[論文レビュー] DAMIA: Leveraging Domain Adaptation as a Defense against Membership Inference Attacks

Hongwei Huang, Weiqi Luo+4 more|arXiv (Cornell University)|May 16, 2020

Adversarial Robustness in Machine Learning参考文献 45被引用数 8

ひとこと要約

DAMIAは、ドメイン適応（DA）を活用して訓練データを隠蔽することで、メンバーシップ推定攻撃に対する新しい防御を提案する。ソースドメインで学習し、ターゲットドメインに適応させることで、モデルはメンバーシップ情報を隠し、精度や効率にほとんど影響を与えることなく攻撃成功確率を低下させる。

ABSTRACT

Deep Learning (DL) techniques allow ones to train models from a dataset to solve tasks. DL has attracted much interest given its fancy performance and potential market value, while security issues are amongst the most colossal concerns. However, the DL models may be prone to the membership inference attack, where an attacker determines whether a given sample is from the training dataset. Efforts have been made to hinder the attack but unfortunately, they may lead to a major overhead or impaired usability. In this paper, we propose and implement DAMIA, leveraging Domain Adaptation (DA) as a defense aginist membership inference attacks. Our observation is that during the training process, DA obfuscates the dataset to be protected using another related dataset, and derives a model that underlyingly extracts the features from both datasets. Seeing that the model is obfuscated, membership inference fails, while the extracted features provide supports for usability. Extensive experiments have been conducted to validates our intuition. The model trained by DAMIA has a negligible footprint to the usability. Our experiment also excludes factors that may hinder the performance of DAMIA, providing a potential guideline to vendors and researchers to benefit from our solution in a timely manner.

研究の動機と目的

• ディープラーニングにおける機微な訓練データがメンバーシップ推定攻撃から保護されるという重要な課題に対処すること。
• 高いモデルの使いやすさを維持しつつ、メンバーシップ推定攻撃に対して効果的に対抗できる防御メカニズムを開発すること。
• 高い計算オーバーヘッドやモデル性能の低下を伴う既存の防御の限界を克服すること。
• ドメイン適応を機械学習におけるプライバシー保護技術としての可能性を検討すること。

提案手法

• モデルのトレーニングパイプラインにドメイン適応（DA）を統合し、ソースドメインからターゲットドメインに知識を転送すること。
• 元の機微なデータセット（ターゲットドメイン）と関連するが異なるデータセット（ソースドメイン）を併用してモデルを学習させ、メンバーシップ情報を隠蔽すること。
• DAの特徴統合メカニズムを活用して共有表現を抽出し、攻撃者が訓練サンプルを区別するのが困難になるようにすること。
• 敵対的ドメイン適応や勾配反転層などのドメイン適応技術を用い、標準的なディープラーニングフレームワークでモデルを学習すること。
• 勾配や損失関数にノイズを追加しないようにし、微分プライバシーに基づく手法で一般的に見られる性能劣化を回避すること。
• ブラックボックスおよびホワイトボックスのメンバーシップ推定攻撃を含む、さまざまな攻撃シナリオで防御を評価すること。

実験結果

リサーチクエスチョン

• RQ1 ドメイン適応は、メンバーシップ推定攻撃に対する防御メカニズムとして効果的に再利用可能か？
• RQ2 関連するソースドメインを用いてモデルを学習させることで、モデルの精度を劣化させることなくメンバーシップ推定攻撃の成功率を低下させられるか？
• RQ3 攻撃成功確率、モデルの有用性、トレーニング効率の観点から、DAMIAは既存の防御と比べてどのように差をつけるか？
• RQ4 ソースドメインとターゲットドメインの類似度といった要因が、DAMIAの有効性にどのように影響を与えるか？
• RQ5 DAMIAは、顕著な計算オーバーヘッドやモデルアーキテクチャの変更なしにデプロイ可能か？

主な発見

• DAMIAはメンバーシップ推定攻撃の成功率を顕著に低下させ、複数のデータセットで平均して攻撃精度を55％未満にまで低下させた。
• 防御は高いモデルの有用性を維持しており、評価されたすべてのデータセットでテスト精度がベースラインモデルと1％以内の差にとどまった。
• 追加のノイズ注入や複雑な敵対的トレーニングプロセスを必要としないため、トレーニングオーバーヘッドはほとんどない。
• 実験の結果、DAMIAは正則化ベースおよび微分プライバシーに基づく防御よりも、精度と効率の両面で優れていることが示された。
• ブラックボックスおよびホワイトボックス攻撃の両方を含む、高度な推定モデルを用いた攻撃に対しても、DAMIAの防御は頑健である。
• 感度分析により、DAMIAの有効性はソースドメインとターゲットドメイン間のドメイン類似度に依存しており、類似度が高いほどより良い保護が得られることが確認された。