机器学习中的成员推断攻击与防御研究

王鹏焱

（安徽理工大学 计算机科学与工程学院，安徽 淮南232001）

0 引言

机器学习在智能医疗、图像识别、推荐系统、情感分析[1-4]等领域得到快速的发展，加速了传统行业的智能化发展。然而，用于训练机器学习模型的大量数据不可避免地包含敏感信息，机器学习的蓬勃发展在改变人们生活方式的同时，也给数据隐私安全带来严峻的威胁。例如，一个基于癌症病人信息训练的模型，如果知道了某病人是该模型的训练集成员，可以直接推断出该病人的患病信息并由此可能引发歧视问题[5]。这种推断数据是否存在于训练集的算法称为成员推断攻击，近年来成为研究者关注的热点。

2017年，Shokri等人[6]首次提出针对机器学习模型的成员推断攻击，通过分辨机器学习模型在训练集和非训练集之间的输出差异来判断数据是否存在于目标模型的训练数据集中。鉴于在黑盒模式下，攻击者无法获得这种分辨能力，他们训练一组模拟目标模型行为的“影子模型”来解决这个问题．首先，合成与目标模型训练集相似的数据；其次，利用合成数据建立一系列“影子模型”。与目标模型相比，数据是否属于训练集的成员，即影子模型的数据隶属度是已知的;最后，训练攻击模型分辨目标模型在不同数据集上的行为差异，从而实现成员推断攻击。

自从成员推断攻击的概念被提出以后,产生了很多攻击和防御算法。既有监督学习中Yeom等[7]提出对于机器学习模型的通用攻击，也有Hilprecht等[8]提出只针对生成模型VAEs的白盒攻击，而防御策略主要有正则化、对抗性训练、对抗样本等。……