Membership Inference Attacks

Üyelik çıkarımı saldırıları, belirli bir kaydın bir modelin eğitim veri setine dahil edilip edilmediğini belirleyen gizlilik saldırılarıdır. Bir saldırgan, kaydı doğrudan kurtarmak yerine, modelin girdiyi daha önce görüp görmediğine dair işaretler için modelin yanıtlarını inceler. Bu durum önemlidir çünkü yalnızca üyelik hassas bilgileri ortaya çıkarabilir; örneğin, birinin tıbbi bir çalışmaya katıldığını veya özel bir yüz görüntüsü koleksiyonunda yer aldığını gösterebilir. Savunucular ayrıca bir modelin eğitim verileri hakkında bilgi açığa çıkarıp çıkarmadığını ölçmek için yetkili gizlilik testleri sırasında bu saldırıları gerçekleştirirler.

Üyelik Çıkarımı Saldırıları Nasıl Çalışır?#

Hedef bir model genellikle eğitim örneklerinde, görünmeyen örneklere kıyasla biraz farklı davranır. Aşırı öğrenmiş bir model, ezberlediği kayıtlar için daha düşük kayıp, daha büyük güven veya daha kararlı tahminler üretebilir. Bir saldırgan bu sinyalleri bilinen üyeler ve üye olmayanlar için beklenen davranışla karşılaştırır, ardından hedef bir kaydın eğitim setine ait olup olmadığını tahmin eder.

NIST üyelik çıkarımı tanımı bunu bir veri gizliliği saldırısı olarak sınıflandırır. Etkinliği saldırganın erişimine bağlıdır:

• Kara kutu erişimi: Saldırgan girdi gönderebilir ve etiketleri, puanları, olasılıkları veya üretilen çıktıları gözlemleyebilir.
• Ak kutu erişimi: Saldırgan ayrıca model parametrelerini, gradyanları, ara aktivasyonları veya kayıp değerlerini inceleyebilir.

Bazı düşük maliyetli saldırılar yalnızca tahmin edilen etiketlere veya güven puanlarına ihtiyaç duyarken, daha güçlü erişim ek sinyaller ortaya çıkarabilir. Ancak, olağan dışı yüksek güven tek başına üyeliği kanıtlamaz; güvenilir bir denetim, saldırıyı üye olmayan verilerle karşılaştırmalı ve yanlış pozitif oranlarını bildirmelidir.

Gerçek Uygulamalarda Üyelik Neden Önemlidir?#

Tıbbi görüntü analizi: Uzman bir klinikteki hastaların retina taramaları üzerinde eğitilmiş bir sınıflandırıcıyı düşün. Bir saldırgan halihazırda birinin taramasına sahipse, başarılı bir üyelik çıkarımı o kişinin o klinikte tedavi gördüğünü veya hastalığa özel bir gruba ait olduğunu ortaya çıkarabilir. Saldırı hiçbir ek piksel açığa çıkarmayabilir, ancak üyeliğin kendisi hassas kişisel bilgi olabilir. Bu nedenle veri gizliliği depolanan veri setlerinin yanı sıra model çıktılarını da kapsamalıdır.

Yüz görüntüsü sistemleri: Bir şirket, çalışan veya müşteri fotoğraflarını kullanarak bir tanıma modeli eğitebilir. Üyelik çıkarımı, belirli bir kişinin görüntüsünün izinsiz olarak kullanıldığını gösterebilir ve bu da onay, gözetim ve düzenleyici endişeler yaratır. Orijinal fotoğraflar sistem tarafından asla döndürülmese bile risk kalabilir.

Aynı ilke üretken yapay zeka için de geçerlidir. Difüzyon modelleri otomatik olarak bağışık değildir: üretilen çıktılar veya dahili puanlar eğitim örnekleri etrafında ölçülebilir şekilde farklı davranırsa, üyelik çıkarılabilir.

İlgili Gizlilik ve Güvenlik Kavramları#

Üyelik çıkarımı, düşmancıl saldırılar daha geniş kategorisine aittir, ancak belirli bir hedefe sahiptir: bir kaydın eğitim için kullanılıp kullanılmadığını belirlemek.

Birkaç ilgili kavramdan farklıdır:

• Model ters çevirme veya yeniden oluşturma, nitelikleri, özellikleri veya tanınabilir eğitim içeriğini kurtarmaya çalışır. Üyelik çıkarımı yalnızca verilen bir kaydın mevcut olup olmadığını sorar.
• Özellik çıkarımı, bir kaydın üyeliğinden ziyade, demografik bileşimi gibi eğitim setinin toplu özelliklerini tahmin eder.
• Veri seti çıkarımı, genellikle köken veya sahiplik kontrolleri için, tüm bir veri setinin bir modeli etkileyip etkilemediğini yaygın olarak değerlendirir.
• Veritabanı çıkarımı, izin verilen veritabanı sorgularının kısıtlı gerçeği türetmek için birleştirildiği daha geniş bir güvenlik sorunudur.
• Veri sızıntısı, bilgi hazırlığı, eğitimi veya değerlendirmesi sırasında bilgilerin istenmeyen bir sınırın dışına çıkmasıyla meydana gelir. Maruz kalmayı artırabilir ancak kendi başına bir üyelik çıkarımı prosedürü değildir.

Bir Bilgisayarlı Görü İş Akışında Riski Değerlendirme#

Genelleştirme kontrolleri yararlı bir ilk adımdır çünkü ezberleme genellikle gizlilik riskini artırır. Aşağıdaki belgelenmiş iş akışı Ultralytics YOLO26 eğitir ve bunu Doğrulama modu ile değerlendirir:

from ultralytics import YOLO

# Fine-tune a pretrained detector on an example dataset
model = YOLO("yolo26n.pt")
model.train(data="coco8.yaml", epochs=3)

# Evaluate performance on held-out validation images
metrics = model.val()
print(metrics.box.map)

Bu iş akışı bir üyelik saldırısı gerçekleştirmez. Eğitim modu ve bağımsız doğrulamanın dağıtımdan önce zayıf genelleştirmeyi belirlemeye nasıl yardımcı olduğunu gösterir. Özel bir gizlilik denetimi için, TensorFlow Gizlilik üyelik çıkarımı eğitimi, üye ve üye olmayan örnekleri kullanarak saldırı değerlendirmesini gösterir.

Tespit ve Azaltma#

Kuruluşlar, üretim API'leri tarafından açığa çıkarılan tam etiketler, güven değerleri, gömmeler veya üretilen çıktılar dahil olmak üzere gerçekçi erişim koşulları altında üyelik riskini test etmelidir. OWASP Makine Güvenliği En İyi On, gizlilik saldırılarını makine öğrenimi tehdit modellemesine dahil etmek için daha geniş bir çerçeve sağlar.

Temsili veriler, artırma, düzenlileştirme ve erken durdurma yoluyla aşırı öğrenmeyi azaltmak ampirik saldırı başarısını düşürebilir, ancak resmi bir gizlilik garantisi sağlamaz. Ayrıntılı çıktı puanlarını sınırlamak, kimlik doğrulama ve oran sınırları uygulamak ve yinelenen sorguları izlemek de mevcut saldırı sinyalini azaltabilir.

Daha güçlü koruma için, diferansiyel gizlilik bir eğitim kaydının model davranışını ne kadar etkileyebileceğini sınırlar. Diferansiyel gizli makine öğrenimi için NIST kılavuzu gizlilik-fayda ödünleşimini açıklarken, Opacus gizlilik eğitimi rehberliği PyTorch modelleri için uygulamayı kapsar.

Son olarak, ekipler veri seti kökenini belgelemeli, model erişimini kısıtlamalı, bağımsız test setleri tutmalı ve yeniden eğitimden sonra gizlilik değerlendirmelerini tekrarlamalıdır. Ultralytics Platform sürümlü veri setlerini, eğitimi, dağıtımı ve izlemeyi destekleyebilirken, NIST AI RMF Çekirdeği yapay zeka yaşam döngüsü boyunca gizlilik riskini izlemek için yapılandırılmış bir yaklaşım sağlar.