[論文レビュー] Defending Model Inversion and Membership Inference Attacks via Prediction Purification

Ziqi Yang, Bin Shao+3 more|arXiv (Cornell University)|May 8, 2020

Adversarial Robustness in Machine Learning参考文献 71被引用数 50

ひとこと要約

この論文は、ターゲットモデルの予測スコアを正規化し防御する統一的な purification フレームワークを提案します。自動エンコーダ purifier を用い、必要に応じて adversarial コンポーネントを組み込むことで特化を可能にし、モデル inversion および membership inference 攻撃に対抗します。

ABSTRACT

Neural networks are susceptible to data inference attacks such as the model inversion attack and the membership inference attack, where the attacker could infer the reconstruction and the membership of a data sample from the confidence scores predicted by the target classifier. In this paper, we propose a unified approach, namely purification framework, to defend data inference attacks. It purifies the confidence score vectors predicted by the target classifier by reducing their dispersion. The purifier can be further specialized in defending a particular attack via adversarial learning. We evaluate our approach on benchmark datasets and classifiers. We show that when the purifier is dedicated to one attack, it naturally defends the other one, which empirically demonstrates the connection between the two attacks. The purifier can effectively defend both attacks. For example, it can reduce the membership inference accuracy by up to 15% and increase the model inversion error by a factor of up to 4. Besides, it incurs less than 0.4% classification accuracy drop and less than 5.5% distortion to the confidence scores.

研究の動機と目的

• 防御を二つのデータ推測攻撃：モデル inversion と membership inference に対して動機づけと統一を図る。
• 信頼度スコアベクトルの分散を低減し、攻撃の有効性を低下させる。
• 分類器のユーティリティをほとんど失わず、精度損失とスコア歪みを限定的にする。
• 対立的学習を通じて purifier を個別攻撃へ特化できるようにする。
• ベンチマークデータセットとアーキテクチャ全体で実証的な有効性を示す。

提案手法

• purifier G (autoencoder) が latent non-member patterns へ向けて reconstruction / confidence scores を再構成する。
• reference non-member データセット上で G を訓練し reconstruction loss を最小化し、予測ラベルを保持する。
• model inversion に特化するため min-max 学習を通じて adversarial model H が purified scores から入力を再構成しようとする。
• membership inference に特化するため discriminator I が real vs reconstructed scores を識別し、G を I を欺くように訓練。
• オプションで両方の特化を組み合わせ、G, H, I を jointly 訓練して両攻撃を防ぎつつユーティリティを維持。

実験結果

リサーチクエスチョン

• RQ1 model inversion と membership inference 攻撃は関連しており、単一の purification アプローチで両方を防げるか？
• RQ2 予測スコア purification は dispersion を減らして両方の攻撃を緩和しつつ分類精度を維持できるか？
• RQ3 adversarial learning による specialized purification の各攻撃に対する防御効果はどうか？
• RQ4 提案された purification フレームワークは accuracy loss と efficiency の点で既存の防御と比較してどうか？

主な発見

• purification は confidence score vectors の dispersion を減らし、両攻撃の有効性を低減する。
• 一つの攻撃へ特化すると、 purifier は自然にもう一方の防御も改善する。
• membership inference の精度は purification により最大 15% 減少可能。
• model inversion の誤差は最大 4 倍に増加可能。
• classification accuracy の損失は0.4%未満、信頼度スコアの歪みは5.5%未満で purification。
• 予測時間は MemGuard より大幅に速く、報告された比較では約 4,636 倍高速。