Table 1. MIA result summary of trained attack on MNIST dataset for heavy noise level.

Heavy noise ( $\epsilon =0.5,\delta ={10}^{-3}$) Attack type = trained attack
Slice feature/	Attacker	AUC	Precision	Recall	F1 score
Slice value	advantage
Entire dataset	0.21	0.49	0.51	0.49	0.50
Class 0	0.04	0.51	0.49	0.50	0.50
Class 1	0.22	0.51	0.48	0.50	0.49
Class 2	0.10	0.54	0.45	0.51	0.48
Class 3	0.23	0.48	0.52	0.50	0.51
Class 4	0.23	0.53	0.49	0.52	0.50
Class 5	0.08	0.54	0.46	0.50	0.48
Class 6	0.14	0.49	0.49	0.49	0.49
Class 7	0.22	0.51	0.49	0.50	0.50
Class 8	0.18	0.52	0.48	0.50	0.49
Class 9	0.11	0.54	0.47	0.50	0.48
Correctly classified	0.05	0.49	0.51	0.50	0.50
True
Correctly classified	0.19	0.46	0.52	0.48	0.50
False