[論文レビュー] Semi-Leak: Membership Inference Attacks Against Semi-supervised Learning

Xinlei He, Hongbin Liu+2 more|arXiv (Cornell University)|Jul 25, 2022

Adversarial Robustness in Machine Learning被引用数 4

ひとこと要約

本論文は、半教師付き学習（SSL）モデルを標的とした、最初のデータ拡張ベースのメンバーインファレンス攻撃である Semi-Leak を提案する。同じサンプルの弱い拡張と強い拡張におけるモデル予測の類似性を活用することで、従来の手法よりも高いAUC（CIFAR10でラベル付きサンプル500個の場合、最大0.780）を達成し、SSLモデルが過適合によるものではなく、訓練サンプルに対する予測の過信度（overconfidence）によってメンバー情報が漏洩していることを明らかにした。

ABSTRACT

Semi-supervised learning (SSL) leverages both labeled and unlabeled data to train machine learning (ML) models. State-of-the-art SSL methods can achieve comparable performance to supervised learning by leveraging much fewer labeled data. However, most existing works focus on improving the performance of SSL. In this work, we take a different angle by studying the training data privacy of SSL. Specifically, we propose the first data augmentation-based membership inference attacks against ML models trained by SSL. Given a data sample and the black-box access to a model, the goal of membership inference attack is to determine whether the data sample belongs to the training dataset of the model. Our evaluation shows that the proposed attack can consistently outperform existing membership inference attacks and achieves the best performance against the model trained by SSL. Moreover, we uncover that the reason for membership leakage in SSL is different from the commonly believed one in supervised learning, i.e., overfitting (the gap between training and testing accuracy). We observe that the SSL model is well generalized to the testing data (with almost 0 overfitting) but ''memorizes'' the training data by giving a more confident prediction regardless of its correctness. We also explore early stopping as a countermeasure to prevent membership inference attacks against SSL. The results show that early stopping can mitigate the membership inference attack, but with the cost of model's utility degradation.

研究の動機と目的

• 半教師付き学習（SSL）モデルが低い過適合度であるにもかかわらず、メンバー情報が漏洩するかどうかを調査すること。
• SSLの独自の学習ダイナミクスに特化した、新しいデータ拡張ベースのメンバーインファレンス攻撃を開発すること。
• SSLにおけるメンバー漏洩の根本的要因を、教師あり学習における過適合と対比して分析すること。
• 早期停止などの防御戦略を評価し、モデルの有用性とプライバシーのトレードオフを明らかにすること。

提案手法

• 攻撃はブラックボックスモデルを用い、候補となるデータサンプルの弱い拡張版と強い拡張版の予測を照会する。
• 弱い拡張と強い拡張の間の予測類似度（例：コサイン類似度やKLダイバージェンス）をメンバー情報のシグナルとして計算する。
• 拡張間での予測類似度が高いほど、そのサンプルが訓練セットに属している可能性が高くなる。
• 攻撃は複数のSSL手法（FixMatch, FlexMatch, UDA）と複数のデータセット（SVHN, CIFAR10, CIFAR100）で評価される。
• 精度が訓練サンプルで顕著に高くない場合でも、モデルの信頼度（予測エントロピー）をメモリゼーションの代理指標として活用する。
• 早期停止、トップk事後確率、モデルスタッキング、DP-SGDなどの防御策を評価し、攻撃の緩和を試みる。

実験結果

リサーチクエスチョン

• RQ1 半教師付き学習は、教師あり学習にない独自のプライバシーリスクを引き起こすか？
• RQ2 SSLにおけるデータ拡張のパターンを活用することで、メンバーインファレンス攻撃をより効果的にできるか？
• RQ3 過適合がSSLモデルにおけるメンバー漏洩の主な原因であるか？
• RQ4 モデル容量とラベルなしデータの割合が、SSLにおけるメンバーインファレンスリスクにどのように影響するか？
• RQ5 早期停止は、モデルの有用性を大きく損なわずにメンバーインファレンスリスクを効果的に低減できるか？

主な発見

• 提案されたSemi-Leak攻撃は、CIFAR10で500個のラベル付きサンプルを用いて訓練されたFixMatchに対して、AUC 0.780を達成し、最良のベースライン（AUC 0.722）を上回った。
• SSLモデルはほぼゼロの過適合度（訓練精度とテスト精度の差が最小限）を示しており、過適合がメンバー漏洩の原因であるという一般的な考えに反する。
• 低い過適合度にもかかわらず、SSLモデルは、ラベルの正しさに関係なく、訓練サンプルに対してより高い予測信頼度を割り当てることでメンバー情報を漏洩させている。
• モデル容量の増加（例：WRN28-1からWRN28-8に変更）により、モデルの精度とメンバーインファレンスリスクの両方が上昇し、AUCは0.726から0.927に上昇した。
• 訓練中のラベルなしデータの割合が大きくなると、メンバーインファレンスリスクが上昇し、特にラベルなしサンプルにおいて顕著で、AUCは比率1の0.578から比率16の0.909に上昇した。
• 早期停止は、モデルの有用性とプライバシーの両面で最も良好なトレードオフを提供し、精度のわずかな低下を犠牲にしても攻撃の性能を著しく低下させた。