[논문 리뷰] Adversarial Learning of Privacy-Preserving and Task-Oriented Representations

Taihong Xiao, Yi‐Hsuan Tsai외 3명|arXiv (Cornell University)|2019. 11. 22.

Privacy-Preserving Technologies in Data참고 문헌 37인용 수 7

한 줄 요약

이 논문은 훈련 중에 모델 역공학 공격을 시뮬레이션함으로써, 작업 최적화와 사생활 보호를 동시에 달성할 수 있도록 하는 적대적 학습 프레임워크를 제안한다. 인코더와 디코더 간의 최소-최대 게임에서 음의 재구성 손실(픽셀 또는 지각적)을 최소화함으로써, 잠재 특징에서 원본 입력을 재구성할 위험을 줄이며, 얼굴 속성 예측 작업에서 유틸리티 성능의 약간의 감소만으로도 강력한 사생활 보호를 달성한다.

ABSTRACT

Data privacy has emerged as an important issue as data-driven deep learning has been an essential component of modern machine learning systems. For instance, there could be a potential privacy risk of machine learning systems via the model inversion attack, whose goal is to reconstruct the input data from the latent representation of deep networks. Our work aims at learning a privacy-preserving and task-oriented representation to defend against such model inversion attacks. Specifically, we propose an adversarial reconstruction learning framework that prevents the latent representations decoded into original input data. By simulating the expected behavior of adversary, our framework is realized by minimizing the negative pixel reconstruction loss or the negative feature reconstruction (i.e., perceptual distance) loss. We validate the proposed method on face attribute prediction, showing that our method allows protecting visual privacy with a small decrease in utility performance. In addition, we show the utility-privacy trade-off with different choices of hyperparameter for negative perceptual distance loss at training, allowing service providers to determine the right level of privacy-protection with a certain utility performance. Moreover, we provide an extensive study with different selections of features, tasks, and the data to further analyze their influence on privacy protection.

연구 동기 및 목표

• 기계 학습 시스템에서 데이터 기밀성 침해 위험이 증가하는 데 대응하기 위해, 특히 잠재 표현에서 입력 데이터를 재구성할 수 있는 모델 역공학 공격에 대비한다.
• 하류 작업에 대한 유틸리티를 유지하면서도 시각적 기밀성을 보호할 수 있는 방법을 개발한다.
• 디코더 네트워크를 통해 잠재 특징을 입력 공간으로 역전환하려는 시도를 모델링함으로써, 훈련 중에 적대자 행동을 시뮬레이션한다.
• 재구성 손실의 초항수 조절을 통해 조절 가능한 유틸리티-기밀성 트레이드오프를 제공한다.
• 특징 레이어 선택, 작업 유형, 적대자 데이터의 영향을 실증적으로 평가한다.

제안 방법

• 인코더(Enc)와 디코더(Dec) 간의 최소-최대 적대적 훈련 설정을 사용하며, Dec는 잠재 특징에서 입력 데이터를 재구성하도록 훈련되고, Enc는 재구성 오차를 최대화하도록 훈련된다.
• 인코더는 음의 재구성 손실을 최적화하며, 재구성된 이미지와 원본 이미지 간의 음의 픽셀 단위 또는 지각적(특징 기반) 거리의 최소화를 목표로 한다.
• 작업 특화 손실(예: 얼굴 속성 예측용)과 적대적 재구성 손실을 조합하여 유틸리티와 기밀성의 균형을 이룬다.
• 지각적 손실은 사전 훈련된 특징 추출기 g를 사용하여 계산되며, 재구성된 이미지와 원본 이미지의 깊은 특징 간의 L2 거리를 측정한다.
• 엔드 투 엔드로 훈련되며, Enc와 Dec를 번갈아 최적화함으로써 학습 도중 블랙박스 모델 역공학 공격을 시뮬레이션한다.
• 프레임워크는 여러 ResNet-50 레이어, 다양한 작업(예: 얼굴 속성 예측) 및 디코더의 적대자 데이터를 다양하게 설정하여 평가된다.

실험 결과

연구 질문

• RQ1 모델 역공학 공격을 시뮬레이션하는 적대적 훈련이, 잠재 표현에서 원본 입력 데이터를 재구성할 위험을 효과적으로 줄일 수 있는가?
• RQ2 특징 레이어 선택(얕은 층 대비 깊은 층)이 학습된 표현에서 기밀성과 유틸리티의 균형에 어떤 영향을 미치는가?
• RQ3 다른 분포에서 온 데이터(예: 동일한 분포 또는 다른 분포)를 사용한 적대자 데이터의 유형이 기밀 보호 효과에 어떤 영향을 미치는가?
• RQ4 지각적 손실을 제어하는 초항수의 영향은 최종 모델의 유틸리티-기밀성 트레이드오프에 어떤 영향을 미치는가?
• RQ5 명시적 신원 감시 없이도 학습된 표현이 신원 불변성을 얼마나 잘 유지하는가?

주요 결과

• 제안된 방법은 재구성된 이미지와 원본 이미지 간의 얼굴 유사도를 크게 감소시키며, 특히 낮은 레이어에서 강력한 모델 역공학 공격에 대한 저항력을 보여준다.
• 학습된 특징의 LDA 점수(S_b/S_w)는 기준 모델보다 일관되게 낮아, 더 균일한 분포와 더 나은 기밀 보호를 나타낸다.
• 얼굴 속성 예측 성능(MCC)은 적대적 훈련 조건에서도 높게 유지되어 유틸리티 저하가 최소한임을 시사한다.
• 방법은 조절 가능한 유틸리티-기밀성 트레이드오프를 달성한다: 지각적 손실 가중치를 높일수록 재구성 품질은 낮아지지만 기밀성이 향상된다.
• 신원 감시 없이도 모델은 신원에 대해 불변인 표현을 학습하며, 신원 泄露에 대한 강건성을 보여준다.
• 표준 딥 페처보다 강력한 역공학 공격(지각적 손실 및 GAN 기반 손실을 사용)에 대한 저항력을 보여, 우수한 성능을 달성한다.