模型逆向攻击
Parent: ai_keywords
模型逆向攻击
核心定义
模型逆向攻击（Model Inversion Attack）是一种针对机器学习模型的隐私威胁攻击。攻击者通过多次查询目标模型（通常是分类器），利用其输出的置信度向量或梯度信息，逆向推断出训练数据中隐含的敏感属性（如患者身份、影像细节），甚至重构出与原始训练样本高度相似的样本。该攻击本质上是利用模型对训练数据的“记忆”特性，将黑盒模型输出逆向映射回输入空间，严重威胁医学模型中的患者数据隐私。
关键技术点
- 置信度向量利用：攻击者收集模型对特定输入（如模糊图像、随机噪声）输出的概率分布，通过优化使输出置信度逼近目标类别，从而重建具有该类特征的样本。
- 梯度反向传播：在已知模型架构（白盒）或利用模型可微性时，通过计算损失函数对输入噪声的梯度，迭代更新输入直至模型分类结果符合预期，同步泄漏训练数据分布。
- 生成对抗网络（GAN）辅助：利用预训练GAN学习训练数据分布的先验，在潜在空间中搜索能激发目标分类输出的隐向量，显著提升重建质量与效率。
- 属性推断攻击（Attribute Inference）：结合辅助信息（如患者诊断标签），通过多次查询回归模型的对数几率，精确推断训练集中缺失的属性（如基因突变状态）。
- 成员推断与模型逆向混合：先通过成员推断筛选出某类样本的存在，再对其特征进行细粒度逆向，常用于定位特定患者的脑区病灶特征。
医学/神经科学应用场景
以帕金森病步态分类模型为例。首都医科大学神经病学团队利用足底压力传感器采集帕金森患者步态时空参数（步长、步频、重心偏移等），训练支持向量机分类器用于早期诊断。攻击者若获取该模型API，可通过以下步骤实施逆向攻击：① 构造多组随机步态向量，输入模型并记录输出置信度；② 定义损失函数最小化目标类别概率，使用梯度优化（或GAN潜在空间搜索）不断调整输入向量；③ 迭代至模型以高置信度将其识别为“帕金森阳性”，此时生成的步态向量即为近似真实患者的步态特征。该攻击可泄露患者特有的运动模式，被用于推断疾病阶段或个体身份，严重违反医疗隐私法规（如HIPAA）。防御手段包括输出置信度加噪、梯度截断及差分隐私训练。
