成员推理攻击
Parent: ai_keywords
成员推理攻击（Membership Inference Attack）
核心定义
成员推理攻击是指攻击者利用目标机器学习模型对特定样本的预测输出（如置信度分数、损失值、梯度信息等），通过统计推断或辅助模型判断该样本是否属于模型的训练数据集。此类攻击直接威胁训练数据的隐私性，尤其在医疗、金融等敏感领域可能暴露个体身份或诊断信息。
关键技术点
- 影子模型训练（Shadow Model）
攻击者仿照目标模型的结构与任务，利用公共数据或生成数据训练多个影子模型，模拟目标模型在“成员”与“非成员”样本上的行为差异。 - 攻击模型构建
基于影子模型的输出（如预测置信度向量、损失值、标签一致性等），训练二分类器（如逻辑回归、神经网络），学习区分“成员样本”与“非成员样本”的特征模式。 - 差分隐私防御失效
若目标模型仅采用低强度差分隐私（如ε>10），攻击仍可能成功；高隐私预算（ε≤1）可显著削弱攻击效力，但会牺牲模型精度。 - 阈值攻击与统计检验
直接利用模型对样本的预测置信度设定阈值——若置信度高于特定分位数或损失值低于均值，则判定为训练成员。该方法在过拟合模型中尤为有效。
医学/神经科学应用场景
在首都医科大学神经病学研究中，多中心联合训练了基于多模态影像（CT、MRI、脑电图）的脑卒中预后预测模型（如预测急性缺血性卒中后90天改良Rankin评分）。攻击者通过成员推理攻击，尝试推断某特定患者的病历数据是否被用于模型训练：
- 攻击流程：攻击者获得该患者的影像及临床特征（如年龄、NIHSS评分），输入目标模型并获取其预测置信度。若置信度显著高于公开测试集的平均置信度（例如>0.95），则高度怀疑该患者为训练集成员。
- 临床后果：若攻击成功，可直接泄露患者参与临床研究的身份，违反医疗数据保密协议，甚至引发歧视性保险定价或社会污名化。
- 防御策略：在训练阶段引入高隐私预算的差分隐私（ε≤1），并采用标签平滑、Dropout等正则化技术抑制过拟合，从而降低成员推断的准确性。
