[論文レビュー] Dropping Activation Outputs with Localized First-layer Deep Network for Enhancing User Privacy and Data Security

Hao Dong, Chao Wu+2 more|arXiv (Cornell University)|Nov 20, 2017

Privacy-Preserving Technologies in Data被引用数 5

ひとこと要約

本論文は、初期の深層ネットワーク計算をローカルデバイスで実行し、活性化関数をローカルで適用し、活性化出力を「ドロップ」することで送信データを逆引き不能にすることで、ユーザーのプライバシーを強化する局所化された第一層ディープネットワークアーキテクチャを提案する。この手法は追加の暗号化オーバーヘッドが不要であり、機密性の高い健康データのための安全なモデル推論および学習を可能にしながら、データ機密性を保持する。

ABSTRACT

Deep learning methods can play a crucial role in anomaly detection, prediction, and supporting decision making for applications like personal health-care, pervasive body sensing, etc. However, current architecture of deep networks suffers the privacy issue that users need to give out their data to the model (typically hosted in a server or a cluster on Cloud) for training or prediction. This problem is getting more severe for those sensitive health-care or medical data (e.g fMRI or body sensors measures like EEG signals). In addition to this, there is also a security risk of leaking these data during the data transmission from user to the model (especially when it's through Internet). Targeting at these issues, in this paper we proposed a new architecture for deep network in which users don't reveal their original data to the model. In our method, feed-forward propagation and data encryption are combined into one process: we migrate the first layer of deep network to users' local devices, and apply the activation functions locally, and then use "dropping activation output" method to make the output non-invertible. The resulting approach is able to make model prediction without accessing users' sensitive raw data. Experiment conducted in this paper showed that our approach achieves the desirable privacy protection requirement, and demonstrated several advantages over the traditional approach with encryption / decryption

研究の動機と目的

• 深層学習の推論および学習のために、fMRI や EEG 信号などの生の機密データをリモートサーバーに送信することに伴う重大なプライバシーおよびセキュリティリスクに対処すること。
• 従来の暗号化/復号化の必要性を排除するため、データの難読化をディープネットワークのフォワードプロパゲーションプロセスに直接統合すること。
• サーバーがユーザーの元のデータにアクセスできないように、安全なモデル予測および学習を可能にすること。これは、誠実だが好奇心の強い攻撃モデル下でも成立する。
• 活性化出力のドロップが、特に非可逆的または慎重にランダム化された活性化関数と組み合わせて用いられることで、元の入力を再構築できないことを実証すること。

提案手法

• 深層ニューラルネットワークの第一層をユーザーのローカルデバイスに移行させ、重み乗算およびバイアス加算を含むすべての初期計算をデバイス上で実行する。
• 生の入力データに対して活性化関数（例：シグモイド、ReLU）をローカルで適用し、送信前に活性化出力を生成する。
• 送信前に活性化値のサブセットをランダムに削除することで「活性化出力のドロップ」を実装し、データを逆引き不能にする。
• 入力の最大活性化値をランダムドロップ選択のシードとして使用することで、同じ入力が複数回送信された場合でも一貫性があり決定論的なドロップを保証する。
• フォワードプロパゲーションとデータ難読化を1つのプロセスに統合し、別個の暗号化および復号化ステップの必要性を排除する。
• サーバーがユーザーの元のデータにアクセスせずにモデルを学習できる、プライバシー保護型の誤差逆伝播メカニズムを提案する。このメカニズムでは、ネットワークをローカルおよびリモートのコンponentに分割して処理する。

実験結果

リサーチクエスチョン

• RQ1 シグモイドのような可逆な活性化関数を用いても、深層ニューラルネットワークの第一層で活性化出力をドロップすることで、元の入力データの再構築を効果的に防げるか？
• RQ2 本手法は、計算コスト、セキュリティ、リアルタイム応用における実現可能性という観点から、従来の暗号化と比較してどうなるか？
• RQ3 送信データが元の入力を逆引きできないように保証しながら、モデルの性能を維持できるか？
• RQ4 シグモイドとReLUなどの異なる活性化関数が、本手法のセキュリティおよびプライバシー保証に与える影響は何か？
• RQ5 生データを露呈させることなく、ローカルサーバー境界を越えて安全に誤差逆伝播を実行することは可能か？

主な発見

• 本手法は、送信された活性化出力から元の入力データを再構築できないことを実証した。これは、ランダムな出力ドロップによりデータを非可逆化することで、誠実だが好奇心の強い攻撃モデル下でも成立する。
• 800出力を持つシグモイド活性化MNIST分類器に対して、0.5％のドロップアウトを適用したブルートフォース攻撃は、Titan X Pascal GPUで約5,083時間の計算時間を要する。これは、計算的に実行不可能であることを示している。
• 0.5％から2％のドロップアウトでも、再構築された入力と元の入力とのKLダイバージェンスは低く保たれ（例：1.35～2.04）、再構築は困難であるが、モデルの有用性は維持されている。
• 最大活性化値をドロップアウト選択のランダムシードとして使用することで、同じ入力に対して一貫したドロップを保証し、繰り返しクエリによる再構築攻撃を防げる。
• 難読化がフォワードプロセスに組み込まれているため、追加の暗号化オーバーヘッドが不要であり、データプライバシーが実現される。
• 本手法により、学習中の誤差逆伝播を安全に実行できる。これにより、サーバーは生のユーザーデータにアクセスせずにモデル重みを更新でき、プライバシー保護型のモデル学習が可能になる。