属性 / 分布推断：不偷某一条数据，而是套出你训练集的「群体属性」
一句话摘要：这条不是判定某人在不在（成员推断），也不是重建某条样本（反演），而是套出我整个训练集的统计属性——「这个模型是用『多少比例女性 / 某族裔』的数据训出来的」。Ganju 等（CCS 2018）用一个元分类器做到了：在美国人口普查收入数据上，能区分「训练集 38% 女性 vs 65% 女性」、「0% 白人 vs 87% 白人」两种构成。Suri & Evans（PoPETs 2022）进一步把它形式化为「分布推断」，并给出 n_leaked 指标量化风险。结论先行：训练集的群体构成本身就可能敏感（商业机密 / 群体隐私），别只盯着保护单个个体——有时攻击者要的根本不是某一条记录。