[論文レビュー] LOGAN: Membership Inference Attacks Against Generative Models

Jamie Hayes, Luca Melis+2 more|arXiv (Cornell University)|May 22, 2017

Adversarial Robustness in Machine Learning参考文献 55被引用数 13

ひとこと要約

本稿では、生成対抗ネットワーク（GAN）を用いた生成モデルに対する最初のメンバーシップ推定攻撃を提示している。攻撃者は、特定のデータポイントが訓練に使われたかどうかを特定できることが実証された。白ボックスおよびブラックボックス設定の両方で効果的な攻撃は、合成サンプル上で訓練されたGANを用いて過適合を検出することで実現され、最小限の補助知識のもとでも高い精度を達成しており、既存の防御策がしばしばモデルの品質や安定性を低下させることを明らかにした。

ABSTRACT

Generative models estimate the underlying distribution of a dataset to generate realistic samples according to that distribution. In this paper, we present the first membership inference attacks against generative models: given a data point, the adversary determines whether or not it was used to train the model. Our attacks leverage Generative Adversarial Networks (GANs), which combine a discriminative and a generative model, to detect overfitting and recognize inputs that were part of training datasets, using the discriminator's capacity to learn statistical differences in distributions. We present attacks based on both white-box and black-box access to the target model, against several state-of-the-art generative models, over datasets of complex representations of faces (LFW), objects (CIFAR-10), and medical images (Diabetic Retinopathy). We also discuss the sensitivity of the attacks to different training parameters, and their robustness against mitigation strategies, finding that defenses are either ineffective or lead to significantly worse performances of the generative models in terms of training stability and/or sample quality.

研究の動機と目的

• 生成モデルに対してメンバーシップ推定攻撃が可能かどうかを調査すること、特に攻撃に自信スコアが利用できない状況での可能性を検討すること。
• 白ボックスおよびブラックボックスアクセスを用いた、ターゲット生成モデルに対するメンバーシップ推定攻撃の有効性を評価すること。
• 訓練パラメータ、正則化、微分プライバシーの影響が、こうした攻撃の成功に与える影響を評価すること。
• 生成モデルにおけるモデル品質とプライバシー漏洩のトレードオフを検討すること。
• 実際の攻撃のコストと実行可能性を評価すること、特に金銭的および計算リソースの負担を含む。

提案手法

• ターゲット生成モデルが生成するサンプル上でGANを訓練し、その動作を模倣するローカルコピーを作成する。
• 攻撃者用GANのディスクライマネーターを用いて、実際の訓練データとターゲットモデルからの合成サンプルを分類する。
• 白ボックス攻撃では、ターゲットモデルのディスクライマネーターのパラメータを抽出し、攻撃者用GANの訓練に使用する。
• ブラックボックス攻撃では、ターゲットモデルにクエリを発行して合成サンプルを収集し、攻撃者用GANをからだから訓練する。
• 正則化技術（例：重み正規化、ドロップアウト）を適用し、攻撃耐性に与える影響を評価する。
• 補助知識（例：訓練データセットからの数個の実際のサンプル）を用いて、ブラックボックス攻撃の性能を向上させる。

実験結果

リサーチクエスチョン

• RQ1 識別モデルとは異なり、自信スコアが利用できない状況でも、生成モデルに対してメンバーシップ推定攻撃は可能か？
• RQ2 多様なデータセットを用いた最先端の生成モデルに対して、白ボックスおよびブラックボックス攻撃はどの程度有効か？
• RQ3 正則化および微分プライバシー機構は、メンバーシップ推定攻撃をどの程度軽減できるか。また、モデル性能へのコストはどの程度か？
• RQ4 実際の状況でこうした攻撃を実行する際の計算コストおよび金銭的コストはどの程度か？
• RQ5 モデルの一般化性能とメンバーシップ推定攻撃に対する耐性の相関関係はいかがなものか？

主な発見

• 白ボックス攻撃は高いメンバーシップ推定精度を達成しており、生成モデルにおける過適合がGANベースの分析によって検出可能であることを示している。
• ブラックボックス攻撃も高い性能を示しており、特に実際の訓練データのサンプルを補助知識として用いることで、ランダム推測よりも顕著に優れた精度を達成した。
• CIFAR-10では、BEGANは白ボックス攻撃においてランダム推測よりわずか9%の改善にとどまり、一般化性能が優れているため強い抵抗性を示している。
• 微分プライバシーや正則化といった防御策は攻撃成功率を低下させたが、同時に訓練の不安定性を引き起こし、サンプル品質を劣化させた。
• 攻撃の計算コストは最小限で、クラウドAPIを用いたブラックボックス攻撃では約13～42分、金額としても1,000ドル未満のコストで実現可能であった。
• 本研究は、より良い一般化性能を示すモデル（例：BEGAN）は本質的にメンバーシップ推定攻撃に対してより耐性があることを確認しており、一般化とプライバシーの関連性を示している。