[发明专利]基于变分自编码器的成员推理攻击抵御方法

说明书

本发明公开了一种基于变分自编码器的成员推理攻击抵御方法，主要解决现有成员推理攻击抵御方法无法同时满足可用性和隐私性的问题。其方案是：划分训练和非训练数据；分别构建卷积神经网络、变分自编码器和推理攻击网络模型；用非训练数据集训练卷积神经网络和推理攻击网络模型；对变分自编码器和训练好的推理攻击网络模型进行对抗训练；利用训练后的变分自编码器生成新生数据集；用新生数据集训练出防御卷积神经网络；使用新生数据集和训练数据同时测试防御卷积神经网络和训练好的推理攻击网络模型，输出添加防御后的预测分类结果和预测攻击结果。本发明提高了预测精度，降低了成员推理攻击的成功概率，可用于防止机器学习模型的训练数据被泄露。

技术领域

本发明属于机器学习安全领域，具体涉及一种成员推理攻击抵御方法，可用于防止机器学习模型的训练数据被泄露。

背景技术

随着机器学习技术的迅速发展，机器学习模型的性能也越来越好，越来越多的机器学习模型被用来服务人类，给人们带来了极大的便利，这得益于训练数据的数量和质量的提升。但是机器学习模型训练所需要的数据往往包含着人们的隐私信息，比如病历、财务信息等。而成员推理攻击作为一种有效窃取机器学习模型训练数据的方法，一直以来都受到广泛的关注，并且在各个领域都得到了实现，比如图像识别、目标检测、定位系统等等。因为机器学习模型对于训练数据和非训练数据的输出结果是有较大差异的，所以成员推理攻击就是通过构建一个攻击模型，它能够识别数据在机器学习模型中差异，并以此来区分输入的数据是否属于训练数据。因此，如何抵御成员推理攻击成为了机器学习领域中的一个热门话题，也是非常重要的一个研究方向。

针对成员推理攻击，目前已经有人提出了不少的抵御方法，但现有的成员推理抵御方法难以在保留机器学习模型性能的同时，降低机器学习模型训练数据被成功窃取的概率，无法同时保证模型的可用性和数据的隐私性。比如使用top-k方法可以限制机器学习模型输出的预测分类数量，降低预测精度，降低机器学习模型对于训练数据的拟合程度，从而降低攻击成功的概率。这种方法虽然能够抵御成员推理攻击，但是也极大地牺牲了机器学习模型的性能；又比如差分隐私技术，在机器学习模型的训练中添加噪声来模糊训练数据或者模型参数，也能降低成员推理攻击的性能，但是同样对机器学习模型的性能有着极大的影响。

浙江工业大学在专利申请号为CN202110654137.9的专利申请文献中提出“面向成员推理攻击的基于参数共享的深度模型隐私保护方法和装置”。其实施步骤是：第一步，构建用于根据图像样本进行目标识别的目标模型，并利用图像样本优化目标模型的网络参数；第二步，针对目标模型的每层网络参数进行聚类处理，并将属于同一类的网络参数用所属的类簇的网络参数平均值替换后，再优化网络参数，得到参数共享的目标模型；第三步，构建与目标模型结构相同的阴影模型，并利用训练图像样本优化阴影模型的网络参数；第四步，构建用于判别图像样本是否为目标模型成员样本的攻击模型，利用新图像样本优化攻击模型的模型参数；第五步，利用参数共享的增强目标模型获得输入测试图像的预测置信度，并将预测置信度输入至参数优化的攻击模型，经计算获得攻击模型的预测结果。该方法虽然通过参数共享达到了保护数据隐私性的目的，但是不考虑目标模型的性能是否受到影响，不能保证目标模型的可用性。

Nasr在2018年的会议ACM SIGSAC Conference on Computer andCommunications Security中发表的文献“Machine learning with membership privacyusing adversarial regularization”提出使用正则化对抗训练技术来抵御成员推理攻击的方法，通过设计一种对抗训练算法，让机器学习模型与攻击模型进行博弈训练。在训练过程中，不断提高机器学习模型的性能，同时也在不断增强攻击模型的攻击性能。这种方法能够保证机器学习模型的性能，同时也能够有效抵御成员推理攻击。但是这种方法只适用于大数据量的情况下，当数据量下降后，该方法的抵御性能也会受到很大的影响。

发明内容