[論文レビュー] Gradient Obfuscation Gives a False Sense of Security in Federated Learning

Kai Yue, Richeng Jin+3 more|arXiv (Cornell University)|Jun 8, 2022

Privacy-Preserving Technologies in Data被引用数 13

ひとこと要約

本稿では、フェデレーテッドラーニングにおける新たな再構成攻撃フレームワークを提案し、量子化、スパarsification、ノイズ注入といった勾配の難読化技術が、クライアントのプライバシーを確実に保護するものではないことを示している。従来の仮定とは対照的に、著者らはこれらの手法ですら、意味論的レベルの情報漏洩を引き起こしうることを示しており、既存の評価指標に疑問を呈し、フェデレーテッドラーニングシステムにおけるプライバシー保護防御の再考を促している。

ABSTRACT

Federated learning has been proposed as a privacy-preserving machine learning framework that enables multiple clients to collaborate without sharing raw data. However, client privacy protection is not guaranteed by design in this framework. Prior work has shown that the gradient sharing strategies in federated learning can be vulnerable to data reconstruction attacks. In practice, though, clients may not transmit raw gradients considering the high communication cost or due to privacy enhancement requirements. Empirical studies have demonstrated that gradient obfuscation, including intentional obfuscation via gradient noise injection and unintentional obfuscation via gradient compression, can provide more privacy protection against reconstruction attacks. In this work, we present a new data reconstruction attack framework targeting the image classification task in federated learning. We show that commonly adopted gradient postprocessing procedures, such as gradient quantization, gradient sparsification, and gradient perturbation, may give a false sense of security in federated learning. Contrary to prior studies, we argue that privacy enhancement should not be treated as a byproduct of gradient compression. Additionally, we design a new method under the proposed framework to reconstruct the image at the semantic level. We quantify the semantic privacy leakage and compare with conventional based on image similarity scores. Our comparisons challenge the image data leakage evaluation schemes in the literature. The results emphasize the importance of revisiting and redesigning the privacy protection mechanisms for client data in existing federated learning algorithms.

研究の動機と目的

• フェデレーテッドラーニングにおけるクライアントのプライバシーを保護するとされる勾配難読化技術（例：量子化、スパarsification）が、本質的にプライバシーを保護するという仮定に反論すること。
• 一般的な勾配後処理手法に対しても高い品質の画像復元が可能な、新たな再構成攻撃フレームワークの開発。
• 従来のピクセル単位の類似度指標を越えて、意味論的レベルでの画像再構成を導入し、プライバシー漏洩の評価を実施すること。
• 従来の画像類似度スコア（例：SSIM）が、フェデレーテッドラーニングにおけるデータプライバシー漏洩を十分に測定できるかどうかを疑問視すること。
• フェデレーテッドラーニングアルゴリズムにおけるプライバシー保護メカニズムの根本的見直しを提唱すること。

提案手法

• 著者らは、サーバーが受信する勾配と一致するように入力画像を反復的に最適化する再構成攻撃フレームワークを設計し、微分可能な画像生成プロセスを用いる。
• QSGD（量子化された確率的勾配降下法）やTop-kスパース化といった勾配後処理技術を攻撃パイプラインに組み込み、現実的なフェデレーテッドラーニング環境を模擬する。
• 意味論的レベルの再構成は、事前に訓練されたマルチラベル分類モデルを用いてオブジェクトタグを抽出し、攻撃最適化における監視信号として活用することで達成される。
• 攻撃は、ピクセル単位の再構成損失と、予測されたオブジェクトタグと正解との間のジャコーディ類似度に基づく意味論的類似度損失を組み合わせた損失関数を用いる。
• フレームワークは、従来の指標（SSIM）と新しい意味論的類似度指標の両方を用いてプライバシー漏洩を評価し、さまざまな防御戦略間での比較を可能にする。
• 標準データセットを用いた画像分類タスクにおいて、さまざまな防御設定に対するアブレーションスタディを実施した。

実験結果

リサーチクエスチョン

• RQ1 量子化やスパース化といった勾配難読化技術が、フェデレーテッドラーニングにおけるデータ再構成攻撃を真に防げるのか。
• RQ2 SSIMのような既存の画像類似度指標が、再構成画像における意味的なプライバシー漏洩を十分に捉えていないのはどの程度か。
• RQ3 ピクセル単位の忠実度が低い場合でも、意味論的レベルの再構成が、プライベートな情報を露呈できるか。
• RQ4 勾配後処理と意味論的監視の組み合わせが、再構成攻撃の成功にどのように影響を与えるか。
• RQ5 現在の評価スキームが、フェデレーテッドラーニングにおけるプライバシー漏洩を測定するうえで、どのような限界を有するか。

主な発見

• 提案された攻撃は、量子化済みおよびスパース化された勾配からも高品質な画像を再構成に成功し、このような難読化が再構成を防げないことを実証した。
• SSIM値が低くても（例：0.285および0.334）意味論的類似度は高い（ジャコーディ = 0.6）ため、意味論的レベルでの有意義なプライバシー漏洩が生じていることが示された。
• 勾配や特徴量を摂動させる既存の防御機構に対しても攻撃は有効であり、それらがプライバシー保護に十分でないことを示している。
• 意味論的レベルの再構成により、オブジェクトやシーンの文脈といったプライベートなコンテンツが、ピクセル単位の再構成が失敗しても露呈されることが判明し、SSIMがプライバシー指標として十分ではないことが疑問視された。
• 複雑なシーンや人間の顔が含まれる状況では、攻撃がアイデンティティの再構成に失敗することがあり、特定条件下では意味論的回復に限界があることが示された。
• 本研究は、勾配難読化を標準的なプライバシー保護メカニズムとして扱うべきではなく、現在の防御は誤った安心感を与える可能性があると結論づけた。