Ataque de inferencia de pertencimento sem caixa eleva risco de reidentificacao em dados sinteticos de expressao genica
Pesquisadores unificaram cinco variantes de ataques de inferencia de pertencimento (membership inference) em caixa totalmente fechada ('no-box') sob um unico framework de distancia ponderada, aplicado a dados sinteticos de expressao genica gerados por um autoencoder variacional condicional a partir do The Cancer Genome Atlas. A estrategia de ponderacao por residualizacao espectral elevou significativamente a eficacia do ataque, levantando duvidas sobre a protecao de privacidade real oferecida por dados sinteticos nesse dominio.
Dados sinteticos sao frequentemente apresentados como uma forma de compartilhar informacao estatisticamente util sem expor dados reais de pacientes, especialmente em dominios sensiveis como genomica medica. O ataque de inferencia de pertencimento testa justamente essa premissa: dado um modelo generativo (neste caso, um autoencoder variacional condicional treinado sobre dados do The Cancer Genome Atlas) e apenas suas saidas sinteticas, um atacante tenta determinar se o perfil de expressao genica de um paciente especifico fez parte do conjunto de treinamento original. O modelo de ameaca 'no-box' usado aqui e o mais restritivo possivel: o atacante nao tem acesso aos pesos do modelo, aos gradientes, nem ao procedimento de treinamento -- apenas observa as amostras sinteticas geradas, o que corresponde ao cenario realista de alguem que recebe ou encontra publicamente um dataset sintetico divulgado por uma instituicao.
A contribuicao tecnica central e unificar cinco variantes de ataque sob um framework comum de 'distancia ponderada', variando apenas como os genes individuais sao pesados na comparacao entre amostra candidata e dados sinteticos: peso uniforme (linha de base), peso por variancia, peso por divergencia KL, residualizacao espectral, e peso por pertencimento a vias biologicas conhecidas. Ao testar essas variantes contra o autoencoder variacional condicional, a residualizacao espectral se destacou como a estrategia mais eficaz, elevando a area sob a curva ROC de 0,8251 para 0,8951 e a taxa de verdadeiros positivos a 1% de falsos positivos de 0,3842 para 0,5970 em dados pan-cancer -- um salto substancial para um ataque que nao tem absolutamente nenhum acesso interno ao modelo.
Um achado secundario relevante e que os priors baseados em vias biologicas (pathway-based), apesar de fazerem sentido biologico a priori, nao generalizaram bem entre diferentes datasets-alvo, sugerindo que o sinal mais explorável nao e necessariamente o mais biologicamente interpretavel, mas sim estrutura estatistica latente capturada pela residualizacao espectral.
Na pratica, isso importa porque instituicoes de pesquisa medica e saude cada vez mais liberam dados sinteticos de expressao genica como alternativa 'segura' para compartilhamento de dados, sob a premissa de que a sintese quebra o vinculo com pacientes individuais. Este trabalho mostra que, pelo menos para esse tipo de gerador e dominio de dados, sinais biologicos dominantes nos dados reais permanecem suficientemente impressos nas amostras sinteticas para permitir reidentificacao com confianca razoavel, mesmo sob o modelo de ataque mais fraco possivel -- o que deveria levar reguladores e comites de etica a tratar 'sintetico' como insuficiente, por si so, para garantir anonimato, exigindo auditorias de privacidade como a descrita aqui antes da publicacao de tais datasets.