[論文レビュー] Attribute Inference Attack of Speech Emotion Recognition in Federated Learning Settings

Tiantian Feng, Hanieh Hashemi+3 more|arXiv (Cornell University)|Dec 26, 2021

Privacy-Preserving Technologies in Data被引用数 11

ひとこと要約

本稿では、フェデレーテッドラーニング（FL）におけるモデル更新を悪用して、音声感情認識（SER）モデルから個人の属性（特に性別）を推定するホワイトボックス属性推定攻撃を提案する。この攻撃は、IEMOCAP、CREMA-D、MSP-Improvのデータセットで高い精度を達成しており、SERモデルの最初の層が最も多くの情報を漏洩させることを示している。また、微分プライバシー（DP）が攻撃を緩和できることを示しているが、その代償としてSER性能が低下することを明らかにした。

ABSTRACT

Speech emotion recognition (SER) processes speech signals to detect and characterize expressed perceived emotions. Many SER application systems often acquire and transmit speech data collected at the client-side to remote cloud platforms for inference and decision making. However, speech data carry rich information not only about emotions conveyed in vocal expressions, but also other sensitive demographic traits such as gender, age and language background. Consequently, it is desirable for SER systems to have the ability to classify emotion constructs while preventing unintended/improper inferences of sensitive and demographic information. Federated learning (FL) is a distributed machine learning paradigm that coordinates clients to train a model collaboratively without sharing their local data. This training approach appears secure and can improve privacy for SER. However, recent works have demonstrated that FL approaches are still vulnerable to various privacy attacks like reconstruction attacks and membership inference attacks. Although most of these have focused on computer vision applications, such information leakages exist in the SER systems trained using the FL technique. To assess the information leakage of SER systems trained using FL, we propose an attribute inference attack framework that infers sensitive attribute information of the clients from shared gradients or model parameters, corresponding to the FedSGD and the FedAvg training algorithms, respectively. As a use case, we empirically evaluate our approach for predicting the client's gender information using three SER benchmark datasets: IEMOCAP, CREMA-D, and MSP-Improv. We show that the attribute inference attack is achievable for SER systems trained using FL. We further identify that most information leakage possibly comes from the first layer in the SER model.

研究の動機と目的

• フェデレーテッド音声感情認識（SER）システムにおいて、性別のような機微な属性がモデル更新から推定可能かどうかを調査すること。
• 生データが共有されないFL環境における属性推定攻撃の実現可能性と有効性を評価すること。
• FLを用いて訓練されたSERモデルにおいて、どのモデル部品や層が情報漏洩に最も寄与しているかを特定すること。
• 微分プライバシー（DP）が、このような攻撃に対する防御メカニズムとして効果的かどうかを評価すること。
• DP適用時のモデルの有用性（SERの精度）とプライバシー保護のトレードオフを検討すること。

提案手法

• 攻撃者はFLプロセスにおけるモデルパラメータ、ハイパーパramータ、および学習設定に完全にアクセスできるホワイトボックス脅威モデルを採用する。
• クライアントの性別を推定するために、クライアントから共有されたモデル更新（勾配または重み）を用いて性別予測モデルを訓練する。
• 攻撃は、IEMOCAP、CREMA-D、MSP-Improvの3つの公開SERベンチマークで評価され、FedSGDおよびFedAvgのFL学習プロトコルが使用された。
• SERモデルの異なる層における情報漏洩を分析し、最初の全結合層が漏洩の主な要因であると特定した。
• 勾配クリッピングとノイズ注入を用いて微分プライバシー（DP）を適用し、攻撃緩和効果を評価した。
• 攻撃者の性能は、プライバシー予算（ε）を変化させた場合、複数ラウンドのモデル更新にアクセスした場合を含めて評価された。

実験結果

リサーチクエスチョン

• RQ1 フェデレーテッド音声感情認識システムにおいて、攻撃者はモデル更新からクライアントの性別を推定可能か？
• RQ2 SERモデルのどの層がFL環境における属性情報漏洩に最も寄与しているか？
• RQ3 微分プライバシー（DP）は、FLベースのSERにおける属性推定攻撃を緩和するために効果的か？
• RQ4 DPを適用した場合、SERモデルの性能とプライバシー保護のトレードオフはどのように変化するか？
• RQ5 複数ラウンドのモデル更新にアクセスできれば、攻撃者は機微な属性を推定する能力が向上するか？

主な発見

• 属性推定攻撃は、IEMOCAP、CREMA-D、MSP-Improvの3つのSERデータセットすべてで、共有モデル更新のみを用いてもクライアントの性別を高い精度で予測できた。
• SERモデルの最初の全結合層が、情報漏洩に最も寄与しており、初期層の表現が機微な属性を含んでいることを示している。
• 微分プライバシー（DP）は、プライバシー予算εが小さい場合（例：ε ≤ 10）に攻撃を効果的に緩和したが、強いプライバシー制約下ではSERモデルの性能が著しく低下した。
• 攻撃者が複数ラウンドのモデル更新にアクセスできる場合、ε = 1000であっても攻撃の有効性が回復した。これは、DPが繰り返しの露出に対しては効果が薄いことを示している。
• ドロップアウトに基づく防御は、情報漏洩の低減に効果がなく、標準的な正則化技術がこの文脈では属性推定を防げないことを示している。
• 攻撃はFedSGDにおいてFedAvgよりも効果的であり、FL集約プロトコルの選択がプライバシー漏洩に影響を与える可能性があることを示唆している。