成员推断与隐私审计的样本复杂度

arXiv:2508.19458v2 公告类型：替换 摘要：成员推断攻击获取学习算法的输出以及一个目标个体，并试图判断该个体是训练数据中的成员，还是来自同一分布的独立样本。成功的成员推断攻击通常要求攻击者掌握训练数据所采样分布的一些信息，而这些信息通常通过来自该分布的一组独立参考样本来获取。在本文中，我们通过研究样本复杂度——即成功发起攻击所需的最少参考样本数量——探究攻击者进行成员推断所需的信息量。我们在高斯均值估计这一基本场景中研究该问题：学习算法获得来自 $d$ 维高斯分布 $\mathcal{N}(\mu,\Sigma)$ 的 $n$ 个样本，并尝试估计 $\hat\mu$，使其满足误差条件 $\mathbb{E}[\|\hat \mu - \mu\|^2_{\Sigma}]\leq \rho^2 d$。我们的结果表明，在这一场景下进行成员推断时，要实施任何能够与信息完全的攻击者相竞争的攻击，可能需要 $\Omega(n + n^2 \rho^2)$ 个样本。这是首个表明攻击者有时需要比训练算法用于训练模型的样本多得多的结果。这一结果对实践具有重要意义，因为实践中使用的所有攻击都具有受限形式，只使用 $O(n)$ 个样本，无法从 $\omega(n)$ 个样本中获益。因此，当分布信息易于获取时，这些攻击可能低估了成员推断的可行性，而利用更多信息的更优攻击或许是可能的。