[論文レビュー] WAFFLE: Watermarking in Federated Learning

Buse Gul Atli, Yuxi Xia+2 more|arXiv (Cornell University)|Aug 17, 2020

Privacy-Preserving Technologies in Data参考文献 60被引用数 4

ひとこと要約

WAFFLE は、学習データへのアクセスを必要とせずに深層ニューラルネットワークモデルに耐性のあるウォーターマークを埋め込む、フェデレーテッドラーニングにおける最初のウォーターマークスキームである。各アグリゲーションの後、サーバー側で再訓練を行うことで、最小限の精度低下（-0.17%）と低コストの計算オーバーヘッド（+3.2%）でバックドアベースのウォーターマークを埋め込むことができ、分散型トレーニング環境におけるモデル所有権の検証を可能にする。

ABSTRACT

Federated learning is a distributed learning technique where machine learning models are trained on client devices in which the local training data resides. The training is coordinated via a central server which is, typically, controlled by the intended owner of the resulting model. By avoiding the need to transport the training data to the central server, federated learning improves privacy and efficiency. But it raises the risk of model theft by clients because the resulting model is available on every client device. Even if the application software used for local training may attempt to prevent direct access to the model, a malicious client may bypass any such restrictions by reverse engineering the application software. Watermarking is a well-known deterrence method against model theft by providing the means for model owners to demonstrate ownership of their models. Several recent deep neural network (DNN) watermarking techniques use backdooring: training the models with additional mislabeled data. Backdooring requires full access to the training data and control of the training process. This is feasible when a single party trains the model in a centralized manner, but not in a federated learning setting where the training process and training data are distributed among several client devices. In this paper, we present WAFFLE, the first approach to watermark DNN models trained using federated learning. It introduces a retraining step at the server after each aggregation of local models into the global model. We show that WAFFLE efficiently embeds a resilient watermark into models incurring only negligible degradation in test accuracy (-0.17%), and does not require access to training data. We also introduce a novel technique to generate the backdoor used as a watermark. It outperforms prior techniques, imposing no communication, and low computational (+3.2%) overhead.

研究の動機と目的

• クライアントがモデルを逆引きして盗難する可能性があるフェデレーテッドラーニングにおけるモデル所有権の課題に対処すること。
• モデル所有者が学習データにアクセスできず、トレーニングプロセスを制御できない分散環境で動作するウォーターマーク技術を開発すること。
• ウォーターマークが削除試行に対して耐性を持ち、ブラックボックスアクセスでも検証可能であることを保証すること。
• 悪意あるクライアントが存在する状況でも、パフォーマンスの劣化と計算オーバーヘッドを最小限に抑えること。
• 通信コストや学習データへのアクセスを必要としない、新しいバックドア生成技術を通じて所有権の証明を可能にすること。

提案手法

• 各アグリゲーションラウンドの後、グローバルモデルにウォーターマークを埋め込むためにサーバー側で再訓練を行うステップを導入する。
• 合成データ上で訓練されたサロゲートモデルを用いて、誤標識の入力を生成する、画期的なバックドアベースのウォーターマーク技術を採用する。
• 再訓練中にモデルに埋め込む秘密のウォーターマークパターンを用いることで、削除に対して耐性を持つようにする。
• ウォーターマークを埋め込む際のモデルの有用性を維持するために正則化損失を適用し、精度の低下を最小限に抑える。
• 元の学習データへのアクセスを必要とせず、代わりにサロゲートモデルとデータ拡張に依存してウォーターマークを生成する。
• モデルが抽出されたり共有されたりしても、埋め込まれたバックドアパターンを用いたブラックボックステストにより所有権の検証が可能になる。

Figure 1: Architecture and adversary model for watermarking in federated learning. Parties under the control of an adversary are highlighted in red.

実験結果

リサーチクエスチョン

• RQ1 学習データへのアクセスが制限される状況でも、フェデレーテッドラーニングで訓練されたDNNモデルにウォーターマークを効果的に埋め込めるか？
• RQ2 分散型トレーニング環境において、モデル抽出や削除攻撃に対してウォーターマークをどのように耐性を持たせられるか？
• RQ3 フェデレーテッドラーニングにおけるウォーターマークの導入が、モデルの精度と計算効率に与える影響は何か？
• RQ4 モデルの重みや勾配を必要とせず、ブラックボックスアクセスでのみウォーターマークを検証できるか？
• RQ5 非IIDデータ分布や悪意あるクライアントの行動が想定される状況下でも、提案手法はスケーラブルか？

主な発見

• WAFFLE は、フェデレーテッドラーニングモデルにウォーターマークを埋め込む際、テスト精度の低下がわずか -0.17% にとどまる。
• 計算オーバーヘッドはわずか 3.2% 増加するため、実世界の展開においても効率的である。
• ウォーターマークは、敵対的攻撃によってモデルが抽出されたり変更されたりしても、依然として耐性を持つ。
• 非IIDデータ分布下でも、通信量と計算量がわずかに増加する程度で、ウォーターマークの耐性とモデルの有用性を維持できる。
• ブラックボックステストによりウォーターマークを検証可能であり、モデルの重みや勾配を白ボックスで入手する必要がないため、所有権の証明が可能である。
• 提案されたバックドア生成技術は通信コストを必要とせず、学習データが入手不能であっても効果を発揮する。

(a)