[論文レビュー] Differentially Private Learning Needs Hidden State (Or Much Faster Convergence)

Jiayuan Ye, Reza Shokri|arXiv (Cornell University)|Mar 10, 2022

Privacy-Preserving Technologies in Data被引用数 4

ひとこと要約

本稿は、微分プライバシー付き確率的勾配降下法（DP-SGD）のための新しいプライバシー解析を提案する。この手法は、隠れモデル状態と、サブサンプリングおよび確率的後処理によるプライバシーの拡張を活用する。'シャッフル＆パーティショニング'および'復元抽出なしでサンプリング'のミニバッチ方式におけるプライバシー動的特性をモデル化することで、著者らは強い凸性と滑らかさを満たす損失関数において、プライバシー境界が指数関数的に速く収束することを証明した。これは、特に数エポック経過した後、合成に基づく境界よりも顕著に改善される。

ABSTRACT

Prior work on differential privacy analysis of randomized SGD algorithms relies on composition theorems, where the implicit (unrealistic) assumption is that the internal state of the iterative algorithm is revealed to the adversary. As a result, the Rényi DP bounds derived by such composition-based analyses linearly grow with the number of training epochs. When the internal state of the algorithm is hidden, we prove a converging privacy bound for noisy stochastic gradient descent (on strongly convex smooth loss functions). We show how to take advantage of privacy amplification by sub-sampling and randomized post-processing, and prove the dynamics of privacy bound for "shuffle and partition" and "sample without replacement" stochastic mini-batch gradient descent schemes. We prove that, in these settings, our privacy bound converges exponentially fast and is substantially smaller than the composition bounds, notably after a few number of training epochs. Thus, unless the DP algorithm converges fast, our privacy analysis shows that hidden state analysis can significantly amplify differential privacy.

研究の動機と目的

• 合成に基づくプライバシー解析の限界を解決すること。これは、内部アルゴリズム状態への完全なアクセスを仮定することで、プライバシー損失が過大評価されることに起因する。
• 実用的デプロイメントをよりよく反映するため、最終的なモデルパラメータ（隠れ状態）のみを分析することで、プライバシーと精度のトレードオフを改善すること。
• サブサンプリングおよび確率的後処理によるプライバシー拡張を活用することで、マルチエポックDP-SGDのより緊密なプライバシー境界を構築すること。
• 隠れ状態の仮定の下で、'シャッフル＆パーティショニング'および'復元抽出なしでサンプリング'の両方のミニバッチ学習方式について、厳密な分析を提供すること。
• 隠れ状態解析が、収束が遅い場合でも、合成定理よりも顕著に小さいプライバシー境界をもたらすことを示すこと。

提案手法

• 最終的なモデルパラメータのみが公開されるという仮定の下で、ノイズ付き確率的勾配降下法をモデル化する。これにより、学習プロセスの内部状態が隠れる。
• ノイズ付きGD更新を2段階に分解することで、確率的後処理のための新しいプライバシー拡張境界を導入する。すなわち、より小さなノイズを持つ更新と、純粋なガウスノイズの段階に分ける。
• サブサンプリングと後処理拡張を用いて、'シャッフル＆パーティショニング'および'復元抽出なしでサンプリング'のミニバッチ選択方式に対して、新しいRényi微分プライバシー（RDP）境界を証明する。
• ロジスティック回帰において勾配をクリッピングすることで有限の感度を保証する、強い凸性と滑らかさを満たす損失関数にこの解析を適用する。
• ノイズスケーリングと勾配更新を分離する新しい分解技術を用いることで、先行研究[15]よりも緊密な境界を導出する。
• 勾配感度およびヘッセ行列の性質の分析を通じて、理論的境界を検証する。これにより、滑らかさと強い凸性が保証される。

実験結果

リサーチクエスチョン

• RQ1 マルチエポックDP-SGDにおいて、隠れ状態プライバシー解析は、合成ベースの手法よりも顕著に緊密なプライバシー境界を達成できるか？
• RQ2 サブサンプリングおよび確率的後処理によるプライバシー拡張は、確率的勾配降下法におけるプライバシー境界の収束にどのように影響するか？
• RQ3 ミニバッチ選択戦略（'シャッフル＆パーティショニング'および'復元抽出なしでサンプリング'）は、DP-SGDにおけるプライバシー損失のダイナミクスにどのような影響を及ぼすか？
• RQ4 収束が遅いモデルにおいても、隠れ状態の仮定の下でプライバシー境界が指数関数的に速く収束するか？
• RQ5 本手法は、確率的ミニバッチ学習において、先行研究[15]と比較して、タイトネスと一般性の面でどのように向上しているか？

主な発見

• 'シャッフル＆パーティショニング'および'復元抽出なしでサンプリング'の方式において、本稿で提案するプライバシー境界は指数関数的に速く収束する。これに対して、合成ベースの境界はエポック数に比例して線形に増加する。
• 強い凸性と滑らかさを満たす損失関数において、わずか数エポック経過した後、本稿のプライバシー境界は合成ベースの境界よりも顕著に小さくなる。
• 本手法は、ノイズ付き更新の新しい分解により、完全勾配降下法において先行研究[15]よりもタイトな境界を達成する。
• 本手法は、収束が遅いまたは中程度のモデルにおいて、DP-SGDにおけるプライバシーと精度のトレードオフを顕著に改善する。
• サブサンプリングおよび後処理によるプライバシー拡張は、隠れ状態設定において効果的に活用され、時間経過とともにプライバシー損失が指数関数的に減少する。
• 理論的枠組みは、有限の感度と滑らかさを保証する勾配クリッピングを施したロジスティック回帰などの実用的状況にも適用可能であり、厳密な解析が可能である。