随着深度学习技术的快速发展,大量敏感的数据被用于神经网络模型的训练。因此,如何有效确保训练数据集的隐私性面临着严峻的挑战。本文针对深度学习模型的成员推理攻击和防御问题展开研究。通过执行成员推理攻击,攻击者可以推断出特定的数据记录是否在目标模型的训练数据集中。目前,现有的攻击方法大多假设攻击者拥有大量与目标模型训练集分布相同的数据样本,攻击者以这些背景知识为前提执行成员推理攻击。然而,在现实场景下,攻击者能够获取到的先验信息是有限的,这大大降低了成员推理攻击的成功率。针对黑盒成员推理攻击,现有的防御方法通过正则化、差分隐私等技术降低模型的过拟合,减少成员隐私泄露问题。但这类隐私保护技术产生了较差的隐私-效用权衡,即在防御成员推理攻击的同时降低了深度神经网络的预测性能。针对以上问题,本文的主要内容如下:为了在攻击者拥有的数据样本数量有限的情况下提高攻击的成功率,本文提出了一种基于数据增强的成员推理攻击方法。通过深度卷积生成对抗网络增强影子模型的数据集,并基于信息熵理论筛选合成数据用作影子模型的训练集,使得影子模型能够更好地拟合目标模型的决策边界,从而模仿目标模型的预测行为。本方法放宽了对攻击者的背景知识的假设,允许攻击者在更严苛的条件下进行成员推断。实验结果表明,本方法可以达到较高的攻击准确性,即攻击者可以利用更少的背景知识获得较好的攻击效果。为了平衡模型效用与成员隐私之间的关系,本文提出了一种基于对抗样本的成员隐私防御方法。本方法同时考虑两种典型的黑盒成员推理攻击策略,即置信阈值推理攻击方法和成员推理模型攻击方法,并通过在目标模型预测输出的真实置信度向量上添加微小的对抗扰动,生成对抗置信度向量,使得攻击者无法根据对抗置信度向量准确地推断出数据记录的成员状态。本方法在不影响目标模型的预测性能的情况下,为深度神经网络的训练数据提供了有效的隐私保护。实验结果表明,本方法降低了攻击的准确性,可以保护深度学习模型免受黑盒成员推理攻击。总之,本文从攻击和防御两个角度对成员推理攻击进行研究,并使用真实数据集,结合相关评估指标,进行实验验证与对比分析,证明了所提的方法的有效性。