表格数据下的成员推理攻击：SoK重新审视隐私评估

机器学习隐私评估领域，成员推理攻击（Membership Inference Attacks, MIAs）长期占据主导地位。然而，一篇题为《SoK: Rethinking Membership Inference in Tabular Machine Learning》的系统化知识（SoK）论文指出，现有评估几乎全部聚焦于高维数据集，对中小型表格数据的隐私行为缺乏深入探索。该研究通过构建新的MIA分类体系，系统考察了影响脆弱性的关键因素，并揭示了一个令人不安的结论：当前防御措施虽然降低了平均泄漏，却无法保护最敏感的个体记录。

表格数据为何成为隐私评估的盲区

表格数据广泛存在于医疗、金融、政务等关键领域，其规模往往远小于图像或文本数据集。论文作者指出，已有MIA研究主要基于高维数据集设计实验，默认数据维度越高、模型越复杂，隐私风险越大。这种假设导致中小型表格数据集的隐私行为长期未被系统检验。

研究团队收集了多个不同规模、不同类别粒度的表格数据集，并在多种模型架构上部署了四种当前最先进的攻击方法。他们发现，数据集的特征分布——尤其是类别粒度和多数类占比——对MIA成功率有显著影响。具体而言，类别粒度更高、多数类样本占比更大的数据集更容易受到成员推理攻击。这意味着，隐私风险不仅取决于模型本身，数据集的统计特性同样扮演关键角色。

成员推理攻击（MIA） 是一类通过观察模型对特定样本的输出（如预测置信度、损失值或梯度信息）来判断该样本是否存在于训练集中的攻击方式。其基本假设是：模型对训练样本的记忆更强，因而会表现出与未见样本不同的响应模式。MIA 的威胁在于，它不需要直接访问训练数据，却能推断出个体的敏感信息——例如某患者的病历是否被用于训练某诊断模型——从而构成隐私泄露。自 2017 年 Shokri 等人提出针对机器学习模型的成员推理攻击框架以来，该方向已成为隐私评估的核心基准之一，但既有研究普遍在高维图像或文本数据上验证，对表格数据的适用性尚缺乏系统检验。

对抗知识与攻击效果的重新审视

论文提出的MIA分类体系区分了依赖对抗知识的攻击与无参考模型的攻击。实验结果显示，高级MIA方法高度依赖对目标模型的对抗性知识，例如模型结构、训练超参数或输出置信度分布。当这些知识受限时，攻击效果明显下降。

相比之下，无参考模型的攻击（reference model-free attacks）在多数场景下取得了统计上可比的结果。这一发现挑战了“更复杂的攻击必然更危险”的直觉，提示隐私评估应更关注攻击的实际可操作性，而非单纯追求攻击算法的复杂度。

对抗知识（adversarial knowledge） 指攻击者在实施 MIA 时对目标模型或数据分布所掌握的先验信息，通常包括模型架构、超参数、训练算法、输出置信度分布，甚至部分影子模型的训练数据。根据知识程度的不同，攻击可分为白盒、灰盒与黑盒三类。论文强调的“无参考模型攻击”属于黑盒范畴，它不依赖训练与目标模型同分布的影子模型（reference model），而是利用目标模型自身的输出统计或简单阈值规则进行推断。这种攻击的实际威胁常被低估，因为它在真实部署场景中更易实施：攻击者往往无法获取模型内部信息，却能通过 API 查询获得足够的反馈。因此，评估 MIA 风险时，攻击的可操作性应与攻击的理论复杂度同等重要。

单例记录：防御体系下的脆弱群体

论文最引人注目的发现涉及具有唯一签名（unique signatures）的记录，即所谓“单例”（single-outs）。这些样本在数据集中独一无二，其存在本身就可能被攻击者识别。实验表明，即使应用了常见的防御措施（如正则化、差分隐私噪声、输出扰动等），单例记录仍然高度脆弱。

作者强调，当前防御机制主要优化平均泄漏指标，却忽视了对最敏感个体的保护。在医疗或金融场景中，单例记录往往对应罕见病例或特殊交易，一旦被推断出成员身份，可能造成严重的隐私侵害。这一结论对隐私保护实践提出了直接挑战：平均指标的改善并不等同于个体隐私的安全。

单例记录（single-outs） 指在数据集中具有唯一特征签名、无法与其他样本形成有效匿名集的个体。在表格数据中，这类记录通常表现为类别型特征的稀有组合或连续特征的极端值，例如某罕见病患者的全部临床指标组合、或某笔金额与商户类型均异常的交易。由于缺乏相似样本的“掩护”，模型更容易对其产生过拟合式记忆，攻击者仅需判断模型输出是否异常即可高置信度地推断其成员身份。差分隐私等防御手段虽然通过加噪模糊了整体分布，却难以完全消除单例记录在模型参数中留下的独特痕迹。因此，单例记录的隐私风险本质上是个体层面的，不能被平均泄漏指标所反映。

对隐私评估与防御设计的启示

这项SoK研究传递了几个关键信号。隐私评估不应默认沿用高维数据集的结论，而需针对表格数据的特性重新校准。类别粒度、多数类占比等数据统计量应纳入风险评估框架。防御设计需要从“降低平均泄漏”转向“保护最脆弱记录”，否则单例个体的隐私将持续暴露。

论文作者呼吁社区重新思考MIA在表格机器学习中的评估范式，建立更贴近真实部署场景的基准。对于从事隐私保护研究或合规实践的从业者而言，这项系统化梳理提供了清晰的改进方向：关注数据分布、审视攻击知识假设、并为单例记录设计针对性防护。