[論文レビュー] Rethinking Privacy Preserving Deep Learning: How to Evaluate and Thwart Privacy Attacks

Lixin Fan, Kam Woh Ng+5 more|arXiv (Cornell University)|Jun 20, 2020

Privacy-Preserving Technologies in Data参考文献 21被引用数 6

ひとこと要約

本稿では、再構築攻撃、トレース攻撃、メンバーシップ攻撃に対抗するため、フェデレーテッドラーニングにおけるプライバシー保護を強化するための新規なシークレットポラリゼーションネットワーク（SPN）を提案する。再構築攻撃をノイズの多い線形方程式系を解く問題として定式化し、重要な条件を無効化することで、プライバシーを確保しつつ、ベースラインと比較して5–20%の精度向上を達成する。強力な攻撃条件下でも同様の効果が得られる。

ABSTRACT

This paper investigates capabilities of Privacy-Preserving Deep Learning (PPDL) mechanisms against various forms of privacy attacks. First, we propose to quantitatively measure the trade-off between model accuracy and privacy losses incurred by reconstruction, tracing and membership attacks. Second, we formulate reconstruction attacks as solving a noisy system of linear equations, and prove that attacks are guaranteed to be defeated if condition (2) is unfulfilled. Third, based on theoretical analysis, a novel Secret Polarization Network (SPN) is proposed to thwart privacy attacks, which pose serious challenges to existing PPDL methods. Extensive experiments showed that model accuracies are improved on average by 5-20% compared with baseline mechanisms, in regimes where data privacy are satisfactorily protected.

研究の動機と目的

• 再構築、トレース、メンバーシップ攻撃を含む複数の攻撃タイプに対して、プライバシー保護型ディープラーニング（PPDL）メカニズムの客観的評価を実施すること。
• プライバシー損失とモデルの有用性（精度）のトレードオフを、プライバシー保護特性（PPC）曲線とキャリブレートド・アベレージド・パフォーマンス（CAP）指標を用いて定量化すること。
• 微分プライバシーと勾配スパース化といった従来のPPDL手法の限界を解決すること。これらは強固な理論的プライバシー保証を有するが、高精度のデータ再構築を防げていない。
• 適応的かつ秘密の勾配調節を用いて、モデル精度の向上とプライバシー攻撃の両方を同時に防ぐ新しい防御メカニズム「シークレットポラリゼーションネットワーク（SPN）」を設計すること。
• 定理2.1の条件（2）が無効化されれば、再構築攻撃が失敗することが理論的に証明されることにより、PPDLの耐性評価の新たな基盤を提供すること。

提案手法

• 再構築攻撃をノイズを含む線形方程式系の解法として定式化し、攻撃の可能性を理論的に分析可能にする。
• モデル学習を正則化し一般化性能を向上させるためのポラリゼーション損失項を導入。プライバシーを損なわず、精度を向上させる。
• フェデレーテッドラーニング中に共有勾配に要素ごとで適応的かつ秘密の勾配を追加する、シークレットポラリゼーションネットワーク（SPN）を提案。
• CAPスコアを用いたキャリブレーション済みの評価プロトコルを採用し、異なるPPDLメカニズム間でのプライバシー・ユーティリティトレードオフを客観的に比較。
• 定理2.1の理論的条件（2）を検証。この条件が破られる場合、再構築攻撃が必然的に失敗することを示した。
• CIFAR10、CIFAR100、SVHN、MNISTといった合成および実世界のデータセットを用い、攻撃バッチサイズやプライバシー予算の変動に応じた性能評価を実施。

実験結果

リサーチクエスチョン

• RQ1 再構築、トレース、メンバーシップ攻撃の下で、PPDLにおけるモデル精度とプライバシー損失のトレードオフを客観的に定量化できるか？
• RQ2 微分プライバシーと勾配スパース化といった既存のPPDL手法は、訓練データのピクセル単位の再構築をどれほど防げていないのか？
• RQ3 モデル精度を向上させるとともに、複数のタイプのプライバシー攻撃を同時に防げる新しい防御メカニズムを設計可能か？
• RQ4 ディープラーニング環境下で再構築攻撃を確実に失敗させるために、無効化すべき理論的条件は何か？
• RQ5 SPNにおけるビット数を増加させると、保護強度とモデルの有用性にどのような影響を与えるか？

主な発見

• 提案されたSPNメカニズムは、同等のプライバシー保護レベル下で、ベースラインのPPDLおよび微分プライバシー手法と比較して、平均して5–20%の精度向上を達成した。
• すべてのデータセットにおいて、DP-0.1およびPPDL-0.05と比較して、SPNはより高いキャリブレートド・アベレージド・パフォーマンス（CAP）スコアを達成し、優れたプライバシー・ユーティリティトレードオフを示した。
• 100人のクライアントを用いたCIFAR10では、F-SPN-0.1がDP-0.1よりもテスト精度で25%の向上を達成したが、プライバシー保証は同等を維持した。
• 理論的分析により、定理2.1の条件（2）が無効化されれば、再構築攻撃が必然的に失敗することが証明され、PPDL耐性評価の新たな基準を提供した。
• SPNのビット数を32から128に増加させたところ、||B_I||/||E_B||の比が向上し、保護強度（rMSE）も上昇した。これにより、ビット精度とプライバシー耐性の直接的な関連性が示された。
• ガウスノイズをラプラスノイズに置き換えても、保護強度および||B_I||/||E_B||比はほぼ同等の結果を示し、同等のスケール下で両方のノイズタイプが同程度の有効性を持つことが示された。