[論文レビュー] Reconstruction Attacks on Machine Unlearning: Simple Models are Vulnerable

Martín Bertrán, Shuai Tang+4 more|arXiv (Cornell University)|May 30, 2024

Robotic Process Automation Applications被引用数 4

ひとこと要約

本稿では、単純なモデル、特に線形回帰および埋め込みを用いた線形モデルにおける機械的アンラーニングが、ほぼ完璧な再構成攻撃に対してデータを脆弱にする可能性を示している。著者らは、削除前のモデルパラメータと削除後のモデルパラメータの差を活用することで、攻撃者が削除されたデータポイントを高い忠実度で回復できることを示しており、モデルが本来的にプライバシー漏洩のリスクが低いとされる場合でも、そのリスクが顕在化することを明らかにしている。

ABSTRACT

Machine unlearning is motivated by desire for data autonomy: a person can request to have their data's influence removed from deployed models, and those models should be updated as if they were retrained without the person's data. We show that, counter-intuitively, these updates expose individuals to high-accuracy reconstruction attacks which allow the attacker to recover their data in its entirety, even when the original models are so simple that privacy risk might not otherwise have been a concern. We show how to mount a near-perfect attack on the deleted data point from linear regression models. We then generalize our attack to other loss functions and architectures, and empirically demonstrate the effectiveness of our attacks across a wide range of datasets (capturing both tabular and image data). Our work highlights that privacy risk is significant even for extremely simple model classes when individuals can request deletion of their data from the model.

研究の動機と目的

• 単純なモデルにおける機械的アンラーニングが、通常の学習とは異なる新たなプライバシーリスクを引き起こすかどうかを調査すること。
• モデルからデータを削除する行為が、削除されたデータポイントに関する情報を意図せず漏洩するかどうかを分析すること。
• 削除前後におけるモデルパラメータの差を活用した実用的な再構成攻撃を開発すること。
• 2次近似を用いて、固定埋め込みや非線形目的関数を有するモデルへの攻撃を拡張すること。
• たとえ低複雑性のモデルであるリッジ回帰であっても、アンラーニングが適用された場合に高精度な再構成が可能であることを示すこと。

提案手法

• 線形回帰における閉形式の単一サンプル更新ルールを活用し、削除前後におけるモデルパラメータの差を計算する。
• 同一分布からの別個の公開データセットから、学習データの共分散行列を推定する。
• 線形モデルにおける再構成精度の向上を図るため、切片正規化技術を適用する。
• 固定埋め込みを有するモデルへの攻撃を拡張するため、削除されたサンプルの埋め込みを再構成し、逆問題を解いて元の入力を回復する。
• ニュートン法を用いて、削除されたサンプルのモデルパラメータに関する勾配を近似し、一般の損失関数に適用可能にする。
• 再構成品質を比較するためのパラメータベースのベースライン（MaxDiff）を用い、提案手法（HRec）の優位性を検証する。

Figure 1 : We conduct membership inference attacks on a ridge regression on ACS Income task; the attack performance is poor (close to random guessing).

実験結果

リサーチクエスチョン

• RQ1 攻撃者が削除前後におけるモデルパラメータのみを用いて、削除されたデータポイントを高い精度で再構成できるか？
• RQ2 プライバシーリスクが従来は低いとされる単純なモデル、たとえば線形回帰においても、再構成攻撃に対する脆弱性が継続的に存在するか？
• RQ3 固定埋め込みや非線形目的関数を有するモデルへ、攻撃をどの程度一般化できるか？
• RQ4 真の共分散行列と正則化パラメータが不明で推定値を用いる場合、攻撃の有効性はどの程度保たれるか？
• RQ5 解析的単一サンプル更新が存在しないモデルにおいて、2次近似によるアンラーニングが再構成を可能にするか？

主な発見

• 真の共分散行列と正則化パラメータが既知である場合、提案手法は線形回帰モデルにおいて削除されたサンプルをほぼ完璧に再構成できる。
• 共分散行列を推定し、$λ = 0$ であっても、ACS収入データセットにおいて元の特徴量を用いて、ほぼ完璧な再構成精度を達成している。
• ランダムフォーリエ特徴量を用いたリッジ回帰では、元のデータポイントが非常に高い忠実度で再構成され、ベースラインを著しく上回っている。
• ロジスティック回帰およびSVMを用いた二値分類タスクにおいても、解析的単一サンプル更新が存在しないにもかかわらず、再構成されたサンプルと元のサンプルとの類似度スコアが高く維持されている。
• 勾配の近似にニュートン法を用いても、本手法は複雑な損失関数を持つモデルにおいても有効に機能し、再構成を可能にする。
• 視覚的および定量的比較により、HRecはCIFAR-10における削除された画像と非常に類似した再構成を生成している一方、MaxDiffは著しく劣っていることが示された。