Membership Inference ist eine Art von Privacy-Angriff, der darauf abzielt, festzustellen, ob ein bestimmter Datensatz in den Daten enthalten war, die zum Trainieren eines maschinellen Lernmodells oder zur Berechnung veröffentlichter Statistiken verwendet wurden. Die Möglichkeit, die Mitgliedschaft zu bestätigen, kann sensible Informationen preisgeben: Wenn ein Datensatz beispielsweise Patienten mit einer bestimmten Krankheit umfasst, offenbart die Bestätigung, dass eine Person im Trainingssatz enthalten ist, effektiv deren Diagnose. Dieser Angriffsvektor ist zu einem zentralen Anliegen der Privacy-Forschung geworden und überschneidet sich mit Bereichen wie maschinellem Lernen, künstlicher Intelligenz und Datenanonymisierung.
Das Konzept erlangte im Kontext von Genomdaten Bedeutung, wo gezeigt wurde, dass aggregierte Statistiken wie Allelfrequenzen die individuelle Teilnahme offenlegen. Im Laufe der Zeit wurde Membership Inference auf Modelle des maschinellen Lernens ausgeweitet, bei denen Angreifer Modellausgaben oder -parameter ausnutzen, um auf die Mitgliedschaft in den Trainingsdaten zu schließen. Die Wirksamkeit dieser Angriffe variiert stark je nach Modellarchitektur, Datenverteilung und verfügbaren Abwehrmaßnahmen, was sie zu einem dynamischen Forschungsgebiet macht.
Historische Ursprünge in der Genomik
Die frühesten Membership-Inference-Angriffe entstanden aus der Genom-Privacy-Forschung. Im Jahr 2008 zeigten Nils Homer und Kollegen, dass der Genotyp einer Person, kombiniert mit veröffentlichten Allelfrequenzstatistiken über mehrere Single-Nucleotide-Polymorphism-(SNP)-Stellen, bestimmen konnte, ob diese Person DNA zu einer Studienpopulation beigetragen hatte. Diese Erkenntnis hatte unmittelbare praktische Konsequenzen: Die U.S. National Institutes of Health (NIH) und der Wellcome Trust schränkten daraufhin den Zugang zu vielen Genomdatensätzen ein und verschoben sie von öffentlichen Repositorien zu kontrollierten Zugangsdatenbanken wie dbGaP.
Spätere Arbeiten verallgemeinerten diese Ergebnisse. Cynthia Dwork und andere zeigten, dass jede beliebige Anzahl von Statistiken, die über eine Datenbank veröffentlicht werden, für Membership Inference ausgenutzt werden kann, und stellten eine formale Verbindung zu differentieller Privatsphäre her. Diese Forschungslinie legte den Grundstein für das Verständnis, wie aggregierte Datenveröffentlichungen Informationen auf individueller Ebene preisgeben können.
Angriffe auf aggregierte Statistiken
Über die Genomik hinaus lassen sich Membership-Inference-Angriffe auf verschiedene Arten aggregierter Daten anwenden. Ein bemerkenswertes Papier aus dem Jahr 2018, „Knock Knock, Who's There?", formulierte das Problem als binäre Klassifikationsaufgabe: Ein Angreifer trainiert einen Klassifikator, um zwischen Personen zu unterscheiden, die Mitglieder eines Datensatzes sind, und solchen, die es nicht sind, und wendet ihn dann auf eine Zielperson an, deren Vorhandensein in einer aggregierten Standortspur (z. B. einer Heatmap) vermutet wird. Das Papier zeigte, dass solche Angriffe selbst dann erfolgreich sind, wenn keine einzelne Spur veröffentlicht wird, und sich nur auf aggregierte Mobilitätsmuster stützen.
Dieses Prinzip lässt sich auf jede Form aggregierter Statistiken ausweiten, einschließlich einfacher Zählungen über eine sensible Population. Wenn ein Krankenhaus beispielsweise die Anzahl der Patienten mit einer seltenen Erkrankung veröffentlicht, könnte ein Angreifer daraus schließen, ob eine bestimmte Person darunter ist, indem er die Zählung mit und ohne die vermutete Aufnahme dieser Person vergleicht. Der allgemeine Ansatz nutzt den statistischen Unterschied zwischen dem Aggregat mit und ohne den Zieldatensatz.
Angriffe auf Modelle des maschinellen Lernens
Membership-Inference-Angriffe auf Modelle des maschinellen Lernens nutzen die Tendenz von Modellen aus, sich bei Trainingsdaten anders zu verhalten als bei ungesehenen Daten. Der erste erfolgreiche Angriff dieser Art wurde 2017 von Reza Shokri und Kollegen eingeführt. Sie beobachteten, dass viele Modelle Datensätzen, mit denen sie trainiert wurden, höhere Konfidenzwerte zuweisen. Um dies auszunutzen, entwickelten sie das Konzept der Schattenmodelle: Der Gegner trainiert mehrere Modelle auf Daten, die denen des Trainingssatzes des Zielmodells ähneln, und da der Gegner weiß, welche Datensätze für jedes Schattenmodell verwendet wurden, kann er einen Klassifikator trainieren, der die Mitgliedschaft basierend auf den Modellausgaben vorhersagt.
Schattenmodelle ermöglichen es dem Angreifer, das interne Verhalten des Zielmodells zu approximieren, ohne direkten Zugriff auf dessen Trainingsdaten zu haben. Im Jahr 2019 zeigte das ML-Leaks-Papier, dass für einige Modelle ein einziges Schattenmodell ausreicht, was die Komplexität des Angriffs reduziert. Diese Erkenntnis verdeutlichte, dass die Schwachstelle nicht auf bestimmte Architekturen beschränkt war.
Score-basierte und Label-basierte Angriffe
Nachfolgende Forschung verfeinerte Membership-Inference-Angriffe, lockerte Annahmen und verbesserte die Praktikabilität. Es entstanden zwei Hauptkategorien: Score-basierte und Label-basierte Angriffe. Score-basierte Angriffe, wie die von Yeom et al. und Carlini et al.'s Likelihood Ratio Attack (LiRA), verwenden die Konfidenzwerte des Modells (z. B. Softmax-Wahrscheinlichkeiten), um auf die Mitgliedschaft zu schließen. Label-basierte Angriffe, wie Choquette-Choo et al.'s Label-Only Membership Inference, stützen sich ausschließlich auf die vorhergesagte Klassenbezeichnung, die in realen Szenarien oft leichter zu erhalten ist.
Label-basierte Angriffe können leistungsfähiger sein, insbesondere wenn der Gegner die Eingabe stören kann. In natürlicher Sprachverarbeitung könnte ein Angreifer beispielsweise einen Zieltext und mehrere Variationen bewerten, die sich um einige Wörter unterscheiden; wenn sich die Vorhersagen des Modells erheblich ändern, deutet dies darauf hin, dass das Original im Trainingssatz war. Ein anderer Ansatz, die Modelldestillation, verwendet ein einfacheres Schülermodell, um ein komplexes Lehrermodell zu replizieren, wodurch möglicherweise zusätzliche Informationen über Trainingsdaten extrahiert werden.
Die Wirksamkeit dieser Angriffe hängt vom Datensatz und Modell ab. Overfitting ist die häufigste Quelle für Datenlecks, und Standard-Regularisierungstechniken wie Dropout, Gewichtsabfall und frühes Stoppen können es reduzieren. Membership Inference ist jedoch tendenziell effektiver, wenn Modelle groß sind, Daten komplex sind und sowohl Trainings- als auch Testsets groß sind - Bedingungen, die in modernen Deep-Learning-Systemen üblich sind.
Membership Inference bei großen Sprachmodellen
Große Sprachmodelle (LLMs) stellen einen Sonderfall dar. Eine Auswertung aus dem Jahr 2024 deutete darauf hin, dass Membership-Inference-Angriffe bei vielen Aufgaben nur geringfügig besser als zufälliges Raten abschneiden. Dies ist weitgehend auf die Verteilung der Trainingsdaten zurückzuführen: LLMs begegnen typischerweise jedem bestimmten Datenelement nur einmal, wodurch die Überschneidung zwischen Trainings- und Testsets minimiert wird. Darüber hinaus übertrifft eine einfache Baseline, die das Modell vollständig ignoriert, oft ausgefeilte Angriffe, was darauf hindeutet, dass Angriffe Datensätze fälschlicherweise als Mitglieder kennzeichnen könnten, nur weil sie aus einem älteren Zeitraum oder einer anderen Verteilung stammen.
Dieses Problem spiegelt die Einschränkung der ursprünglichen Genomstudie wider: Wenn die Studienpopulation homogen ist, könnte das Testen einer Person aus einer anderen ethnischen Gruppe fälschlicherweise als Mitglied identifiziert werden. Bei LLMs könnte ein Angriff, wenn Trainings- und Testdaten aus verschiedenen Zeiträumen stammen, die Mitgliedschaft für jeden Datensatz beanspruchen, der zeitlich mit den Trainingsdaten übereinstimmt, unabhängig von der tatsächlichen Aufnahme.
Abwehrmaßnahmen und Minderungen
Differentielle Privatsphäre ist die robusteste Abwehr gegen Membership Inference, da sie theoretische Garantien bietet, die den Einfluss eines einzelnen Datensatzes begrenzen. Für neuronale Netze wird differentielle Privatsphäre üblicherweise über DP-SGD (Differentially Private Stochastic Gradient Descent) implementiert, das während des Trainings Rauschen zu den Gradienten hinzufügt.
In der Praxis beinhaltet die Verteidigung gegen Membership Inference oft die Verbesserung der Generalisierung und die Reduzierung von Overfitting. Standardtechniken wie Dropout, Gewichtsabfall und frühes Stoppen sind indirekte, aber effektive Privacy-Maßnahmen. Darüber hinaus können Modelle modifiziert werden, um Informationslecks zu begrenzen: beispielsweise durch Runden von Konfidenzwerten, Kürzen auf die Top-k-Klassen oder Hinzufügen von Rauschen zu den Ausgaben. Diese Ansätze reduzieren das Signal, das ein Angreifer ausnutzen kann, gehen jedoch möglicherweise zu Lasten der Modellnutzen.
Die Forschung untersucht weiterhin das Gleichgewicht zwischen Modellleistung und Privacy, insbesondere da Modelle an Umfang und Komplexität zunehmen. Membership Inference bleibt ein zentraler Maßstab für die Bewertung von Privacy-erhaltenden Techniken des maschinellen Lernens.