[논문 리뷰] A General Approach to Adding Differential Privacy to Iterative Training Procedures

H. Brendan McMahan, Galen Andrew외 5명|arXiv (Cornell University)|2018. 12. 15.

Privacy-Preserving Technologies in Data인용 수 56

한 줄 요약

요지는 이 논문이 학습 절차, 프라이버시 메커니즘 구성, 프라이버시 계정화를 분리하여 반복 학습에 차등 프라이버시를 통합하는 모듈식 프레임워크를 도입하고, Moments Accountant를 이질적인 벡터 쿼리로 일반화한다는 점이다.

ABSTRACT

In this work we address the practical challenges of training machine learning models on privacy-sensitive datasets by introducing a modular approach that minimizes changes to training algorithms, provides a variety of configuration strategies for the privacy mechanism, and then isolates and simplifies the critical logic that computes the final privacy guarantees. A key challenge is that training algorithms often require estimating many different quantities (vectors) from the same set of examples --- for example, gradients of different layers in a deep learning architecture, as well as metrics and batch normalization parameters. Each of these may have different properties like dimensionality, magnitude, and tolerance to noise. By extending previous work on the Moments Accountant for the subsampled Gaussian mechanism, we can provide privacy for such heterogeneous sets of vectors, while also structuring the approach to minimize software engineering challenges.

연구 동기 및 목표

• 개인정보에 민감한 데이터에 대한 실용적인 DP 통합을 반복 학습에 동기 부여한다.
• 학습 절차, 프라이버시 메커니즘 구성, 프라이버시 계정화를 분리하여 오류 및 엔지니어링 노력을 줄인다.
• 훈련 중 수집된 이질적인 벡터 그룹에 대해 DP 계정화를 일반화한다.
• 벡터 그룹을 묶고 그룹 간 프라이버시 보장을 구성하기 위한 모듈식 메커니즘을 제공한다.
• 실제 사용을 위한 구현 가이드라인과 TensorFlow Privacy에의 참고를 제공한다.

제안 방법

• 훈련 업데이트를 그룹별 클리핑 및 노이즈 매개변수를 가진 Gaussian 합 쿼리로 표현한다.
• 그룹 간의 이질성을 관리하기 위해 그룹별 스케일을 가진 합동(clipping) 및 분리(clipping) 전략을 도입한다.
• 여러 벡터 그룹의 프라이버시 보장을 하나의 동등한 Gaussian sum query로 계정화에 적용할 수 있도록 구성하는 방법을 보인다.
• q, S_g, sigma_g를 통한 프라이버시-유용성 트레이드오프를 균형 있게 조정하기 위한 하이퍼파라미터 전략을 설명한다.
• 훈련 구현과 프라이버시 비용 계산을 분리하는 프라이버시 원장과 사후 프라이버시 계정(RDP)을 제안한다.

실험 결과

연구 질문

• RQ1 룰마다 여러 이질적 벡터(예: 계층 그래디언트, 배치 정규화 통계, 메트릭스)가 쿼리될 때 반복 학습에 차등 프라이버시를 어떻게 적용할 수 있는가?
• RQ2 서로 다른 노름과 노이즈 수준을 가질 수 있는 다수 벡터 그룹 간의 프라이버시 보장을 어떻게 구성할 수 있는가?
• RQ3 훈련 코드의 무결성을 해치지 않으면서 강력하고 구성 가능한 DP 학습을 지원하는 실용적 전략과 도구(TensorFlow Privacy 등)는 무엇인가?
• RQ4 대규모 반복 학습에서 바람직한 프라이버시-유용성 트레이드오프를 제공하는 하이퍼파라미터 전략(샘플링, 클리핑, 노이즈)은 무엇인가?

주요 결과

• 모듈식 접근 방식은 Moments Accountant를 다벡터 질의로 확장하여 이질적인 벡터 집합에 대한 프라이버시를 가능하게 한다.
• 그룹별 스케일을 가진 공동 클리핑은 스케일이 다양한 시나리오에서 벡터별 클리핑보다 성능이 좋을 수 있다.
• 단일 Gaussian sum query 동등성은 복잡하고 다그룹 DP 메커니즘에 단일 프라이버시 계정화를 적용할 수 있게 한다.
• 하이퍼파라미터 전략(q, S_g, sigma_g)은 유용성을 보존하면서 목표 프라이버시 보장(ε, δ)을 달성하는 가이드를 제공한다.
• TensorFlow Privacy는 이러한 아이디어를 구현하여 DPQuery 추상화와 사후 계정을 위한 프라이버시 원장을 제공한다.