标准回答
定义
成员推断攻击（Membership Inference Attack, MIA）的目标不是还原数据内容，而是判断某个已知样本是否属于目标模型的训练集。这在医疗、金融等场景下本身就是隐私泄露——「某人的记录被用于训练」即敏感信息。
攻击原理
模型对训练时见过的样本通常给出更高的预测置信度、更低的损失（loss）；对没见过的样本则相对不确定。攻击者输入待测样本，观察输出置信度/损失，并据此判断其是否为「成员」。常见做法是训练影子模型（shadow models）模拟目标行为，再训练一个攻击分类器。
根本原因
成员推断的可行性直接来自过拟合：模型记住了训练数据的特异性细节，导致成员与非成员的响应分布出现可分的差异。泛化越好、差异越小，攻击越难。
防御手段
- 正则化：L2、Dropout、早停等抑制过拟合，缩小成员/非成员差距。
- 差分隐私：用 DP-SGD 在训练中加噪，从数学上限制单个样本对模型的影响。
- 降低过拟合：扩充数据、限制模型容量、降低输出置信度的区分度。
常见误区
⚠️ 常见踩坑
别把成员推断和模型反演混为一谈：成员推断只回答「在不在训练集里」这个是/否问题，并不重建样本内容；而模型反演/数据提取才试图还原训练数据本身。
追问
追问 1：为什么过拟合会让成员推断更容易成功？
过拟合意味着模型记住了训练样本的细节而非学到泛化规律，于是对训练样本给出异常高的置信度、异常低的损失，与未见样本拉开明显差距。攻击者正是利用这种可分的行为差异来判断成员身份；泛化越好、差距越小，攻击越难。
追问 2：差分隐私如何缓解成员推断？
差分隐私通过 DP-SGD 在梯度上裁剪并加噪，保证任意单个训练样本对最终模型的影响被严格限制在 (ε, δ) 范围内。这样「有没有用某样本训练」对模型输出的影响微乎其微，攻击者难以从置信度差异中区分成员，代价是一定的精度损失。
延伸学习
与本题相关的知识库文章、术语、工具与行业资讯。