[論文レビュー] Semi-supervised Knowledge Transfer for Deep Learning from Private Training Data

Nicolas Papernot, Martı́n Abadi+3 more|arXiv (Cornell University)|Oct 18, 2016

Privacy-Preserving Technologies in Data被引用数 320

ひとこと要約

この論文は、異なる機密データで訓練された教師のアンサンブルを用いてラベルなし公開データにラベルを付け、学生モデルを訓練する private knowledge-transfer フレームワークである PATE を紹介します。強力な差分プライバシー保証と高い有用性を維持する半教師あり学習を組み合わせています。

ABSTRACT

Some machine learning applications involve training data that is sensitive, such as the medical histories of patients in a clinical trial. A model may inadvertently and implicitly store some of its training data; careful analysis of the model may therefore reveal sensitive information. To address this problem, we demonstrate a generally applicable approach to providing strong privacy guarantees for training data: Private Aggregation of Teacher Ensembles (PATE). The approach combines, in a black-box fashion, multiple models trained with disjoint datasets, such as records from different subsets of users. Because they rely directly on sensitive data, these models are not published, but instead used as "teachers" for a "student" model. The student learns to predict an output chosen by noisy voting among all of the teachers, and cannot directly access an individual teacher or the underlying data or parameters. The student's privacy properties can be understood both intuitively (since no single teacher and thus no single dataset dictates the student's training) and formally, in terms of differential privacy. These properties hold even if an adversary can not only query the student but also inspect its internal workings. Compared with previous work, the approach imposes only weak assumptions on how teachers are trained: it applies to any model, including non-convex models like DNNs. We achieve state-of-the-art privacy/utility trade-offs on MNIST and SVHN thanks to an improved privacy analysis and semi-supervised learning.

研究の動機と目的

• 訓練データに対して強力なプライバシー保証を提供しつつ、機密データ上で高い有用性を持つモデルを訓練する。
• 基盤となる学習アルゴリズムに依存しないブラックボックス型の知識移転フレームワークを開発する。
• 学生が教師の知識へアクセスする機会を限定し、半教師あり学習を通じてプライバシー損失を低減する。
• GAN ベースの半教師あり変種（PATE-G）を探索し、プライバシーと有用性のバランスをさらに改善する。

提案手法

• 機密データを n 個の互いに分離したサブセットに分割し、それぞれで独立した教師を訓練する（教師のアンサンブル）。
• 公開データ上で教師の予測をラプラシアンノイズを用いて集約し、ノイズを制御して上票を選択することでプライバシーを保護する。
• ノイズ付きに集約されたデータと公開データを用いて学生を訓練し、プライバシー保護された知識移転を実現する。
• 半教師あり学習のために生成的敵対ネットワーク（GAN）を適用し、ラベル付きデータが限定的でも学生の性能を向上させる（PATE-G）。
• 全体の差分プライバシー保証（epsilon, delta）を解析・上限化するためにモーメント・アカウンタントフレームワークを適用する。
• 教師の定員閾値が強い場合に境界を緊縮するデータ依存のプライバシー分析を含める。

実験結果

リサーチクエスチョン

• RQ1 機密データ上で学習する際、ブラックボックスの privately trained 教師のアンサンブルは差分プライバシー保証を提供できるのか？
• RQ2 半教師あり学習とGANをどのように統合して、プライバシーを保ちながら PATE の有用性を最大化できるか？
• RQ3 PATE および PATE-G の下で MNIST と SVHN に対する実践的なプライバシー-有用性のトレードオフはどうなるか？
• RQ4 教師の定員数とクオラムギャップがプライバシー損失と精度にどう影響するか？

主な発見

• PATE アプローチは、MNIST（ε=2.04, δ=1e-5、98.00% 精度）と SVHN（ε=8.19, δ=1e-6、90.66% 精度）において意味のある差分プライバシー保証を維持しつつ高精度を達成します。
• MNIST および SVHN における集約された教師予測は、それぞれ 93.18% および 87.79% の精度に達し、250 人の教師を用いた場合のクエリごとのプライバシーコスト ε は 0.05。
• 半教師あり GAN ベースの訓練（PATE-G）は、ラベル付きクエリの必要数を削減し、以前の方法と比較してプライバシー-有用性のトレードオフを改善する。
• 従来の非プライバシー前提のベースラインと比較して、PATE は競争力のある精度を達成する（MNIST 非プライベート 99.18% 対 プライバシーあり 98.00%、SVHN 非プライベート 92.80% 対 プライバシーあり 90.66%）。
• このフレームワークはアーキテクチャに依存せず、非凸モデルにも適用可能で、プライバシー保護学習の広く適用可能な戦略を提供する。
• 補章の結果は、医療データを含む他のデータタイプでもランダムフォレストを用いたプライバシー保護が可能であることを示している。