La inferencia de membresía es un tipo de ataque a la privacidad que tiene como objetivo determinar si un registro de datos particular fue incluido en el conjunto de datos utilizado para entrenar un modelo de aprendizaje automático o para calcular estadísticas publicadas. La capacidad de confirmar la membresía puede revelar información sensible: por ejemplo, si un conjunto de datos comprende pacientes con una enfermedad específica, confirmar que un individuo está en el conjunto de entrenamiento revela efectivamente su diagnóstico. Este vector de ataque se ha convertido en una preocupación central en la investigación de la privacidad, intersectando con campos como el aprendizaje automático, la inteligencia artificial y la anonimización de datos.
El concepto ganó prominencia en el contexto de los datos genómicos, donde se demostró que estadísticas agregadas como las frecuencias alélicas revelaban la participación individual. Con el tiempo, la inferencia de membresía se ha extendido a los modelos de aprendizaje automático, donde los atacantes explotan las salidas o los parámetros del modelo para inferir la membresía de los datos de entrenamiento. La efectividad de estos ataques varía ampliamente según la arquitectura del modelo, la distribución de los datos y las defensas disponibles, lo que lo convierte en un área de estudio dinámica.
Orígenes históricos en genómica
Los primeros ataques de inferencia de membresía surgieron de la investigación sobre privacidad genómica. En 2008, Nils Homer y sus colegas demostraron que el genotipo de un individuo, combinado con estadísticas de frecuencia alélica publicadas en múltiples sitios de polimorfismo de nucleótido único (SNP), podía determinar si esa persona contribuyó con ADN a una población de estudio. Este hallazgo tuvo consecuencias prácticas inmediatas: los Institutos Nacionales de Salud (NIH) de EE. UU. y el Wellcome Trust posteriormente restringieron el acceso a muchos conjuntos de datos genómicos, trasladándolos de repositorios públicos a bases de datos de acceso controlado como dbGaP.
Trabajos posteriores generalizaron estos resultados. Cynthia Dwork y otros demostraron que cualquier número de estadísticas publicadas sobre una base de datos podría ser explotado para la inferencia de membresía, estableciendo una conexión formal con la privacidad diferencial. Esta línea de investigación sentó las bases para comprender cómo las publicaciones de datos agregados pueden filtrar información a nivel individual.
Ataques a estadísticas agregadas
Más allá de la genómica, los ataques de inferencia de membresía se aplican a varios tipos de datos agregados. Un artículo notable de 2018, "Knock Knock, Who's There?", formuló el problema como una tarea de clasificación binaria: un atacante entrena un clasificador para distinguir entre individuos que son miembros de un conjunto de datos y aquellos que no lo son, y luego lo aplica a una persona objetivo cuya presencia en un rastro de ubicación agregado (por ejemplo, un mapa de calor) se sospecha. El artículo demostró que tales ataques tienen éxito incluso cuando no se publica ningún rastro individual, basándose solo en patrones de movilidad agregados.
Este principio se extiende a cualquier forma de estadística agregada, incluidos recuentos simples sobre una población sensible. Por ejemplo, si un hospital publica el número de pacientes con una enfermedad rara, un atacante podría inferir si un individuo específico está entre ellos comparando el recuento con y sin la inclusión presunta de esa persona. El enfoque general aprovecha la diferencia estadística entre el agregado con y sin el registro objetivo.
Ataques a modelos de aprendizaje automático
Los ataques de inferencia de membresía a modelos de aprendizaje automático explotan la tendencia de los modelos a comportarse de manera diferente con los datos de entrenamiento en comparación con los datos no vistos. El primer ataque exitoso de este tipo fue introducido por Reza Shokri y sus colegas en 2017. Observaron que muchos modelos asignan puntuaciones de confianza más altas a los registros con los que fueron entrenados. Para explotar esto, desarrollaron el concepto de modelos sombra: el adversario entrena múltiples modelos con datos similares al conjunto de entrenamiento del modelo objetivo, y dado que el adversario sabe qué registros se usaron para cada modelo sombra, puede entrenar un clasificador para predecir la membresía basándose en las salidas del modelo.
Los modelos sombra permiten al atacante aproximar el comportamiento interno del modelo objetivo sin acceso directo a sus datos de entrenamiento. En 2019, el artículo ML-Leaks mostró que para algunos modelos, un solo modelo sombra es suficiente, reduciendo la complejidad del ataque. Este hallazgo destacó que la vulnerabilidad no se limitaba a arquitecturas específicas.
Ataques basados en puntuaciones y en etiquetas
Investigaciones posteriores refinaron los ataques de inferencia de membresía, relajando supuestos y mejorando la practicidad. Surgieron dos categorías principales: ataques basados en puntuaciones y ataques basados en etiquetas. Los ataques basados en puntuaciones, como los de Yeom et al. y el Ataque de Razón de Verosimilitud (LiRA) de Carlini et al., utilizan las puntuaciones de confianza del modelo (por ejemplo, probabilidades softmax) para inferir la membresía. Los ataques basados en etiquetas, como la Inferencia de Membresía Solo con Etiquetas de Choquette-Choo et al., se basan únicamente en la etiqueta de clase predicha, que a menudo es más fácil de obtener en escenarios del mundo real.
Los ataques basados en etiquetas pueden ser más poderosos, especialmente cuando el adversario puede perturbar la entrada. Por ejemplo, en el procesamiento del lenguaje natural, un atacante podría puntuar un texto objetivo y varias variaciones que difieren en unas pocas palabras; si las predicciones del modelo cambian significativamente, sugiere que el original estaba en el conjunto de entrenamiento. Otro enfoque, la destilación de modelos, utiliza un modelo estudiante más simple para replicar un modelo profesor complejo, potencialmente extrayendo información adicional sobre los datos de entrenamiento.
La efectividad de estos ataques depende del conjunto de datos y del modelo. El sobreajuste es la fuente más común de fuga de información, y las técnicas de regularización estándar como el abandono, la disminución de pesos y la detención temprana pueden reducirla. Sin embargo, la inferencia de membresía tiende a ser más efectiva cuando los modelos son grandes, los datos son complejos y tanto los conjuntos de entrenamiento como los de prueba son grandes - condiciones comunes en los sistemas modernos de aprendizaje profundo.
Inferencia de membresía en modelos de lenguaje grandes
Los modelos de lenguaje grandes (LLM) presentan un caso único. Una evaluación de 2024 sugirió que en muchas tareas, los ataques de inferencia de membresía funcionan solo ligeramente mejor que la adivinación aleatoria. Esto se debe en gran parte a la distribución de los datos de entrenamiento: los LLM típicamente encuentran cualquier pieza de datos particular solo una vez, minimizando la superposición entre los conjuntos de entrenamiento y prueba. Además, una línea base simple que ignora el modelo por completo a menudo supera a los ataques sofisticados, lo que indica que los ataques pueden marcar erróneamente registros como miembros simplemente porque provienen de un período de tiempo más antiguo o de una distribución diferente.
Este problema refleja la limitación del estudio genómico original: si la población de estudio es homogénea, probar a un individuo de un grupo étnico diferente podría identificarlo falsamente como miembro. Para los LLM, si los datos de entrenamiento y prueba se muestrean de diferentes períodos de tiempo, un ataque podría afirmar la membresía de cualquier registro que sea temporalmente consistente con los datos de entrenamiento, independientemente de su inclusión real.
Defensas y mitigaciones
La privacidad diferencial es la defensa más robusta contra la inferencia de membresía, ya que proporciona garantías teóricas que limitan la influencia de cualquier registro individual. Para las redes neuronales, la privacidad diferencial se implementa comúnmente mediante DP-SGD (Descenso de Gradiente Estocástico con Privacidad Diferencial), que añade ruido a los gradientes durante el entrenamiento.
En la práctica, defenderse contra la inferencia de membresía a menudo implica mejorar la generalización y reducir el sobreajuste. Técnicas estándar como el abandono, la disminución de pesos y la detención temprana son medidas de privacidad indirectas pero efectivas. Además, los modelos pueden modificarse para limitar la fuga de información: por ejemplo, redondeando las puntuaciones de confianza, truncándolas a las clases top-k o añadiendo ruido a las salidas. Estos enfoques reducen la señal que un atacante puede explotar, aunque pueden sacrificar la utilidad del modelo.
La investigación continúa explorando el equilibrio entre el rendimiento del modelo y la privacidad, especialmente a medida que los modelos crecen en escala y complejidad. La inferencia de membresía sigue siendo un punto de referencia clave para evaluar las técnicas de aprendizaje automático que preservan la privacidad.