成员推断是一种隐私攻击，旨在确定某个特定数据记录是否包含在用于训练机器学习模型或计算已发布统计数据的数据集中。确认成员身份的能力可能泄露敏感信息：例如，如果数据集包含患有特定疾病的患者，确认某个人在训练集中实际上就披露了他们的诊断。这一攻击向量已成为隐私研究的核心关注点，与机器学习、人工智能和数据匿名化等领域相互交叉。
这一概念在基因组数据背景下获得了突出地位，其中等位基因频率等汇总统计量被证明可以揭示个体参与情况。随着时间的推移，成员推断已扩展到机器学习模型，攻击者利用模型输出或参数来推断训练数据成员身份。这些攻击的有效性因模型架构、数据分布和可用防御措施的不同而有很大差异，使其成为一个动态的研究领域。
基因组学中的历史起源
最早的成员推断攻击源于基因组隐私研究。2008年，Nils Homer及其同事证明，个体的基因型，结合跨多个单核苷酸多态性（SNP）位点发布的等位基因频率统计量，可以确定该人是否向研究人群贡献了DNA。这一发现立即产生了实际后果：美国国立卫生研究院（NIH）和Wellcome Trust随后限制了对许多基因组数据集的访问，将它们从公共存储库移至dbGaP等受控访问数据库。
后来的工作推广了这些结果。Cynthia Dwork等人表明，关于数据库发布的任何数量的统计数据都可能被利用来进行成员推断，从而与差分隐私建立了正式联系。这一研究路线为理解聚合数据发布如何泄露个体级信息奠定了基础。
对聚合统计数据的攻击
在基因组学之外，成员推断攻击适用于各种类型的聚合数据。2018年一篇题为“Knock Knock, Who's There?”的著名论文将问题表述为二元分类任务：攻击者训练一个分类器来区分数据集中的成员和非成员，然后将其应用于一个被怀疑出现在聚合位置轨迹（例如热图）中的目标个体。该论文证明，即使没有发布任何单一轨迹，仅依赖聚合移动模式，此类攻击也能成功。
这一原则扩展到任何形式的聚合统计量，包括对敏感人群的简单计数。例如，如果医院发布了患有某种罕见疾病的患者数量，攻击者可以通过比较包含和不包含该目标个体时的计数来推断该特定个体是否在其中。一般方法利用了有和没有目标记录时聚合数据之间的统计差异。
对机器学习模型的攻击
对机器学习模型的成员推断攻击利用了模型在训练数据与未见数据上表现不同的倾向。此类攻击的首次成功由Reza Shokri及其同事于2017年引入。他们观察到许多模型对训练过的记录赋予更高的置信度分数。为了利用这一点，他们开发了影子模型的概念：攻击者在与目标模型训练集相似的数据上训练多个模型，并且由于攻击者知道每个影子模型使用了哪些记录，他们可以训练一个分类器，根据模型输出来预测成员身份。
影子模型允许攻击者近似目标模型的内部行为，而无需直接访问其训练数据。2019年，ML-Leaks论文表明，对于某些模型，一个影子模型就足够了，从而降低了攻击的复杂性。这一发现强调了该漏洞不仅限于特定架构。
基于分数和基于标签的攻击
后续研究完善了成员推断攻击，放宽了假设并提高了实用性。出现了两个主要类别：基于分数的攻击和基于标签的攻击。基于分数的攻击，如Yeom等人的攻击和Carlini等人的似然比攻击（LiRA），使用模型的置信度分数（例如softmax概率）来推断成员身份。基于标签的攻击，如Choquette-Choo等人的仅标签成员推断，仅依赖预测的类别标签，这在现实场景中通常更容易获得。
基于标签的攻击可能更强大，尤其是当攻击者可以扰动输入时。例如，在自然语言处理中，攻击者可能对一个目标文本和几个仅相差几个词的变体进行评分；如果模型的预测发生显著变化，则表明原始文本在训练集中。另一种方法是模型蒸馏，使用一个更简单的学生模型来复制一个复杂的教师模型，可能提取关于训练数据的额外信息。
这些攻击的有效性取决于数据集和模型。过拟合是最常见的泄露来源，标准的正则化技术如丢弃、权重衰减和早停可以减少过拟合。然而，当模型较大、数据复杂且训练集和测试集都较大时，，这些是现代深度学习系统中的常见条件，，成员推断往往更有效。
对大型语言模型的成员推断
大型语言模型（LLM）呈现了一个独特的情况。2024年的一项评估表明，在许多任务上，成员推断攻击的表现仅略好于随机猜测。这主要归因于训练数据的分布：LLM通常只遇到任何特定数据一次，从而最小化了训练集和测试集之间的重叠。此外，一个完全忽略模型的简单基线通常优于复杂的攻击，这表明攻击可能仅仅因为记录来自较早的时间段或不同的分布而错误地将它们标记为成员。
这个问题与原始基因组研究的局限性相似：如果研究人群是同质的，测试来自不同种族群体的个体可能会错误地将他们识别为成员。对于LLM，如果训练和测试数据来自不同的时间段，攻击可能会声称任何与训练数据时间上一致的记录都是成员，无论其实际是否包含在内。
防御与缓解措施
差分隐私是抵御成员推断最稳健的防御措施，因为它提供了限制任何单个记录影响的理论保证。对于神经网络，差分隐私通常通过DP-SGD（差分隐私随机梯度下降）实现，该方法在训练期间向梯度添加噪声。
在实践中，防御成员推断通常涉及改善泛化和减少过拟合。诸如丢弃、权重衰减和早停等标准技术是间接但有效的隐私措施。此外，可以修改模型以限制信息泄露：例如，通过四舍五入置信度分数、将其截断为前k个类别，或向输出添加噪声。这些方法减少了攻击者可以利用的信号，尽管它们可能以模型效用为代价。
研究继续探索模型性能与隐私之间的平衡，尤其是随着模型规模和复杂性的增长。成员推断仍然是评估隐私保护机器学习技术的关键基准。