Bei einem Membership-Inference-Angriff wird geprüft, ob die Daten einer bestimmten Person im Training eines Modells lagen. Bei Gesundheitsdaten kann schon diese Zugehörigkeit eine sensible Diagnose verraten. Die Studie misst das Risiko deshalb pro Patient und nicht nur als Durchschnitt über den gesamten Datensatz.
Untersucht wurden medizinische Bilder, Elektrokardiogramme und elektronische Patientenakten. Zu den genannten Beständen gehören 21.799 EKGs und 377.110 Thorax-Röntgenaufnahmen. Einzelne Personen waren nahezu sicher zuzuordnen, während die Angriffe bei vielen anderen Fällen erfolglos blieben.
Die Forschenden sehen ein höheres Risiko bei größeren und leistungsfähigeren Modellen, weil diese feinere Unterschiede in ihren Vorhersagewahrscheinlichkeiten zeigen können. Als Gegenmaßnahme nennen sie Differential Privacy: Beim Training wird kontrolliert Rauschen beigemischt, um solche Rückschlüsse zu erschweren, ohne die Diagnoseleistung vollständig aufzugeben.