4、基于成员推理攻击比较局部差分隐私（LDP）和集中差分隐私（CDP）

基于成员推理攻击比较局部差分隐私（LDP）和集中差分隐私（CDP）

1. 差分隐私在深度学习中的应用

在评估中，对于图像数据，采用Fan提出的局部随机化器进行LDP图像像素化。该随机化器对每个像素应用拉普拉斯机制，尺度为 $\lambda = \frac{255 \cdot m}{b^2 \cdot \epsilon}$，满足相关定义。参数 $m$ 表示提供LDP的邻域，大邻域下提供DP或LDP需要高 $\epsilon$ 值来保留有意义的图像结构，高隐私性会导致随机黑白图像。

在通用数据科学过程（如CRISP - DM）中考虑LDP和CDP在深度学习中的应用。数据所有者DO的数据集 $D$ 会经历以下过程：
1. 数据转换。
2. 用于学习模型函数 $h(\cdot)$（如分类）。
3. 模型部署供第三方评估。这里 $h(\cdot)$ 代表神经网络，DP可应用于数据科学过程的每个阶段，如通过对每个记录 $d \in D$ 进行扰动实现LDP，使用CDP梯度优化器进行集中学习，或通过联邦学习投票评估 $h(\cdot)$。

2. 白盒成员推理（MI）攻击

MI攻击旨在识别数据所有者DO的训练数据中单个记录的存在与否。当训练数据集的性质揭示敏感信息时，MI攻击对训练数据集的成员尤为重要。相关的基于MI的攻击是属性推理，本工作仅考虑MI，因为防范MI可防范属性推理。

具体考虑Nasr等人提出的白盒MI攻击，它比之前的黑盒MI攻击更强。该攻击假设一个诚实但好奇的对手A，可访问训练好的预测函数 $h(\cdot)$，了解训练使用的超参数和DP机制。对手A想学习一个二元分类器（攻击模型），将数据准确分类为目标模型训