[論文レビュー] TextHide: Tackling Data Privacy in Language Understanding Tasks

Yangsibo Huang, Zhao Song+3 more|arXiv (Cornell University)|Oct 12, 2020

Privacy-Preserving Technologies in Data参考文献 62被引用数 6

ひとこと要約

TextHide は、一時的な秘密鍵と MixUp スタイルのデータ拡張を用いてテキスト表現を暗号化するプライバシー保護フレームワークであり、勾配や表現の逆転攻撃に対して効果的な防御を可能にするとともに、GLUE ベンチマークで平均 1.9% の精度低下にとどめ、計算的に困難な問題に基づく安全性保証を実現する。

ABSTRACT

An unsolved challenge in distributed or federated learning is to effectively mitigate privacy risks without slowing down training or reducing accuracy. In this paper, we propose TextHide aiming at addressing this challenge for natural language understanding tasks. It requires all participants to add a simple encryption step to prevent an eavesdropping attacker from recovering private text data. Such an encryption step is efficient and only affects the task performance slightly. In addition, TextHide fits well with the popular framework of fine-tuning pre-trained language models (e.g., BERT) for any sentence or sentence-pair task. We evaluate TextHide on the GLUE benchmark, and our experiments show that TextHide can effectively defend attacks on shared gradients or representations and the averaged accuracy reduction is only $1.9\%$. We also present an analysis of the security of TextHide using a conjecture about the computational intractability of a mathematical problem. Our code is available at https://github.com/Hazelsuko07/TextHide

研究の動機と目的

• フェデレーテッドまたは分散学習環境におけるプライベートなテキストデータの保護を、モデルの精度や学習速度を損なわずに実現すること。
• 明示的および意味的情報を含むテキスト表現の学習中における実用的で効率的かつ安全な保護手法の開発。
• 元々画像認識を目的として設計された InstaHide の原則を自然言語処理に拡張し、離散的で順序的なテキストトークンがもたらす独自の課題を克服すること。
• 通信の全量にアクセス可能な盗聴攻撃者であっても、共有された勾配や表現から元の訓練データを復元できないようにすること。
• ホモモーフィック暗号や微分プライバシーの性能コストを回避する暗号的に安全な解決策を、計算困難性の仮定に基づいて提供すること。

提案手法

• TextHide は、事前学習済み言語モデル（例：BERT）からの隠れ表現に対して、一時的な秘密鍵を適用して入力テキストを暗号化し、それを共有する。
• 複数のテキスト表現をランダムな係数で組み合わせる MixUp スタイルのデータ拡張技術を用いる。
• 各参加者は、隠れ表現にランダムで個々の例に特有のマスクを適用し、1 つの表現から元の入力を特定できないようにする。
• 文および文対のタスク向けの標準的なファインチューニングパイプラインと互換性があり、既存の学習ワークフローへの変更を最小限にとどめる。
• セキュリティは、k ベクトル部分和問題の変種の計算的に困難な性質に基づく。この問題は、指数時間で解く必要があると予想されている。
• 暗号化は、生テキストではなく表現レベルで行われるため、既存の NLP 学習フレームワークにスムーズに統合可能である。

実験結果

リサーチクエスチョン

• RQ1 フェデレーテッド NLP 学習におけるテキスト表現の保護を、モデル性能に著しい悪影響を与えることなく実現できる軽量な暗号化メカニズムを設計できるか？
• RQ2 現実的な脅威モデル下で、TextHide は勾配逆転攻撃および表現再構築攻撃に対してどの程度効果的に防御できるか？
• RQ3 勾配や表現をクエリ可能な高度な攻撃者に対しても、TextHide のセキュリティはどの程度保たれるか？
• RQ4 統計的またはヒューリスティックな保証ではなく、計算困難性仮定に基づいて、TextHide のセキュリティを形式的に裏付けられるか？
• RQ5 画像ベースのプライバシー技術（例：InstaHide）を、離散的かつ順序的な自然言語データに適応可能か？

主な発見

• TextHide は GLUE ベンチマーク全体で平均 1.9% の精度低下にとどまり、強力なプライバシー保護にもかかわらず、性能への影響が最小限であることが示された。
• 攻撃者がクエリ可能な表現から元の文を再構築できないことから、明示的および意味的漏洩の両方を効果的に緩和している。
• セキュリティ解析により、TextHide を破るには計算的に困難な問題（k ベクトル部分和問題の変種）を解く必要があることが示され、指数時間の計算量を要すると予想されている。
• 代表的類似度探索（RSS）を用いた高度な攻撃者であっても、TextHide 保護済みの表現をクエリする際にはランダム推測と同等の性能にとどまる。
• TextHide は、コサイン類似度で測定される明示的漏洩および SBERT やラベル類似度で測定される意味的漏洩の両方を、ベースライン手法よりも効果的に低減している。
• TextHide は BERT などの事前学習済み言語モデルの標準的なファインチューニングと互換性があり、最小限の変更で実世界の NLP パイプラインに導入可能である。