[論文レビュー] A Survey of Privacy-Preserving Model Explanations: Privacy Risks, Attacks, and Countermeasures

Thành Tâm Nguyên, Thanh Trung Huynh+5 more|arXiv (Cornell University)|Mar 31, 2024

Privacy-Preserving Technologies in Data被引用数 4

ひとこと要約

本調査は、説明可能なAI（XAI）におけるモデル説明のプライバシーリスクについて、初めて包括的な分析を提供する。説明に対する攻撃（例：メンバーシップ推定、脱匿名化）を分類し、プライバシー保護のための対策として微分プライバシーと敵対的訓練を提案する。プライバシー保護型説明手法の分類法を確立し、データモダリティ、理論的基盤、実世界での評価に関する重要な研究ギャップを特定する。

ABSTRACT

As the adoption of explainable AI (XAI) continues to expand, the urgency to address its privacy implications intensifies. Despite a growing corpus of research in AI privacy and explainability, there is little attention on privacy-preserving model explanations. This article presents the first thorough survey about privacy attacks on model explanations and their countermeasures. Our contribution to this field comprises a thorough analysis of research papers with a connected taxonomy that facilitates the categorisation of privacy attacks and countermeasures based on the targeted explanations. This work also includes an initial investigation into the causes of privacy leaks. Finally, we discuss unresolved issues and prospective research directions uncovered in our analysis. This survey aims to be a valuable resource for the research community and offers clear insights for those new to this domain. To support ongoing research, we have established an online resource repository, which will be continuously updated with new and relevant findings. Interested readers are encouraged to access our repository at https://github.com/tamlhp/awesome-privex.

研究の動機と目的

• 説明可能なAI（XAI）におけるモデル説明に関連するプライバシーリスクに関する研究のギャップを解消すること。
• 説明タイプと攻撃目的に基づいて、モデル説明を標的とするプライバシー攻撃を体系的に分類すること。
• プライバシー漏洩を軽減するための既存の対策（微分プライバシー、敵対的訓練など）を分析すること。
• 攻撃タイプの範囲が限定されていること、プライバシー漏洩の原因に関する理論的理解が不足していること、実世界の条件での評価が不十分であるといった未解決の課題を特定すること。
• 今後のプライバシー保護型XAI研究のための基盤となる分類法と研究ロードマップを提供すること。オープンソースのリポジトリを支援として活用する。

提案手法

• 機械学習、XAI、敵対的攻撃に関する240篇以上の論文を系統的レビューし、モデル説明におけるプライバシーリスクを同定する。
• 標的となる説明タイプ（例：ローカル、対照的、特徴量の重要度）、攻撃目的（例：メンバーシップ推定、データ再構築）、および裏側のメカニズムに基づいて、多様な次元の分類法を構築する。
• 説明におけるプライバシー漏洩の根本的原因を分析する。これには、モデルアーキテクチャ、説明手法の設計、データの感受性が含まれる。
• 微分プライバシー、敵対的訓練、入力の摂動といった防御メカニズムを、説明システムに特化して調査・分類する。
• さまざまな説明タイプとデータモダリティ（例：表形式、画像、グラフ、音声）におけるプライバシー保護技術の有効性を評価する。
• 継続的に更新されるオープンソースのリポジトリ（https://github.com/tamlhp/awesome-privex）を構築し、研究の継続的支援とコミュニティの貢献を促進する。

実験結果

リサーチクエスチョン

• RQ1 モデル説明を標的とする主なプライバシー攻撃の種類は何か。また、LIME、SHAP、対照的説明などの説明タイプごとに、それらはどのように異なるか。
• RQ2 モデル説明におけるプライバシー漏洩の背後にある原因は何か。また、モデルアーキテクチャと説明手法の設計が、これらのリスクにどのように寄与しているか。
• RQ3 微分プライバシー、敵対的訓練、入力の摂動といった対策の中で、説明の忠実度を保ちながらプライバシーを保護するのに最も効果的なものは何か。
• RQ4 表形式、画像、グラフ、音声データなどの異なるデータモダリティにおいて、プライバシーリスクはどのように変化するか。また、それらがもたらす独自の課題は何か。
• RQ5 プライバシー保護型モデル説明分野における主な未解決の研究課題は何か。特に、理論的基盤、実世界での評価、およびより広範なモデルカバレッジの面で。

主な発見

• メンバーシップ推定攻撃は、モデル説明における最も研究が進んでいるプライバシー脅威であり、特にローカル説明と対照的説明を標的にしている。
• LIME や SHAP といった説明手法は、局所的補助モデルや特徴量の摂動に依存しているため、誤ってメンバーシップ情報を漏洩させる可能性がある。
• 微分プライバシー機構、特に適応的ノイズ注入は、モデルの解釈可能性を保ちつつプライバシーリスクを低減できるが、説明の忠実度が低下する可能性がある。
• グラフニューラルネットワーク（GNN）は、プライバシー漏洩の高リスク分野として台頭しており、GNNの説明に対してメンバーシップ推定や脱匿名化攻撃が急速に実行可能になっている。
• 音声ベースのモデル説明におけるプライバシーの研究は依然として不足しており、音声データ（例：声、健康信号）の感受性が高く、医療分野での利用が増加しているにもかかわらず、そのリスクは十分に解明されていない。
• 特定の説明がなぜプライバシー漏洩に脆弱であるかという理由の理論的理解が著しく不足しており、大規模データセットや実世界のモデルを想定した実践的条件での攻撃評価を行う研究はほとんどない。