Evaluations of Machine Learning Privacy Defenses are Misleading

机器学习隐私的实证防御放弃了差分隐私的可证明保证，希望在抵抗现实对手的同时实现更高的效用。我们发现现有的基于成员推断攻击的实证隐私评估存在严重缺陷，导致误导性结论。特别地，我们发现以往的评估未能表征最易受攻击的样本的隐私泄露情况，使用了弱攻击，并避免与实际差分隐私基线进行比较。在五个实证隐私防御案例研究中，我们发现以往的评估低估了隐私泄露十倍。在我们更强的评估下，我们研究的任何实证防御都无法与正确调整、高效的DP-SGD基线竞争（具有无意义的可证明保证）。

本论文旨在探讨机器学习隐私的经验性防御，并对现有的经验性隐私评估方法进行分析，以期提高实际防御效果。

本文提出了一种更强的评估方法，比现有方法更具实用性和可靠性，发现之前的评估方法低估了泄露隐私的风险，并对五个经验性隐私防御方案进行了实验比较。

实验结果表明，当前的经验性隐私防御方案在保证高效性的同时，无法达到差分隐私的保护水平，作者提出的评估方法更加全面，能够更好地评估隐私防御方案的实际效果。

相关研究包括差分隐私、隐私泄露攻击等。