Membership Inference Attacks

Üyelik çıkarımı saldırısı, belirli bir veri kaydının bir makine öğrenimi modelinin eğitim verilerinde bulunup bulunmadığını belirlemeye çalışır. Saldırgan, bir hastanın taraması veya bir kişinin fotoğrafı gibi kaydı zaten elinde bulundurur ve modelden "üye" veya "üye değil" kararı almak için sorgu gönderir. Üyelik bilgisi tek başına hassas olabilir; bu da bu saldırıları temel bir veri gizliliği riski hâline getirir: Bir model yalnızca belirli bir hastalığı olan hastalar üzerinde eğitildiyse, birinin taramasının eğitim kümesinde olduğunu göstermek teşhisini açığa çıkarır. Reza Shokri, Marco Stronati, Congzheng Song ve Vitaly Shmatikov, makine öğrenimi modellerine yönelik üyelik çıkarımı saldırılarını 2017'de tanıttı ve Google ile Amazon'un ticari hizmet olarak ML platformlarında bu saldırıları gösterdi.

Modeller Üyelik Bilgisini Neden Sızdırır?#

Modeller, eğitildikleri verilerde farklı davranır. Eğitim örneklerine genellikle daha düşük kayıp ve daha yüksek güven atarlar; aşırı uyum arttıkça bu fark da büyür. Nadir örnekleri, yinelenen görüntüleri veya aykırı değerleri ezberleyen büyük modeller en fazla bilgiyi sızdırır; üretken yapay zekâ modelleri, büyük dil modelleri (LLM'ler) dâhil olmak üzere, eğitim görüntülerini veya metinlerini neredeyse aynen yeniden üreterek üyelik bilgisini sızdırabilir.

En basit saldırı, kayıp için bir eşik belirler: Bir kayıttaki model kaybı alışılmadık derecede düşükse kaydı "üye" olarak tahmin eder. Aşağıdaki kod parçası, yalnızca ezberlemeyle öğrenilebilecek rastgele etiketlere sahip 100 rastgele kayıtla PyTorch üzerinde küçük bir sinir ağı sınıflandırıcısı eğitir; ardından bu üyelerle modelin hiç görmediği 100 kaydın karışımına saldırır:

import torch
import torch.nn.functional as F

torch.manual_seed(0)
x, y = torch.randn(200, 20), torch.randint(0, 2, (200,))
is_member = torch.arange(200) < 100  # the first 100 records form the training set

# Train a small classifier on the members only, long enough to memorize them
model = torch.nn.Sequential(torch.nn.Linear(20, 256), torch.nn.ReLU(), torch.nn.Linear(256, 2))
optimizer = torch.optim.Adam(model.parameters(), lr=0.01)
for _ in range(300):
    optimizer.zero_grad()
    F.cross_entropy(model(x[is_member]), y[is_member]).backward()
    optimizer.step()

# Loss-threshold attack: guess "member" for every record with below-median loss
with torch.no_grad():
    losses = F.cross_entropy(model(x), y, reduction="none")
guess = losses < losses.median()
print(f"attack accuracy: {(guess == is_member).float().mean():.2f}")

Saldırı, kayıtların %85'ini doğru etiketler; rastgele tahminle bu oran %50 olurdu. Her üyenin kaybı sıfıra yakındır; ancak modelin rastgele etiketini daha da yüksek güvenle tahmin ettiği üye olmayan 15 kayıt, medyan eşiğin altına düşer ve 16 üyeyi eşiğin üstüne iter. Daha iyi genelleme yapan modeller kayıp farkını daraltır; bu da saldırı doğruluğunu genellikle tamamen ortadan kaldırmasa da düşürür.

Daha Güçlü Saldırılar ve Ölçüm Yöntemleri#

• Gölge modeller: 2017'deki özgün saldırı, üyelik durumunun bilindiği benzer veriler üzerinde birkaç model eğitir ve ardından üyeliğin nasıl göründüğünü tanımak üzere bu modellerin çıktılarıyla bir sınıflandırıcı eğitir.
• Kalibre edilmiş saldırılar: Nicholas Carlini ve çalışma arkadaşlarının 2022'de yayımladığı Olabilirlik Oranı Saldırısı (LiRA), bir kaydın kaybını o kayıtla ve o kayıt olmadan eğitilmiş referans modellerle karşılaştırır. Böylece tek bir genel eşiğin kaçırdığı ezberlenmiş aykırı değerleri ortaya çıkarır.
• Yalnızca etiket döndüren saldırılar: Yalnızca tahmin edilen etiketi döndüren API'ler de bilgi sızdırır; çünkü üyelerin tahminlerini değiştirmek için genellikle adversarial saldırıların aradığı türden daha büyük girdi değişikliklerine ihtiyacı olur.

Genel doğruluk en çok riske maruz kalan az sayıdaki kişiyi gizlediğinden, gizlilik denetimleri %0.1 gibi çok düşük bir yanlış pozitif oranındaki doğru pozitif oranını raporlar. Açık kaynaklı gizlilik araç takımları, eğitilmiş bir modele bu saldırıları uygulayan ve eğitim kontrol noktaları boyunca modelin savunmasızlığını gösteren üyelik çıkarımı raporları oluşturabilir.

İlgili Gizlilik Saldırıları#

Üyelik çıkarımı, eğitim verisi sızıntısının en dar kapsamlı biçimidir. Model tersine mühendisliği, bir sınıfın veya kişinin temsili özelliklerini yeniden oluşturur; öznitelik çıkarımı, saldırganın kısmen bildiği bir kaydın eksik hassas alanını doldurur; eğitim verisi çıkarımı ise ezberlenmiş metin gibi içeriği kelimesi kelimesine kurtarır. Veri zehirleme, veriyi okumak yerine eğitim kümesini bozarak ters yönde çalışır. Eğitimden sonra bir kaydın etkisini kaldırmaya çalışan makine öğrenimini geri alma yöntemleri, kaydın hâlâ iz bırakıp bırakmadığını sınamak için üyelik çıkarımını kullanır. Üyelik, sızıntının en küçük birimi olduğundan üyelik çıkarımı, bir eğitim sürecinin bireysel kayıtları ne ölçüde açığa çıkardığını değerlendirmek için standart ölçüt hâline gelmiştir.

Savunmalar#

Diferansiyel gizlilik, biçimsel bir güvence sunan savunma yöntemidir. Opacus aracılığıyla PyTorch'ta kullanılabilen stokastik gradyan inişinin bir çeşidi olan DP-SGD ile eğitim, her örneğin gradyanını kırpar ve ayarlanmış gürültü ekler. Bu işlem, herhangi bir tekil kaydın modeli ne kadar değiştirebileceğini matematiksel olarak sınırlar ve dolayısıyla doğrulukta bir miktar kayıp pahasına her üyelik saldırısının sağlayabileceği avantajı kısıtlar. Uygulamadaki önlemler riski daha da azaltır: düzenlileştirme, veri artırma ve erken durdurma aşırı uyumu sınırlar; yinelenen kayıtları kaldırmak herhangi bir görüntünün veya belgenin birden fazla kez ezberlenmesini önler; herkese açık API'ler de yalnızca etiketleri veya yuvarlanmış güven puanlarını döndürebilir.

Görüntü modelinin eğitim eğrileri, veri açığa çıkma riskini denetlemek için en hızlı başvuru noktasıdır. Ultralytics YOLO26 algılayıcısı tıbbi taramalar veya çalışan rozetleri gibi hassas görüntüler üzerinde ince ayar yapıldığında, eğitim modu her dönemde eğitim ve doğrulama kayıplarını kaydeder. Varsayılan olarak 100 dönem olan patience bağımsız değişkeni, doğrulama uygunluğu belirtilen dönem sayısı boyunca iyileşmediğinde eğitimi durdurur. Böylece eğitim kaybının düşmeye devam ettiği ancak doğrulama sonuçlarının durakladığı son dönemler kesilir; kayıp eşiği saldırısının kullandığı fark da budur.