通过稀疏编码架构提升对模型反演攻击的鲁棒性

近期的模型反演攻击算法允许攻击者通过反复查询网络来重建神经网络的私有且潜在敏感的训练数据。在本工作中，我们开发了一种利用稀疏编码层的新型网络架构，以获得针对此类攻击的卓越鲁棒性。三十年来的计算机科学研究已在图像去噪、目标识别和对抗性误分类设置的背景下研究了稀疏编码，但据我们所知，其与最先进的隐私漏洞之间的联系仍未被研究。在本工作中，我们假设稀疏编码架构提供了一种防御模型反演攻击的有利手段，因为它们使我们能够以已知对分类准确率影响甚微的方式控制网络编码的不相关私有信息量。具体而言，与使用各种最先进防御训练的网络相比，我们的稀疏编码架构在维持相当或更高分类准确率的同时，在多种重建质量指标（PSNR、SSIM、FID）下将最先进的训练数据重建质量降低了 1.1 至 18.3 倍。这种性能优势在从 CelebA 人脸到医学图像和 CIFAR-10 的 5 个数据集以及各种基于 SGD 和基于 GAN 的最先进反演攻击（包括 Plug-&-Play 攻击）中均成立。我们提供了支持集群的 PyTorch 代码库，以促进研究并标准化防御评估。