成员推断与隐私审计的样本复杂度

成员推断攻击获取学习算法的输出及目标个体，试图判断该个体是否为训练数据的成员或来自相同分布的独立样本。成功的成员推断攻击通常需要攻击者对训练数据采样分布的某些知识，这种知识通常通过来自该分布的独立参考样本集合表示。在本工作中，我们研究攻击者完成成员推断所需的知识量，通过调查样本复杂度——完成有效攻击所需的最小参考样本数量来回答此问题。在高斯均值估计的基本设置中，学习算法从高斯分布 $\mathcal{N}(\mu,\Sigma)$ 中获得 $n$ 个样本，试估计 $\hat\mu$ 以满足 $\mathbb{E}[\|\hat \mu - \mu\|^2_{\Sigma}]\leq \rho^2 d$。我们的结果表明，在此设置下，成员推断需要 $\Omega(n + n^2 \rho^2)$ 个样本才能完成任何与完全知情攻击者竞争的攻击。我们的工作首次表明，攻击者有时需要比训练算法使用的更多样本。此结果对实际应用具有重要意义，因为所有实际攻击都采用受限形式，使用 $O(n)$ 个样本，无法受益于 $\omega(n)$ 个样本。因此，这些攻击可能低估了成员推断的可能性，当分布信息易于获取时，更好的攻击可能是可行的。