[論文レビュー] Differentially Private Deep Learning with Smooth Sensitivity

Lichao Sun, Yingbo Zhou+2 more|arXiv (Cornell University)|Mar 1, 2020

Privacy-Preserving Technologies in Data参考文献 28被引用数 7

ひとこと要約

本稿では、滑らかな感度と、不変のノイズ付きargmaxと呼ばれる新しい投票メカニズムを用いた、差分プライバシーを適用した深層学習フレームワークを提案する。この手法は、大きなノイズに耐えながらもラベルの正確性を損なわず、大規模なタスクにおいて、最先端の手法を上回る精度とプライバシー性能を達成する。教師-生徒学習の枠組みにおいて、近似的にゼロのプライバシー予算（ε ≈ 0）を達成している。

ABSTRACT

Ensuring the privacy of sensitive data used to train modern machine learning models is of paramount importance in many areas of practice. One approach to study these concerns is through the lens of differential privacy. In this framework, privacy guarantees are generally obtained by perturbing models in such a way that specifics of data used to train the model are made ambiguous. A particular instance of this approach is through a "teacher-student" framework, wherein the teacher, who owns the sensitive data, provides the student with useful, but noisy, information, hopefully allowing the student model to perform well on a given task without access to particular features of the sensitive data. Because stronger privacy guarantees generally involve more significant perturbation on the part of the teacher, deploying existing frameworks fundamentally involves a trade-off between student's performance and privacy guarantee. One of the most important techniques used in previous works involves an ensemble of teacher models, which return information to a student based on a noisy voting procedure. In this work, we propose a novel voting mechanism with smooth sensitivity, which we call Immutable Noisy ArgMax, that, under certain conditions, can bear very large random noising from the teacher without affecting the useful information transferred to the student. Compared with previous work, our approach improves over the state-of-the-art methods on all measures, and scale to larger tasks with both better performance and stronger privacy ($ε\approx 0$). This new proposed framework can be applied with any machine learning models, and provides an appealing solution for tasks that requires training on a large amount of data.

研究の動機と目的

• 差分プライバシー付き深層学習におけるモデル性能とプライバシーコストの根本的トレードオフを解消すること。
• データプライバシーを損なわず、プライベートな教師モデルから生徒モデルへの効果的な知識伝達を可能にすること。
• 強いプライバシー保証を維持しつつ、高いモデル精度を達成するために必要なプライバシー予算（ε）を低減すること。
• 大きな摂動に対しても正しいラベル予測を保持できる、ノイズ耐性のある投票メカニズムを開発すること。
• 強力なプライバシーとパフォーマンスを維持しつつ、複雑な深層学習モデルにスケーラブルなフレームワークを構築すること。

提案手法

• 最大投票数に大きな定数を加算した後、ノイズを適用するという特徴を持つ、不変のノイズ付きargmaxと呼ばれる新しい投票メカニズムを提案し、argmaxの安定性を保証する。
• データに依存する感度を計算するために滑らかな感度分析を採用し、グローバル感度に比べてノイズを低減する。
• 小さなデータ摂動に対してもargmaxが変化しないように保証する距離2のデータ変換関数g(D)を用いる。
• 修正された投票数にラプラスまたはガウスノイズを適用し、ユニオンバウンドを用いて失敗確率の理論的境界を導出する。
• 複数の教師モデルが未ラベルデータに対して投票し、ノイズが加わったが安定したラベルから生徒モデルが学習する教師-生徒フレームワークにこのメカニズムを統合する。
• 理論的分析により、滑らかな感度を用いた差分プライバシーの成立が証明され、大きなノイズがargmax結果を変える確率が非常に低いことが示されている。

実験結果

リサーチクエスチョン

• RQ1 非常に大きなノイズに対しても安定し、正しいラベル予測を保持できる投票メカニズムを設計できるか？
• RQ2 教師-生徒設定において、滑らかな感度を用いることで、グローバル感度に比べて必要なノイズを低減できるか？
• RQ3 提案手法は、大規模タスクにおいて、モデル精度を損なわず、より強いプライバシー（ε ≈ 0）を達成できるか？
• RQ4 複雑な深層学習モデルに対しても、プライバシーとパフォーマンスを維持したままスケーラブルに適用できるか？
• RQ5 不変のノイズ付きargmaxメカニズムは、投票プロセスにおける悪意ある摂動やデータシフトに対して頑健か？

主な発見

• 提案手法は、高いモデル精度を維持しながら、近似的にゼロのプライバシー予算（ε ≈ 0）を達成し、既存手法を上回っている。
• 不変のノイズ付きargmaxメカニズムは、大きなランダムノイズに耐えながらもargmax結果を変化させず、安定したラベル伝達を実現している。
• 滑らかな感度分析により、グローバル感度に比べて必要なノイズレベルが低減され、プライバシーを損なわずにもかかわらず、性能が向上している。
• 理論的分析により、滑らかな感度に基づく(ε, δ)-差分プライバシーが満たされ、失敗確率がτで有界であることが確認された。
• 実験的結果では、PATE や DP-SGD といった最先端手法に比べ、すべての指標で優れた性能を示した。
• このフレームワークはスケーラブルであり、任意の機械学習モデルに適用可能で、機微なデータに対するプライベートな学習を可能にする。