MỞ ĐẦU Trong những năm gan đây, sự bùng nô của dữ liệu đã đưa con người vào thời đại mà thông tin không chỉ là quyền lực mà còn là nguồn tài nguyên vô cùng quý giá, định hình sự phát triển toàn diện của xã hội và kích thích sự tiến bộ trong nhiều lĩnh vực khác nhau. Điều này cũng mang đến những thách thức trong việc bảo vệ dữ liệu riêng tư của các cá nhân, trong đó tan công suy diễn thành viên (MIA) là một thách thức đáng kê đối với sự bảo vệ tính riêng tư. Các nghiên cứu gần đây đã chỉ ra rằng các mô hình học máy dễ bị tắn công suy diễn thành viên, nhằm mục đích suy ra liệu bản ghi dữ liệu có được sử dung dé đào tạo mô hình mục tiêu hay không. MIA trên các mô hình ML có thé trực tiếp dẫn đến vi phạm quyên riêng tư [1].
Dé thấu hiểu sâu rộng về ý thức pháp luật và đồng thời chứng minh sự cần thiết của những nghiên cứu về bảo vệ dữ liệu cá nhân, chúng tôi đề cập đến việc đặt cơ sở lý luận trên những nghị định pháp luật quan trọng liên quan. Tại Việt Nam, Nghị định s6 13/2023/NĐ-CP của Chính Phủ ngày 17 tháng 04 năm 2023 về bao vệ đữ liệu cá nhân đã đề cập đến những quyền và nghĩa vụ bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân và các chủ thể có liên quan. Tương tự, pháp luật của Liên minh châu Âu EU cũng có các quy định về bảo vệ dữ liệu cá nhân được ghi nhận tại Quy định bảo vệ đữ liệu chung 2016/679 (GDPR), GDPR không chi tập trung vào việc bảo vệ quyền riêng tư của cá nhân mà còn đề cập đến những nguyên tắc cơ bản như tính minh bạch và quản lý dữ liệu. Tại Hoa Kỳ, Đạo luật Di động và Trách nhiệm Bảo hiểm Y tế (HIPAA) là một ví dụ khác về quy định pháp luật quan trọng liên quan đến bảo vệ đữ liệu cá nhân.
HIPAA chủ yếu tập trung vào lĩnh vực y tế, nơi quản lý thông tin sức khỏe của cá nhân là vô cùng quan trọng. Qua đó, ta thấy rõ rằng nghiên cứu về bảo mật dữ liệu không chỉ là một nhiệm vụ khoa học mà còn là sự đáp ứng tích cực đối với các yêu cầu và quy định pháp luật của các quốc gia trên thế giới. Hiện nay, đã có nhiều nghiên cứu chỉ ra mức độ phô biến và nguy hiểm của tấn công MIA. Nghiên cứu [1] của Reza Shokri và các cộng sự đã chứng minh khả năng tan công MIA hiệu quả với độ chính xác cao khoảng 90% trên các mô hình SVM với da dạng các bộ dữ liệu khác nhau.
Tương tự với bai báo [2] do Nicolas Papernot và các cộng sự thực hiện tiếp tục khẳng định về một phương pháp tấn công hộp đen một cách thực tế trên các bộ dit liệu hình ảnh với tỉ lệ sai lệch đạt từ 20 - 60%. Tuy nhiên, các phương pháp bảo vệ truyền thong như mã hóa và ân danh dit liệu có thé không hiệu quả trong việc chống lại tan công MIA, hơn nữa chúng cũng có thé làm tăng chi phi tính toán và lưu trữ. Do đó, cần có những phương pháp mới dé bảo vệ quyên riêng tư dữ liệu hiệu quả hơn mà không ảnh hưởng đến độ chính xác và hiệu qua của mô hình học máy. Lúc này, Riêng tư vi phân (DP) [3] nỗi lên như một giải pháp đầy hứa hẹn, đặc biệt là khi các tuyên bố chính thức về bảo mật dữ liệu được ban hành.
Trong lĩnh vực học máy, DP đã trở thành công cụ mạnh mẽ dé đảm bao rang viéc xu ly dữ liệu không làm mất đi tính riêng tư của người dùng. DP cũng đã cho thay rang nó không chỉ hữu ích trong việc bảo vệ quyền riêng tư mà còn trong việc đối phó hiệu quả với các mỗi de doa đến tính riêng tư từ các mô hình tan công phức tạp như MIA [4]. Năm bắt được tình hình đó, nhóm tác giả muốn thông qua đề tài để thêm những cải tiến trong việc thực hiện phòng thủ cho các mô hình Neural Network, đặc biệt là chống lai các cuộc tấn công Suy diễn thành viên hộp đen (black-box MI). Mục tiêu chính của đề tài là áp dụng Riêng tư vi phân chống lại các cuộc tấn công suy diễn thành viên: áp dụng hiệu quả Renyi-DP vào quá trình đạo tạo của các mô hình CNN, điều chỉnh một số siêu tham số dé cải thiện hiệu suất của mô hình, cũng như thực hiện tan công bang black-box MI lên các mô hình.
Phạm vi và đối tượng nghiên cứu bao gồm các mô hình học may CNN, riêng tu vi phân, tan công suy diễn thành viên, phân loại hình ảnh. TONG QUAN DE TÀI 1. Tình hình nghiên cứu Trong thời đại khoa học máy tính và AI phát triển như vũ bão, học máy (Machine Learning) đã trở thành một thuật ngữ không còn xa lạ. Chỉ với thao tác đơn giản là tra cứu từ khóa "Học Máy" hay "Machine Learning" trên Google, ta nhận được hơn 2 tỷ kết quả trả về trong vòng chưa đầy một giây.
Theo số liệu nghiên cứu của Google Trends, mức độ quan tâm phổ biến theo thời gian của cụm từ “Machine Learning” từ tháng 1/2010 đến tháng 3/2024 liên tục tăng theo thời gian. Biêu do mức độ quan tâm của người dùng về cụm từ "Machine Learning" theo sô liệu từ Google Trends 120 100 80 60 40 20 ” = —= — — — — — — — — = — — —= —= ee = = = 20 -01 20 -06 20 -1 20 1-04 20 1-09 20 -02 20 -12 20 3-05 20 3-10 20 4-03 N a N Hình 1. Biểu đồ thé hiện mức độ quan tâm theo thời gian của cum từ “Machine Learning” từ 1/2010 đến 3/2024 Con số không lồ này minh chứng cho sự bùng nỗ mạnh mẽ của ML trong mọi lĩnh vực của đời sống, từ kinh tế, tài chính, y tẾ, giáo dục, giải trí, an ninh mạng,. Cu thể, cuộc thảo luận [5] của Anjali và giảng viên đánh giá một số ứng dụng của học máy trong lĩnh vực giáo dục như sau: dự đoán kết quả học tập của học sinh, chấm điểm tự động công băng, đê xuât và tô chức lộ trình cho học sinh với nội dung học tập có săn, dự đoán sự phát triển của học sinh trong tương lai,.
Tuy nhiên, sự phát triển của ML cũng đi kèm với những thách thức, đặc biệt là van đề bảo mật đữ liệu. Các mô hình học máy được đảo tạo trên tập dữ liệu không 16, thuong chứa thông tin nhạy cam của cá nhân. Việc bảo vệ dit liệu khỏi các cuộc tấn công mạng, đặc biệt là tan công suy diễn thành viên (MIA), là vô cùng khan cấp. Tan công suy diễn thành viên (MIA) là một loại tan công mạng nguy hiểm là một môi de doa nghiêm trọng đối với sự riêng tư của người dùng, cho phép kẻ tấn công dự đoán xem một cá nhân cụ thé có thuộc tập dữ liệu dao tạo của mô hình học máy hoặc học sâu hay không.
Từ đó, MIA có thể gây ra nhiều hậu quả nghiêm trọng, bao gồm: - Vipham quyên riêng tu: Kẻ tan công có thé thu thập thông tin cá nhân nhạy cảm của người dùng. - Gidm độ tin cậy của mô hình: MIA có thé anh hưởng đến độ chính xác và hiệu quả của mô hình Học Máy. - Cac hành vi gian lận: Kẻ tan công có thê lợi dung MIA dé thực hiện các hành vi gian lận, giả mạo danh tính. Trong những năm gan đây, nhiều nghiên cứu đã chỉ ra khả năng tiết lộ thông tin cá nhân từ các mô hình học sâu được công khai.
Nghiên cứu [1] của Reza Shokri và các cộng sự vào năm 2017 là một trong những nghiên cứu đầu tiên chứng minh tính khả thi của cuộc tấn công suy diễn thành viên. Sau đó, nhiều kỹ thuật tấn công mạnh hơn liên tục được đề xuất dựa trên nền tang là tần công suy diễn thành viên, bài báo [6] của Alexandre Sablayrolles và nhóm tác giả (2019) đã áp dụng phương pháp tấn công Membership Inference Attack (MIA) trên hai mô hình khác nhau: Convolutional Neural Network (CNN) với tan công black-box va Logistic Regression (LR) với tắn công white- box. Mục tiêu là đánh giá hiệu quả của chiến lược tối ưu áp dung Bayes cho MIA trong từng trường hợp. Kết quả cho thấy, tấn công white-box trên mô hình LR đạt độ chính xác cao nhất lên đến 90%.
Mặc dù tấn công black-box trên mô hình CNN không dat hiệu quả cao như vậy, nhưng vẫn cho kết quả tốt hơn so với ngẫu nhiên, chứng tỏ khả năng ứng dụng của MIA trong cả hai kịch bản tan công. Qua những thực nghiệm trên, ta hoàn toàn thấy được khả năng xâm nhập và gây ra những hậu quả nghiêm trọng của MIA trong các mô hình học máy. Do đó, để bảo vệ tính riêng tư của dữ liệu, các biện pháp được đề xuất như làm mờ dữ liệu (data obfuscation) hay giảm nhiễu (noise injection) nhưng vẫn còn nhiều hạn chế. Một giải pháp tiềm năng là sử dụng kỹ thuật riêng tư vi phân (Differential Privacy) dé chống lại các cuộc tan công suy diễn thành viên đã được thực hiện trong nghiên cứu [7] của Rahman và các cộng sự vào năm 2018 bằng cách thêm giá trị nhiễu Laplace trong quá trình truyền ngược của mô hình học sâu sử dụng 2 phương pháp cài đặt: Central DP — thêm nhiễu tập trung trước khi chia sẻ mô hình và Local DP — thêm nhiễu riêng trên từng điểm dữ liệu trước khi cập nhật.
Các mô hình học sâu riêng tư có thé bảo vệ quyên riêng tư trước đối thủ mạnh, nhưng phải hy sinh tiện ich mô hình đáng ké. Khi cung cấp mức tiện ích cạnh tranh, các mô hình này không hoàn toàn ngăn chặn được các cuộc tân công quyên riêng tư hiện dai, cụ thê là tân công suy diễn thành viên. Từ những luận điểm trên, nhóm quyết định sử dụng Rényi Differential Privacy (RDP) đã được cải tiến hơn so với DP truyền thống. So với DP, RDP có khả năng đo lường mức độ rủi ro mất mát tính riêng tư chặt chẽ và chính xác hơn.
Kỹ thuật này đã được chứng minh hiệu quả vượt bậc so với phương pháp truyền thống qua nghiên cứu [8] của Mironov và Google Brain công bố vào năm 2017 và cải tiến [9] của Cheng XianFu cùng các cộng sự đã chứng minh kỹ thuật RDP vượt trội hơn DP thông thường như sau: cho phép đánh giá chính xác mức độ rò ri thông tin bằng cách điều chỉnh tham số a và được đảm bảo thắt chặt hơn so với DP.