[論文レビュー] Scalable Private Learning with PATE

Nicolas Papernot, Shuang Song+4 more|arXiv (Cornell University)|Feb 24, 2018

Privacy-Preserving Technologies in Data参考文献 31被引用数 247

ひとこと要約

本論文は Private Aggregation of Teacher Ensembles (PATE) を大規模な出力空間へ拡張し、Gaussian-noise GNMax および選択的アグリゲータ（Confident-GNMax および Interactive-GNMax）を用いて、巨大規模の Glyph タスクで非常に強いプライバシー（ε < 1.0）を保ちながら高い有用性を実現する。

ABSTRACT

The rapid adoption of machine learning has increased concerns about the privacy implications of machine learning models trained on sensitive data, such as medical records or other personal information. To address those concerns, one promising approach is Private Aggregation of Teacher Ensembles, or PATE, which transfers to a "student" model the knowledge of an ensemble of "teacher" models, with intuitive privacy provided by training teachers on disjoint data and strong privacy guaranteed by noisy aggregation of teachers' answers. However, PATE has so far been evaluated only on simple classification tasks like MNIST, leaving unclear its utility when applied to larger-scale learning tasks and real-world datasets. In this work, we show how PATE can scale to learning tasks with large numbers of output classes and uncurated, imbalanced training data with errors. For this, we introduce new noisy aggregation mechanisms for teacher ensembles that are more selective and add less noise, and prove their tighter differential-privacy guarantees. Our new mechanisms build on two insights: the chance of teacher consensus is increased by using more concentrated noise and, lacking consensus, no answer need be given to a student. The consensus answers used are more likely to be correct, offer better intuitive privacy, and incur lower-differential privacy cost. Our evaluation shows our mechanisms improve on the original PATE on all measures, and scale to larger tasks with both high utility and very strong privacy ($\varepsilon$ &lt; 1.0).

研究の動機と目的

• 機微なデータを扱う機械学習におけるプライバシー懸念に対処するため、PATE を大規模クラスおよび無整理データセットへ拡張する。
• プライバシー保証と有用性を改善する新しいノイズ付きアグリゲーション機構の開発と分析。
• GNMax のガウスノイズに対する Rényi Differential Privacy を用いたデータ依存のプライバシー計算を提供する。
• 不均衡で誤ラベル付きデータを含む大規模な Glyph 認識タスクで実用性を示す。）

提案手法

• Gaussian NoisyMax (GNMax) アグリゲーションを導入し、教師の投票数にガウスノイズを加え、ノイズ付き投票が最も多いクラスを選択する。
• GNMax のデータ依存の Rényi differential privacy 分析を提供し、各クエリのプライバシー保証をより厳密にする。
• Confident-GNMax を開発し、回答前に強いコンセンサスを秘密裏に確認し、不確かなクエリを省略してプライバシー予算を節約する。
• Interactive-GNMax を開発し、学生の予測を取り入れて回答するか学生の予測を強化するかを決定する。
• 複数のクエリとタスクに跨る累積プライバシー損失を制限するため、プライバシー組成フレームワーク（Rényi DP）を使用する。
• プライバシーと有用性のトレードオフを評価するため、150 出力クラスを持つ大規模で無整理の Glyph データセットへ評価を拡張する。）

実験結果

リサーチクエスチョン

• RQ1 出力クラス数が多く、無整理で不均衡なデータを含むタスクに対して、PATE は強いプライバシー保証を保ったままスケールできるのか。
• RQ2 ガウスノイズベースの GNMax と選択的アグリゲータは、元のラプラスベース LNMax と比較してプライバシーコストとモデル有用性を改善するのか。
• RQ3 GNMax におけるデータ依存のプライバシー分析（Rényi DP を介して）を用いた厳密なプライバシー境界の達成はどれほど効果的か。
• RQ4 Glyph のような現実的で大規模な分類タスクにおいて、ε ≈ 1 で高精度を達成できるか。）

主な発見

• Gaussian GNMax は LNMax と比較して必要なノイズの規模を減らし、クエリあたりのプライバシーコストを引き締める。
• データ依存の RDP 分析は現実的な δ に対して per-query ε を 1 を大きく下回る値にし、全体のプライバシーコストを改善する。
• Confident-GNMax と Interactive-GNMax は選択的にクエリに回答し、ラベリングクエリの数を減らし、プライバシーと有用性のトレードオフを改善する。
• MNIST, SVHN, UCI Adult, and Glyph の実験はプライバシーと精度の改善を示し、Glyph は 150 output classes へ拡張性と誤ラベリング・不均衡への頑健性を示す。
• Glyph タスクの VAT ベースの半教師付き学習は、PATE フレームワークの下で強い有用性を提供する。）