无需重新训练的隐私审计：感知分布偏移的分数迁移

arXiv:2610.31549v1 公告类型：新论文 摘要：隐私审计通过成员推断攻击确立隐私损失的下界，从而以实证方式评估隐私泄露。我们考虑一种观测式审计场景：审计者无法插入金丝雀样本、控制数据是否被纳入训练集，也无法重新训练目标模型，而必须依赖固定的已知成员和非成员集合。这一场景适用于已部署的大型模型，或因计算资源或访问权限限制而无法重新训练的情况。在这种情况下，可用于审计的非成员数据可能与训练数据的分布不同，导致成员推断分数因分布偏移而产生偏差。我们通过利用现有的分布外（OOD）非成员数据，估计反事实的分布内非成员分数分布，以解决这一问题。我们提出的方法从 OOD 非成员数据中学习数据表征与成员推断分数之间的关系，并将其迁移到目标协变量分布。由于这种迁移在外推或条件不变性不完全成立时可能变得不可靠，我们进一步引入了一种直接针对迁移后的名义隐私水平进行校准的保守修正。我们利用现有非成员数据构建受控校准任务，估计表征空间中的位移会在多大程度上使审计结果虚高，并利用这一估计修正迁移引入的审计误差。在多个存在分布偏移的数据集上，我们的方法显著提高了隐私估计的稳定性，同时仍能给出比基线方法更紧的下界。