Nature：医疗 AI 隐私审计显示“平均安全”会掩盖个体患者的近乎可识别风险
顶级刊物论文速递 · 发布 2026-06-25T11:34:00+08:00 · 更新 2026-06-25T11:42:41+08:00
Nature 6 月 24 日发表开放获取论文，审计医疗诊断 AI 在成员推断攻击下的患者级隐私风险。研究显示，即使总体攻击成功率接近随机猜测，个别患者仍可能面临近乎完美的识别风险，且代表性不足群体风险更高。这要求医疗 AI 评估从平均指标转向患者级、分人群审计，并把模型容量和数据共享权限纳入治理。
Nature 6 月 24 日发表开放获取论文《Disparate privacy risks from medical AI》。论文关注一个越来越现实的问题：医疗 AI 模型需要大量敏感训练数据，但传统隐私评估常把攻击成功率按整个数据集求平均，结果可能把少数患者面临的极高泄露风险稀释掉。作者把审计粒度推进到患者层面，重点分析 membership inference attack，即攻击者试图判断某位患者的数据是否被用于训练某个模型。
论文示意成员推断攻击及聚合层面、个体层面隐私风险评估策略。（图源：Springer Nature / Nature article figure）
论文摘要和正文显示，研究覆盖医学图像、心电图和电子病历等七类大型临床数据集，并训练大量目标模型来估计记录和患者层面的攻击成功率。关键发现是：即使总体攻击表现接近随机猜测，部分患者仍可能遭遇近乎完美的成员推断成功率；模型容量越大，高攻击成功率患者数量越多。换句话说，一个模型在汇总指标上看起来“隐私风险不高”，并不代表每个贡献数据的患者都处于相同风险水平。
更敏感的是风险分布不均。论文指出，按疾病状态、自报种族、保险、性别或影像采集协议划分的代表性不足群体，可能承受更高攻击成功率。正文举例显示，在 MIMIC-IV-ED 等数据中，某些人群特征在易受攻击记录中被过度代表。这让医疗 AI 治理面对一个公平性与隐私交叉问题：模型不只是可能泄露训练成员身份，还可能让本已代表不足或临床上更脆弱的人群承受更集中的隐私成本。
这篇论文的影响不止在安全圈。未来医院、研究网络和模型公司如果要共享、训练或发布诊断模型，不能只交一张平均隐私风险表；更需要记录级、患者级以及分人群的审计结果，并把差分隐私、去标识化、访问控制和模型容量选择放在同一套风险评估里。论文也留下边界：它主要研究成员推断攻击，其他攻击形式是否呈现同样的差异化风险仍未定论；而降低隐私风险与保持诊断性能之间的权衡，还需要在具体临床场景中重新测量。
信息来源
可信度说明
核心来源是 Nature 开放获取论文和 DOI，Nature 新闻条目提供了“医疗记录可能通过训练数据漏洞暴露”的外部解读。证据边界在于，研究聚焦 membership inference attack，不能自动外推到所有隐私攻击类型；具体部署场景的风险还取决于模型、数据和访问权限。