Boîte blanche vs Boîte noire : Stratégies Bayesiennes Optimales pour l'Inférence de Membership

L'inférence de membership détermine, étant donné un échantillon et des paramètres entraînés d'un modèle d'apprentissage automatique, si l'échantillon faisait partie de l'ensemble d'entraînement. Dans cet article, nous dérivons la stratégie optimale pour l'inférence de membership avec quelques hypothèses sur la distribution des paramètres. Nous montrons que les attaques optimales ne dépendent que de la fonction de perte, et donc les attaques boîte noire sont aussi performantes que les attaques boîte blanche. Comme la stratégie optimale n'est pas traitable, nous fournissons des approximations menant à plusieurs méthodes d'inférence, et montrons que les méthodes d'inférence de membership existantes sont des approximations plus grossières de cette stratégie optimale. Nos attaques de membership surpassent l'état de l'art dans divers contextes, allant d'une simple régression logistique à des architectures plus complexes et à des ensembles de données, tels que ResNet-101 et Imagenet.