[論文レビュー] A Comprehensive Analysis of Information Leakage in Deep Transfer Learning

Cen Chen, Bingzhe Wu+3 more|arXiv (Cornell University)|Sep 4, 2020

Privacy-Preserving Technologies in Data参考文献 36被引用数 12

ひとこと要約

本論文は、深層転移学習における情報漏洩に関する最初の包括的分析を提示し、手法をモデルベース、マッピングベース、パラメータベースのパラダイムに分類する。すべての3つのパラダイムが、標的攻撃によって意図せずメンバーシップ情報およびプロパティ情報が漏洩することを示し、これらのプライバシーリスクを軽減するための防御戦略を評価する。

ABSTRACT

Transfer learning is widely used for transferring knowledge from a source domain to the target domain where the labeled data is scarce. Recently, deep transfer learning has achieved remarkable progress in various applications. However, the source and target datasets usually belong to two different organizations in many real-world scenarios, potential privacy issues in deep transfer learning are posed. In this study, to thoroughly analyze the potential privacy leakage in deep transfer learning, we first divide previous methods into three categories. Based on that, we demonstrate specific threats that lead to unintentional privacy leakage in each category. Additionally, we also provide some solutions to prevent these threats. To the best of our knowledge, our study is the first to provide a thorough analysis of the information leakage issues in deep transfer learning methods and provide potential solutions to the issue. Extensive experiments on two public datasets and an industry dataset are conducted to show the privacy leakage under different deep transfer learning settings and defense solution effectiveness.

研究の動機と目的

• ソースドメインとターゲットドメイン間の相互作用パターンに基づいて、深層転移学習手法を分類し、プライバシー漏洩リスクに焦点を当てる。
• 各転移学習パラダイムにおける意図しない情報漏洩の発生メカニズム、特にメンバーシップおよびプロパティ推定に関して調査する。
• 各パラダイムに特化した標的メンバーシップおよびプロパティ推定攻撃を設計・評価し、実世界のプライバシー脅威を実証する。
• 勾配クリッピング、ノイズ注入、モデル distillation などの一般化された防御手法が、情報漏洩を低減する効果を評価する。
• 脆弱性を特定し、緩和戦略を提示することで、プライバシー保護型深層転移学習の基盤フレームワークを提供する。

提案手法

• 深層転移学習を3つのパラダイムに分類する：モデルベース（完全なモデルおよびパラメータ共有）、マッピングベース（特徴表現の共有）、パラメータベース（共同学習中の勾配共有）。
• ブラックボックスアクセスを用いてソースモデルの出力を得ることで、標的攻撃者が訓練データに含まれるサンプルかどうかを特定する、モデルベースパラダイム向けのメンバーシップ推定攻撃を設計する。
• マッピングベースおよびパラメータベースパラダイム向けに、攻撃者が共有された特徴または勾配からソースデータの統計的プロパティを推定するプロパティ推定攻撃を開発する。
• パラダイムに応じてホワイトボックスまたはブラックボックス攻撃設定を採用し、訓練済みの攻撃分類器を用いて、モデル出力または勾配に基づいてメンバーシップまたはプロパティを予測する。
• 勾配クリッピング、ノイズ注入、知識蒸留などの防御機構を評価し、モデルの有用性を維持しながら漏洩を低減する。
• 公開および産業界データセットを用いた広範な実験を通じて、すべての3つのパラダイムにおける攻撃成功率および防御有効性を検証する。

実験結果

リサーチクエスチョン

• RQ1 モデルベース、マッピングベース、パラメータベースの異なる深層転移学習パラダイムは、情報漏洩に対してどのように感受性が異なるか？
• RQ2 モデルベースの深層転移学習において、メンバーシップ推定攻撃がプライバシーをどの程度脅かすか？
• RQ3 共有された隠れ特徴または勾配がある場合、プロパティ推定攻撃はソースデータの機微な属性を明らかにできるか？
• RQ4 勾配クリッピングやノイズ注入などの一般防御手法は、すべての3つのパラダイムにおいて情報漏洩をどの程度低減できるか？
• RQ5 さまざまな漏洩シナリオ下で、プライバシー保護とモデル性能の間にはどのようなトレードオフが存在するか？

主な発見

• モデルベース、マッピングベース、パラメータベースの3つの深層転移学習パラダイムは、標的推定攻撃の下で、いずれも意図せずメンバーシップおよびプロパティ情報を漏洩する。
• モデルベース手法はメンバーシップ推定攻撃に対して脆弱であり、攻撃者がモデルにアクセスできる状況では、一部の設定で攻撃成功率が80％を超える。
• マッピングベースおよびパラメータベースパラダイムは、特に特徴または勾配がオーバーレイされない状態で、プロパティ推定攻撃に対して感受性が強い。
• バッチレベルで平均勾配を共有するパラメータベース手法は、個々の勾配を共有する手法よりも、はるかに少ないプロパティ情報を漏洩させる。
• 勾配クリッピングやノイズ注入などの防御策は漏洩を低減するが、特に高次元または複雑なデータセットではモデル精度が低下する可能性がある。
• 知識蒸留およびモデル蒸留技術は、特にモデルベースの設定において、有用性を維持しながら情報漏洩を低減する点で有望である。