[論文レビュー] DP-Rewrite: Towards Reproducibility and Transparency in Differentially Private Text Rewriting

Timour Igamberdiev, Thomas Arnold+1 more|arXiv (Cornell University)|Aug 22, 2022

Privacy-Preserving Technologies in Data被引用数 4

ひとこと要約

DP-Rewrite は、再現可能で透明性のある微分プライバシー付きテキスト再ライティングを可能にするオープンソースでモジュール式のフレームワークであり、プライバシーと効用のトレードオフを厳密に評価できる。理論的DPの欠陥を是正した後でさえも、トレーニングデータの記憶化が、効用とプライバシーの両方に悪影響を及えることが、ADePTの事前学習段階でのプライバシー漏洩を特定した。

ABSTRACT

Text rewriting with differential privacy (DP) provides concrete theoretical guarantees for protecting the privacy of individuals in textual documents. In practice, existing systems may lack the means to validate their privacy-preserving claims, leading to problems of transparency and reproducibility. We introduce DP-Rewrite, an open-source framework for differentially private text rewriting which aims to solve these problems by being modular, extensible, and highly customizable. Our system incorporates a variety of downstream datasets, models, pre-training procedures, and evaluation metrics to provide a flexible way to lead and validate private text rewriting research. To demonstrate our software in practice, we provide a set of experiments as a case study on the ADePT DP text rewriting system, detecting a privacy leak in its pre-training approach. Our system is publicly available, and we hope that it will help the community to make DP text rewriting research more accessible and transparent.

研究の動機と目的

• 微分プライバシー付きテキスト再ライティングシステムにおいて、透明性と再現可能性が欠如している問題に対処する。多くの場合、公開コードや検証メカニズムが存在しない。
• DPテキスト再ライティング実験のための、モジュール式で拡張可能かつカスタマイズ可能なオープンソースフレームワークを構築する。
• 既存のDPテキスト再ライティングシステム、特に事前学習手順におけるプライバシー漏洩を検出し、実証する。
• 標準化された評価パイプラインを通じたプライバシー主張の実証的検証を可能にすることで、DP NLPにおける説明責任を高める。

提案手法

• DP-Rewrite は、局所的微分プライバシーに適切にラプラスノイズを適用するよう、ADePT の正しく再実装されたベースラインを実装している。
• Clipping とノイズ注入による $ε$-DP 保証を備えた自動エンコーダーを用いて、複数のデータセット（例：ATIS, Snips）での事前学習をサポートする。
• 下流のテキスト再ライティングに、調整可能なプライバシー予算 $varepsilon$ を使用でき、$varepsilon \in \{\infty, 1000, 100, 10, 1\}$ の範囲で体系的な評価が可能である。
• マクロ平均F1スコアを含む複数の評価指標を統合し、下流のNLUタスクにおける再ライティングテキストの効用を評価する。
• 事前学習および再ライティング段階で理論的プライバシー保証を確保するために、$ell_1$-ノルムクリッピングを用いる。
• 同じデータセットまたは異なるデータセットで事前学習と再ライティングを実施する制御された実験を可能にし、記憶化やプライバシー漏洩を検出する。

実験結果

リサーチクエスチョン

• RQ1 モジュール式でオープンソースのフレームワークは、微分プライバシー付きテキスト再ライティング研究における透明性と再現性を向上させ得るか？
• RQ2 ADePT の事前学習手順は、理論的DPの欠陥を是正した後でも、トレーニングデータの記憶化を引き起こすか？
• RQ3 事前学習に使用するデータセットの選択が、再ライティングされた下流テキストの効用とプライバシーに与える影響は何か？
• RQ4 プライバシー予算 $varepsilon$ を変化させた場合、DPテキスト再ライティングシステムにおける再ライティングテキストの効用にどのような影響を与えるか？
• RQ5 既存のDPテキスト再ライティングシステムにおけるプライバシー保護主張は、実証的検証においてどの程度妥当であるか？

主な発見

• 同じデータセットで事前学習したモデルを用いた再ライティングでは、F1スコアが著しく向上する（例：$varepsilon=1000$ 時に 0.94）。一方、異なるデータセットで事前学習したモデル（例：ATISで事前学習したモデルでSnipsを再ライティング）では、F1スコアは 0.20 にとどまる。
• $varepsilon=\infty$（ノイズなし）であっても、データセットで事前学習したモデルはその例を記憶しており、入力テキストではなく、トレーニングデータに類似した再ライティング出力が得られる。
• 低プライバシー予算（$varepsilon=10$ および $1$）では、潜在表現に過剰なノイズが加わるため、すべての設定で効用が著しく低下する。
• Snips データセットで事前学習したモデルを用いて Snips を再ライティングした場合、元の Snips の性能（$varepsilon=\infty$ 時に $F_1=0.94$ 対 $0.95$）と同等の性能が得られ、事前学習と再ライティングのデータセットが一致する場合に高い効用が得られることを示している。
• ATIS データセットでは、ATIS で事前学習したモデルを用いて再ライティングした場合、元の性能（$F_1=0.87$）より低い性能（$F_1=0.73$）を示しており、これはデータサイズが小さく、有効な事前学習が制限されている可能性を示唆している。
• このフレームワークは、ADePT の事前学習戦略が情報漏洩を引き起こしていることを成功裏に検出できた。理論的DPの欠陥を是正した後でも、再ライティング出力は入力テキストではなく、事前学習データに強く類似しており、これは明確な漏洩の兆候である。