本文研究针对机器学习模型训练数据隐私的“属性推断攻击”（Property Inference Attack）问题。此类攻击旨在从已训练模型中提取训练数据集的全局统计属性（如某类样本占比、数据分布特征），对共享数据参与训练的机构或个人构成隐私风险。现有基于影子模型的属性推断攻击虽有效，但攻击者需训练大量影子模型，计算开销巨大。本文提出一种新的攻击框架 SNAP，其核心是在训练数据中投毒（poisoning）一小部分样本，并利用模型在投毒影响下的置信度输出进行统计分析。作者首先从理论上分析了在数据投毒条件下模型置信度的变化规律，据此设计了高效的统计检验方法，使攻击者无需训练任何影子模型即可推断目标训练数据的属性。实验基于四个数据集（包括 Census 等）和多种不同比例的属性展开，结果显示：在 Census 数据集上，SNAP 相比当前最优的基于投毒的属性推断攻击（Mahloujifar 等人提出的方法），攻击成功率提升了 34%，且运行速度快了 56.5 倍。此外，SNAP 还支持两种扩展能力：一是判断训练过程中是否包含某个特定属性（存在性检测）；二是估计目标属性在训练数据中所占的精确比例。论文通过多个场景验证了 SNAP 的通用性和有效性，表明该攻击能以极低的计算成本实现高成功率的隐私提取。本文的主要贡献在于提出了一种兼具理论依据和实际效率的新型属性推断攻击方法，降低了此类攻击的门槛，并拓展了推断能力。适合关注机器学习隐私、对抗性攻击与防御、数据安全的研究者和安全从业者阅读。

本文研究了大型语言模型（LLM）在领域特定数据集上微调时面临的数据集属性泄露风险。近期研究表明，通过属性推断攻击（property inference attacks），攻击者能够有效提取模型训练数据集中的敏感属性（如数据集的整体分布特征），从而构成保密性威胁。现有防御方法主要依赖于修改训练数据分布，这需要访问原始数据并重新训练模型，限制了其在数据不可用或模型已部署场景下的适用性。本文提出基于对齐（alignment）的防御方法，通过后训练对齐（post-training alignment）重塑模型输出分布，使其朝向目标属性比例，而无需修改训练数据或重新训练。具体地，作者将两种广泛使用的基于人类反馈的强化学习（RLHF）框架——直接偏好优化（DPO）和组相对策略优化（GRPO）——适配为防御方法：DPO通过构造偏好对（将属性比例正确的输出作为偏好样本），GRPO通过定义特定奖励函数来惩罚属性泄露。综合实验表明，基于对齐的防御能有效缓解属性推断攻击，同时在模型效用与隐私保护之间取得良好平衡。本文的主要贡献在于首次将对齐技术应用于防御属性推断攻击，提供了无需数据访问的轻量级解决方案，对保护微调数据的隐私具有重要实践意义。适合关注LLM隐私保护、对抗性攻击防御的研究人员和工程师阅读。