自适应模型反演攻击将隐私—鲁棒性权衡推广至更广范围

arXiv:2610.07677v1 发布类型：新 摘要：本文表明，针对高分辨率模型反演攻击（MIAs）的标准评估会显著低估训练数据隐私泄露。在对攻击进行简单自适应修改后，最先进的隐私防御、MixUp 和对抗训练等标准训练技术，以及未采用防御的模型，在 FaceScrub 上泄露训练图像的比例均提高至原来的 1.16 至 6.59 倍；其中，隐私保护效果报告最强的防御方法增幅最大。我们进一步表明，测得的泄露程度取决于用于评估重建结果的外部分类器所采用的特征基：对于相同的重建图像，经过对抗训练的 Inception 评估器与标准 Inception 评估器识别目标身份的比例不同。我们的结果表明，标准 MIA 评估可能会将优化失败和测量失败误判为隐私保护。这些被低估的泄露率还掩盖了隐私与对抗鲁棒性之间更广泛的关系。在调整攻击方式并改变评估器后，重建泄露程度与近期防御方法及标准训练方案中的对抗鲁棒性高度一致，这表明鲁棒性可以作为一种与攻击无关的重建脆弱性代理指标，其适用范围远比此前理论设想的更广。这引出了一个开放问题：实用的防御方法能否在不相应牺牲对抗鲁棒性的情况下，减少训练数据重建？