### Значимость Результаты MRAD открывают новые возможности для атак на членство, даже в ситуациях, когда атакующий имеет неполные данные. Это делает PFMI значимой для практических приложений, где атакующий может иметь доступ только к части признаков, таких как мониторинг безопасности и защита приватности. Наши результаты также показывают, что MRAD может быть применен с разными техниками аномализации, что делает его гибким и универсальным. #### Выводы Мы успешно разработали MRAD, новый подход к Partial Feature Membership Inference. Наши эксперименты показали, что MRAD эффективен на разных датасетах, даже при отсутствии части признаков. Дальнейшие исследования будут направлены на улучшение MRAD, а также на исследование потенциальных защитных методов против этой атаки.