无需参考模型估计模型级成员推断脆弱性

arXiv:2510.19773v2 公告类型：替换 摘要：成员推断攻击（MIAs）已成为评估 AI 模型隐私风险的标准工具。然而，最先进的攻击需要训练大量参考模型，通常计算成本高昂，限制了其实用性。我们提出一种新方法，无需训练任何参考模型，即可直接根据目标模型的训练损失分布和测试损失分布，估计其面对当前最强攻击——似然比攻击（LiRA）时的模型级脆弱性。我们表明，LiRA 的逐样本信号可分解为方差比项和残余均值偏移项，各项的相对贡献取决于训练使模型在参与训练的样本上的不确定性降低了多少。这使模型分布在一个连续谱上，不同区间需要采用不同的、无需参考模型的基于损失的统计量，作为 LiRA 真阳性率（TPR）的代理指标。损失分布本身的形状即可指示应采用哪种代理指标。我们使用两个自然的代理指标将该框架具体化。在重尾端，LOSS 攻击的真阴性率（TNR）可预测 LiRA 在假阳性率（FPR）为 $10^{-3}$ 时的 TPR，在 10 种图像分类架构和 4 个数据集上的均方根误差（RMSE）为 0.036，优于 RMIA 等低成本参考模型攻击。在对称端，LOSS 攻击的曲线下面积（AUC）可预测 LiRA 的 TPR，在参数量从 1000 万到 10 亿的五种 GPT-2 规模上的 RMSE 为 0.018。