[論文レビュー] Proof-of-Learning: Definitions and Practice

Hengrui Jia, Mohammad Yaghini+5 more|arXiv (Cornell University)|Mar 9, 2021

Adversarial Robustness in Machine Learning参考文献 79被引用数 5

ひとこと要約

この論文は、確率的勾配降下法（SGD）を用いた完全な学習プロセスを暗号的に証明できる仕組みであるProof-of-Learning（PoL）を紹介する。SGDに内在するランダムネスを活用することで、最終的なモデル重みが正しい計算コストの高い学習経路を経て得られたことを検証可能な証明として生成する。既存の学習パイプラインを変更せずに、整合性と所有権を保証する。

ABSTRACT

Training machine learning (ML) models typically involves expensive iterative optimization. Once the model's final parameters are released, there is currently no mechanism for the entity which trained the model to prove that these parameters were indeed the result of this optimization procedure. Such a mechanism would support security of ML applications in several ways. For instance, it would simplify ownership resolution when multiple parties contest ownership of a specific model. It would also facilitate the distributed training across untrusted workers where Byzantine workers might otherwise mount a denial-of-service by returning incorrect model updates. In this paper, we remediate this problem by introducing the concept of proof-of-learning in ML. Inspired by research on both proof-of-work and verified computations, we observe how a seminal training algorithm, stochastic gradient descent, accumulates secret information due to its stochasticity. This produces a natural construction for a proof-of-learning which demonstrates that a party has expended the compute require to obtain a set of model parameters correctly. In particular, our analyses and experiments show that an adversary seeking to illegitimately manufacture a proof-of-learning needs to perform *at least* as much work than is needed for gradient descent itself. We also instantiate a concrete proof-of-learning mechanism in both of the scenarios described above. In model ownership resolution, it protects the intellectual property of models released publicly. In distributed training, it preserves availability of the training procedure. Our empirical evaluation validates that our proof-of-learning mechanism is robust to variance induced by the hardware (ML accelerators) and software stacks.

研究の動機と目的

• 機械学習モデルが高価な最適化プロセスを真正に経て学習されたことを示すメカニズムの不足に対処すること。
• モデル盗難や不正公開が発生した場合の安全なモデル所有権の解決を可能にすること。
• 信頼できないワーカーによるByzantine更新を検出または防止することで、分散学習における整合性を保証すること。
• 既存のディープラーニングワークフローに自然に統合できる最小限のオーバーヘッドを持つ証明システムの設計

提案手法

• 確率的勾配降下法（SGD）の確率的性質を活用し、学習経路に固有に結びついた秘密情報を生成する。
• バッチインデックスのシーケンスと中間のモデル重みから構成される証明を構築し、検証者が選択された学習ステップを再実行できるようにする。
• 再実行を検証のプリミティブとして用いる：検証者は、提供された証明に従い、初期化から最終的な重みまで勾配更新を再計算する。
• 誠実な学習と悪意ある偽造の間の計算的非対称性に依存する—悪意ある攻撃者は、有効な証明を偽造するため、元の学習と同等以上の計算作業を必要とする。
• モデル重みを float16 精度で格納することで、ストレージオーバーヘッドを低減しつつ、検証精度を維持する。
• データ機密性の制限を認識し、マルチパーティ計算などのプライベート推論プロトコルを緩和策として提案する。

実験結果

リサーチクエスチョン

• RQ1 モデルトレーナーは、学習手順を変更せずに、SGDを用いて完全な学習プロセスを暗号的に証明できるか？
• RQ2 SGDに内在するランダムネスが、実際の学習と同等以下の作業量で証明を偽造できないほどの計算的非対称性を生み出すか？
• RQ3 PoLは、特にモデル盗難攻撃の文脈で、公開されたモデルに関する所有権紛争を解決するために使用可能か？
• RQ4 PoLは、誤ったモデル更新を提出するByzantineワーカーを検出または抑止することで、分散学習における整合性を保証できるか？
• RQ5 実世界の環境にPoLを導入する際の、ストレージ、検証コスト、プライバシーの実用的トレードオフは何か？

主な発見

• 証明学習メカニズムにより、証明を偽造しようとする攻撃者は、元の学習プロセスと同等以上の計算作業を実行しなければならず、確率的勾配降下法のパスを逆算することが困難であることが保証される。
• 実験的評価により、PoLがMLアクセラレーターやシステムレベルのノイズの違いを含む、ハードウェアおよびソフトウェアスタックの変動に対しても頑健であることが確認された。
• モデル重みを float16 形式で格納することで、ストレージ容量を半分に削減しつつ、検証精度への影響は最小限に抑えられる。
• 連続的なPoLの長さが延びると、正当な検証の確率が乗算的に低下するため、拡張されたトランスファーラーニングパイプラインへの利用は制限される。
• プライベート推論プロトコル（例：マルチパーティ計算）を用いることで、検証中における訓練データの機密性を保護できるが、追加の計算オーバーヘッドが生じる。
• カウンタベースの擬似乱数生成器は、学習におけるランダムネスを低下させる可能性があり、PoLのセキュリティを損なうおそれがあるため、再現可能なランダムネスソースの必要性が強調される。