[論文レビュー] TAPAS: a Toolbox for Adversarial Privacy Auditing of Synthetic Data

Florimond Houssiau, J.B. Jordon+7 more|arXiv (Cornell University)|Nov 12, 2022

Privacy-Preserving Technologies in Data被引用数 15

ひとこと要約

TAPAS は、合成データの敵対的プライバシー監査のための包括的なツールボックスであり、多様な脅威モデルにおけるプライバシーリスクの体系的評価を可能にする。この研究では、脅威モデリングの統一フレームワークを提示し、メンバーーシップインファレンス、属性インファレンス、シャロウモデリングなどの複数の攻撃タイプを実装しており、微分プライバシーを適用した生成器ですらプライバシー漏洩を引き起こす可能性があることを示しており、実証的プライバシー予算の推定値が理論的保証と著しく乖離していることが明らかになった。

ABSTRACT

Personal data collected at scale promises to improve decision-making and accelerate innovation. However, sharing and using such data raises serious privacy concerns. A promising solution is to produce synthetic data, artificial records to share instead of real data. Since synthetic records are not linked to real persons, this intuitively prevents classical re-identification attacks. However, this is insufficient to protect privacy. We here present TAPAS, a toolbox of attacks to evaluate synthetic data privacy under a wide range of scenarios. These attacks include generalizations of prior works and novel attacks. We also introduce a general framework for reasoning about privacy threats to synthetic data and showcase TAPAS on several examples.

研究の動機と目的

• 合成データ生成器の実証的プライバシー評価における重要なギャップを解消すること。これらはしばしばプライベートであると仮定されがちだが、依然として機微な情報を漏洩する可能性がある。
• プライバシー脅威シナリオにおける多様な攻撃者知識と目的をモデル化するための統一的で拡張可能なフレームワークの開発。
• 現実的な条件下で合成データ生成器をテスト可能な、実用的で再現可能なプライバシー攻撃のライブラリの実装。
• 実証的プライバシー予算（εeff）の推定を行い、理論的微分プライバシー保証と比較すること。
• 現在の合成データ評価手法における制限を浮き彫りにし、文脈に配慮したプライバシー監査を促進すること。

提案手法

• 攻撃者背景知識（例：データセットへのアクセス、生成器のブラックボックスアクセス）と攻撃目的（例：メンバーーシップ、属性インファレンス）を形式化する一般的な脅威モデリングフレームワークを提案。
• 複数の攻撃タイプを実装するモジュラーなソフトウェアツールボックスを導入：ローカル近傍攻撃、合成データ上でのインファレンス攻撃、Groundhog 攻撃、およびランダムクエリ機能を備えたシャロウモデリング。
• 二段階の評価パイプラインを採用：まず、最適なハイパーパrameter を特定するためにサブセットで攻撃性能を評価；次に、残りのデータを用いて Jagielski らの手法 [14] を用いて εeff の統計的推定を実施。
• 精度、AUC、プライバシー利得といった複数の指標を用いて、異なる生成器と脅威モデルにおける攻撃性能を評価。
• 2011年英国国勢調査マイクロデータ（実世界データ）と3つの生成器（PrivBayes（ε-DP）、MST（ε,δ-DP）、CT-GAN（非プライベート））を用いてツールボックスを適用。
• 統計的信頼区間を用いて εeff を推定し、理論的 ε 値と比較することで、プライバシー保証における乖離を特定。

実験結果

リサーチクエスチョン

• RQ1 攻撃者が生成器の限定的知識と合成データのみを用いて、実レコードのメンバーーシップや属性をどの程度推定できるか？
• RQ2 シャロウモデリング、Groundhog、ローカル近傍など、異なる攻撃戦略は、さまざまな合成データ生成器におけるプライバシー侵害能力においてどのように比較されるか？
• RQ3 理論的微分プライバシー保証（ε, δ）と実証的推定有効プライバシー予算（εeff）は、実際の状況でどの程度一致するか？
• RQ4 理論的微分プライバシー保証を持つ生成器（例：ε=10 の MST）に対しても、このツールボックスはプライバシー漏洩を検出できるか？
• RQ5 理論的プライバシー予算と実証的推定 εeff 間の乖離を引き起こす要因は何か？

主な発見

• ランダムクエリ機能を備えたシャロウモデリング攻撃が他の攻撃を上回り、メンバーーシップインファレンスで AUC 0.70 を達成したのに対し、Groundhog 攻撃は 0.63 にとどまった。
• ε=10 の MST 生成器の有効プライバシー予算（εeff）の実証的推定値は [0.86, 1.39] であった。理論的 ε 値とは著しく乖離していることを示している。
• 理論的プライバシー予算 ε=10 は、推定された εeff の 95% 信頼区間の外に位置しており、形式的プライバシー解析の緩さまたは攻撃の最適性の欠如の可能性を示唆している。
• 微分プライバシーを適用した生成器（例：PrivBayes や MST）ですら、攻撃者の仮定が強い場合には測定可能なプライバシー漏洩を示しており、形式的保証だけでは不十分であることが浮き彫りになった。
• CT-GAN 生成器（形式的プライバシー保証なし）は、すべてのテスト攻撃に対して脆弱であることがツールボックスによって明確に特定され、そのプライバシー保護の欠如が裏付けられた。
• これらの結果は、形式的保証が現実の脅威シナリオにおける実際のプライバシーを保証しないことから、合成データのプライバシーに対して実証的・敵対的評価の必要性を強調している。