评估推理攻击：针对2D语义分割模型的攻击与防御措施

《ACM Transactions on Autonomous and Adaptive Systems》：Evaluate Inference Attacks: Attack and Defense against 2D Semantic Segmentation Models

自动驾驶中的2D语义分割模型（DeepLabV3/DeepLabV3+）存在推理攻击隐私漏洞，经测试在成员推断（最高95%）、属性推断（40%）和模型反转（70%）攻击下均脆弱，深度网络更易泄露隐私。采用差分隐私和模型剪枝防御，攻击成功率平均下降20%。

　　

摘要

基于深度学习（DL）的2D语义分割（SS）在自动驾驶的感知任务中发挥着重要作用。然而，SS模型依赖于DL，这使其容易受到推理攻击。最近的研究发现，SS模型容易受到成员身份推断攻击，但其他类型的推理攻击尚未得到充分研究。我们的研究通过全面分析两种广泛使用的基于RGB图像的2D SS模型（DeepLabV3和DeepLabV3+）对三种推理攻击（成员身份推断、属性推断和模型反演）的脆弱性，填补了这一空白。我们在三个数据集（VOC2012、CityScapes和ADE20K）上，使用三种不同的模型架构（MobileNetV2、ResNet50和ResNet101）评估了这些攻击的有效性，结果发现：在成员身份推断攻击中攻击准确率可达到95%，在属性推断攻击中为40%，在模型反演攻击中为70%。这表明更复杂的网络在推理攻击中更容易发生隐私泄露。因此，我们引入了差分隐私和模型剪枝作为防御机制，显著降低了攻击效果，三种攻击下的平均准确率均下降了20%。我们的研究揭示了SS任务中的关键隐私漏洞，并为开发更强大的自动驾驶SS模型提供了实际指导。