[論文レビュー] Cronus: Robust and Heterogeneous Collaborative Learning with Black-Box Knowledge Transfer

Hongyan Chang, Virat Shejwalkar+2 more|arXiv (Cornell University)|Dec 24, 2019

Privacy-Preserving Technologies in Data参考文献 50被引用数 91

ひとこと要約

Cronusはブラックボックスモデル予測を通じた知識転移によりロバストでプライバシー保護された協調学習を実現し、異種アーキテクチャをサポートし、 poisoning攻撃に対して高い耐性を持ち、サンプル複雑度を低く抑える。

ABSTRACT

Collaborative (federated) learning enables multiple parties to train a model without sharing their private data, but through repeated sharing of the parameters of their local models. Despite its advantages, this approach has many known privacy and security weaknesses and performance overhead, in addition to being limited only to models with homogeneous architectures. Shared parameters leak a significant amount of information about the local (and supposedly private) datasets. Besides, federated learning is severely vulnerable to poisoning attacks, where some participants can adversarially influence the aggregate parameters. Large models, with high dimensional parameter vectors, are in particular highly susceptible to privacy and security attacks: curse of dimensionality in federated learning. We argue that sharing parameters is the most naive way of information exchange in collaborative learning, as they open all the internal state of the model to inference attacks, and maximize the model's malleability by stealthy poisoning attacks. We propose Cronus, a robust collaborative machine learning framework. The simple yet effective idea behind designing Cronus is to control, unify, and significantly reduce the dimensions of the exchanged information between parties, through robust knowledge transfer between their black-box local models. We evaluate all existing federated learning algorithms against poisoning attacks, and we show that Cronus is the only secure method, due to its tight robustness guarantee. Treating local models as black-box, reduces the information leakage through models, and enables us using existing privacy-preserving algorithms that mitigate the risk of information leakage through the model's output (predictions). Cronus also has a significantly lower sample complexity, compared to federated learning, which does not bind its security to the number of participants.

研究の動機と目的

• フェデレーテッド学習におけるプライバシー、セキュリティ、および異質性の制約を動機づけて解決する。
• モデルパラメータではなく予測を交換する知識転移ベースのフレームワークを提案する。
• 次元を低減した頑健なアグリゲーションを提供し、強力な理論的保証を可能にする。
• 異種アーキテクチャと公開データ上での実証的評価を通じて実用性を示す。

提案手法

• 公開未ラベルデータセット上で蒸留予測を交換するためにブラックボックス知識転移を用いる。
• 完全なモデルパラメータから出力予測まで更新の次元を削減して頑健なアグリゲーションを可能にする。
• 低次元更新に合わせた頑健な平均/アグリゲーションアルゴリズムで予測を集約する。
• 局所モデルを教師として、更新をソフトラベルとして扱い、異種モデルアーキテクチャを許容する。
• 予測共有のためのプライバシー保護機構を組み込み、蒸留で正則化して情報漏洩を緩和する。
• Poisoning攻撃およびメンバーシップ推定攻撃に対してCronusを評価し、FedAvgおよび他の頑健なアグリゲーションと比較する。

実験結果

リサーチクエスチョン

• RQ1 ブラックボックス知識転移は異種モデル間で頑健かつプライベートな協調学習を可能にするか？
• RQ2 Cronusはパラメータベースのフェデレーテッド学習より小さなモデル次元で証明可能な頑健性保証を提供するか？
• RQ3 従来のアグリゲーション方式と比較して Cronus はポイズニング攻撃およびメンバーシップ推定攻撃に対してどのように性能を示すか？
• RQ4 異種アーキテクチャでの代表的なベンチマークにおける Cronus の実証的性能はどうか？

主な発見

データセット	スタンドアローン	集中型	FedAvg	Cronus
SVHN	87.5	96.4	95.9	91.1
MNIST	92.8	97.9	96.7	95.2
Purchase	76.3	94.3	93.3	89.6
CIFAR10	66.8	90.2	88.4	80.1

• Cronus は強力な頑健性を示す：最強の攻撃下でのモデル精度の低下は限定的である（評価データセット全体で最大で約2%の低下を含む例がある）。
• Cronus は著しく低いサンプル複雑度を達成し、標準的なフェデレーテッド学習よりはるかに少ない参加者で強い誤差保証を可能にする。
• 実証的な結果は、攻撃下で SVHN, MNIST, Purchase, CIFAR-10 のベンチマークで Cronus が FedAvg および他のアグリゲーションを上回ることを示す。
• 公開データセット上の予測の使用はホワイトボックス情報漏洩を低減し、プライバシー保護付き協調を促進する。
• 蒸留ベースの知識転移により、最終精度を損なうことなく異種アーキテクチャをサポートする。
• データセット全体で、Cronus はスタンドアロンおよび集中型ベースラインと比較して高いまたは競争力のある精度を維持しつつ、セキュリティ特性を強化する。