[論文レビュー] Outsourcing Private Machine Learning via Lightweight Secure Arithmetic Computation

Siddharth Garg, Zahra Ghodsi+4 more|arXiv (Cornell University)|Dec 4, 2018

Cryptography and Data Security参考文献 39被引用数 4

ひとこと要約

本論文は、軽量な安全算術計算を用いた、プライベートな機械学習計算の外部化のための能動的セキュリティプロトコルを提示する。これにより、悪意あるサーバーの改ざんに対しても強いセキュリティ保証のもとで、プライベートなデータに対する共同推論が可能になる。このプロトコルは、2次活性化関数を有するニューラルネットワークに対して、効率的かつスケーラブルな安全な推論を実現し、標準的な安全な2パーティ計算を上回る通信および計算のオーバーヘッドを最小限に抑えつつ、実世界の疾患予測ワークロードにおいて実用性を示している。

ABSTRACT

In several settings of practical interest, two parties seek to collaboratively perform inference on their private data using a public machine learning model. For instance, several hospitals might wish to share patient medical records for enhanced diagnostics and disease prediction, but may not be able to share data in the clear because of privacy concerns. In this work, we propose an actively secure protocol for outsourcing secure and private machine learning computations. Recent works on the problem have mainly focused on passively secure protocols, whose security holds against passive (`semi-honest') parties but may completely break down in the presence of active (`malicious') parties who can deviate from the protocol. Secure neural networks based classification algorithms can be seen as an instantiation of an arithmetic computation over integers. We showcase the efficiency of our protocol by applying it to real-world instances of arithmetized neural network computations, including a network trained to perform collaborative disease prediction.

研究の動機と目的

• 悪意あるクラウドサーバーによるプロトコルからの逸脱に対処するため、安全な機械学習の外部化におけるギャップを埋める。
• 入力やモデル重みが露呈されないまま、医療機関間の医療記録など、プライベートなデータに対する共同推論を可能にする。
• 先行する受動的セキュリティプロトコルの限界を克服し、予測を操作するような悪意ある摂動が発生する能動的攻撃に対しても耐性を持つ。
• 2次活性化関数を有する算術回路を用い、高価な暗号Primitiveに依存を最小限に抑えた、効率的で実用的な安全なニューラルネットワーク推論プロトコルの設計。
• 少なくとも1台のサーバーが誠実である限り、プライバシーを保持しつつ、すべてのサーバーが改ざんされた場合でも正しさを保証する。

提案手法

• クライアントが入力を分割し、クラウドサーバーにシェアを配布する2パーティ計算（2PC）フレームワークと秘密分散を用いる。
• OLE（無関心線形評価）とコミットメントプリミティブを用いて、受動的セキュアな2PCプロトコルを能動的セキュアなプロトコルに変換するコンパイラーを採用する。
• 各クライアントが特定のサーバーを監視するウォッチリストメカニズムを導入し、送信メッセージの整合性チェックを可能にし、改ざんを検出可能にする。
• 共有ランダムネスの生成を、信頼できるオラクルに依存せず、コミットメントベースのプロトコルでエミュレートする。
• 乗算および通信フェーズ中に悪意ある行動を検出するために、次数テストおよび置換/等価性チェックを実施する。
• 2つのOLE呼び出しを用いたGMWスタイルの乗算プロトコルにより、共有された入力からの積を安全に計算する。

実験結果

リサーチクエスチョン

• RQ1 すべてのクラウドサーバーが能動的に悪意ある場合でも、正しくかつプライベートなまま保たれる安全な機械学習の外部化プロトコルを設計できるか？
• RQ2 信頼できるハードウェアや高価なプリミティブに依存せず、マルチサーバー環境において正しさと入力の一貫性を効率的に強制できるか？
• RQ3 受動的セキュリティと比較して、安全なニューラルネットワーク推論における能動的セキュリティを実現する際の通信および計算のオーバーヘッドはどの程度か？
• RQ4 高価な暗号技術に依存せず、軽量な暗号技術のみを用いて、実世界のニューラルネットワークリソース（例：疾患予測）において実用的な効率性を達成できるか？
• RQ5 攻撃を受けたサーバーの数が増加する状況下で、プロトコルのセキュリティはどのように劣化するか？また、どれくらいの閾値まで耐性を保てるか？

主な発見

• プロトコルは統計的セキュリティを達成し、誤差バウンドが (e+2)/|F|^σ + (1−e/n)^t + ((3e+2w+2t)/n)^t であるため、能動的改ざん下でも強いセキュリティ保証を提供する。
• 通信複雑度はOLEの呼び出しと出力送信が支配的であり、合計コストは O(n·d·CC_ρ + n·d·log|F|) である。ここで d はネットワークの深さ、CC_ρ は OLE のコストを表す。
• 本プロトコルは、2次活性化関数を有する実世界のニューラルネットワーク（例：共同疾患予測モデル）の安全な推論をサポートし、実用的実現可能性を示している。
• ウォッチリストと整合性チェックの活用により、予測を変更する可能性のある悪意ある摂動（アドバーシャル摂動）の検出が可能である。
• すべてのサーバーが改ざんされた場合でも正しさを維持し、少なくとも1台のサーバーが誠実である限り、プライバシーが保持される。
• 標準的な安全計算を上回る最小限のオーバーヘッドで、医療診断などプライバシーが重要な応用分野への導入に十分な効率性を有する。