[論文レビュー] A Linear Reconstruction Approach for Attribute Inference Attacks against Synthetic Data

Meenatchi Sundaram Muthu Selva Annamalai, Andrea Gadotti+1 more|arXiv (Cornell University)|Jan 24, 2023

Privacy-Preserving Technologies in Data被引用数 5

ひとこと要約

本論文は、合成テーブルデータに対する線形再構成ベースの属性推定攻撃を紹介しており、モデルへのアクセスがなくても高い正確性を達成する。この攻撃は、過度に正確な集計統計を悪用することで、外れ値だけでなくすべてのレコードを標的としている。現在の合成データ生成手法は、高い有用性を示す一方で、個人のプライバシーを保護できていないことが明らかになった。

ABSTRACT

Recent advances in synthetic data generation (SDG) have been hailed as a solution to the difficult problem of sharing sensitive data while protecting privacy. SDG aims to learn statistical properties of real data in order to generate "artificial" data that are structurally and statistically similar to sensitive data. However, prior research suggests that inference attacks on synthetic data can undermine privacy, but only for specific outlier records. In this work, we introduce a new attribute inference attack against synthetic data. The attack is based on linear reconstruction methods for aggregate statistics, which target all records in the dataset, not only outliers. We evaluate our attack on state-of-the-art SDG algorithms, including Probabilistic Graphical Models, Generative Adversarial Networks, and recent differentially private SDG mechanisms. By defining a formal privacy game, we show that our attack can be highly accurate even on arbitrary records, and that this is the result of individual information leakage (as opposed to population-level inference). We then systematically evaluate the tradeoff between protecting privacy and preserving statistical utility. Our findings suggest that current SDG methods cannot consistently provide sufficient privacy protection against inference attacks while retaining reasonable utility. The best method evaluated, a differentially private SDG mechanism, can provide both protection against inference attacks and reasonable utility, but only in very specific settings. Lastly, we show that releasing a larger number of synthetic records can improve utility but at the cost of making attacks far more effective.

研究の動機と目的

• 合成データ生成（SDG）手法が、外れ値レコードに限らず、個人のプライバシー情報を漏洩させる可能性があるかどうかを調査すること。
• 攻撃者が生成モデルにアクセスできない「ノーボックス」設定において、実用的な属性推定攻撃を開発すること。
• 最先端のSDG手法におけるプライバシー保護と統計的有用性のトレードオフを評価すること。
• 合成データのリリース規模が、有用性および推定攻撃への脆弱性に与える影響を評価すること。

提案手法

• 攻撃は、合成データの3方向マージナルクエリを用いて線形再構成技術を適用し、個々のレコードの機微な属性を推定する。
• 攻撃者は準識別子を把握しており、合成データセットにアクセス可能な部分的に情報が得られた状況下で動作する。
• マージナル統計から導かれる一次方程式系を解くことで、元のカラム値を再構成する。
• 攻撃は、確率的グラフィカルモデル、GAN、および微分プライバシー機構を含む複数のSDGフレームワークで評価されている。
• 合成データが集計統計を高精度で保持する傾向があることを利用している。
• ヒューリスティック法およびメンバーシップ推定攻撃を含む先行手法と比較し、任意のレコードに対して優れた正確性を示した。

実験結果

リサーチクエスチョン

• RQ1 合成テーブルデータにおいて、非外れ値レコードに対しても属性推定攻撃は有効に機能するか？
• RQ2 高い統計的有用性を示すにもかかわらず、現在のSDG手法が個人レベルの情報をどれほど漏洩させているか？
• RQ3 合成レコードの数が属性推定攻撃の有効性に与える影響は？
• RQ4 微分プライバシーを適用したSDGメカニズムは、非プライベートな対応手法よりも優れたプライバシー-有用性トレードオフを提供できるか？
• RQ5 高次元のマージナルクエリ（例：4次元および5次元）は、攻撃の正確性向上に寄与するか？

主な発見

• 提案された線形再構成攻撃は、先行する属性推定攻撃よりも顕著に高い正確性を達成しており、特に非外れ値レコードに対して顕著である。
• 攻撃は、記憶されたまたは外れ値レコードに限らず、任意の個人がデータセットに含まれる場合にもプライバシー漏洩が生じることを示している。
• より多くの合成レコードをリリースすることで、有用性はわずかに向上するが、属性推定攻撃の有効性は著しく増加する。
• 評価された手法の中で、微分プライバシー機構である RAP^softmax が特定の設定において、最も優れた実証的プライバシー-有用性トレードオフを示した。
• 先行攻撃は、プライバシーのリスクを最大で10パーセンテージポイント低く見積もっている可能性があるため、複数の評価手法の併用が不可欠である。
• 4次元および5次元のマージナルクエリは、誤差の増加により攻撃性能の向上に寄与せず、3次元クエリが最適であることが判明した。