[논문 리뷰] Auditing Privacy Defenses in Federated Learning via Generative Gradient Leakage

Zhuohang Li, Jiaxin Zhang외 2명|arXiv (Cornell University)|2022. 03. 29.

Privacy-Preserving Technologies in Data인용 수 8

한 줄 요약

이 논문은 페더레이티드 러닝에서 공유된 저해상도 기울기에서 고해상도 이미지를 복원하기 위해 공개 데이터셋에서 얻은 GAN 기반 사전 지식을 활용하는 새로운 공격 방법인 생성적 기울기 泄漏(GGL)를 제안한다. 기울기 기반 최적화와 학습된 이미지 다양체를 조합함으로써, Soteria 및 차별적 프라이버시와 같은 강력한 방어 조치가 적용된 상황에서도 기존 기울기 기반 방법보다 우수한 성능을 보이며 비밀 데이터 복원을 가능하게 하여, 기존 방어 조치에도 불구하고 심각한 프라이버시 泄漏가 존재함을 입증한다.

ABSTRACT

Federated Learning (FL) framework brings privacy benefits to distributed learning systems by allowing multiple clients to participate in a learning task under the coordination of a central server without exchanging their private data. However, recent studies have revealed that private information can still be leaked through shared gradient information. To further protect user's privacy, several defense mechanisms have been proposed to prevent privacy leakage via gradient information degradation methods, such as using additive noise or gradient compression before sharing it with the server. In this work, we validate that the private training data can still be leaked under certain defense settings with a new type of leakage, i.e., Generative Gradient Leakage (GGL). Unlike existing methods that only rely on gradient information to reconstruct data, our method leverages the latent space of generative adversarial networks (GAN) learned from public image datasets as a prior to compensate for the informational loss during gradient degradation. To address the nonlinearity caused by the gradient operator and the GAN model, we explore various gradient-free optimization methods (e.g., evolution strategies and Bayesian optimization) and empirically show their superiority in reconstructing high-quality images from gradients compared to gradient-based optimizers. We hope the proposed method can serve as a tool for empirically measuring the amount of privacy leakage to facilitate the design of more robust defense mechanisms.

연구 동기 및 목표

• 공유된 기울기에서 비밀 훈련 데이터가 복원될 수 있는지, 기존 페더레이티드 러닝 방어 조치가 충분한지 조사하기 위해.
• 기울기 기반 복원 공격의 한계를 해결하기 위해, 기울기의 노이즈 및 열악한 품질로 인한 정보 손실로 인해 성능이 떨어지는 기존 기울기 기반 공격이 약한 이미지 사전 지식으로 인해 실패하는 문제를 해결하기 위해.
• 딥 페어링 생성 모델을 강력한 사전 지식으로 활용하여, 방어 메커니즘 하에서 이미지 품질과 정확도를 향상시키는 강력한 복원 방법을 개발하기 위해.
• 실제로 기울기가 손상된 상황에서 비밀 이미지가 얼마나 잘 복원되는지 측정함으로써, 현재 방어 조치의 프라이버시 泄漏 위험을 경험적으로 감사하기 위해.
• 페더레이티드 러닝에서 프라이버시 보존 메커니즘의 효과를 평가하고 향상시키기 위한 실용적인 도구를 제공하기 위해.

제안 방법

• 공개된 데이터셋에서 사전 훈련된 GAN(예: BigGAN)을 활용하여 자연 이미지 다양체를 강력한 사전 지식으로 모델링한다.
• 생성된 이미지와 공유된 기울기 간의 차이를 최소화하도록 GAN의 잠재 공간에서 최적화하여 비밀 이미지를 복원한다.
• 기울기 손실의 비凸성 및 비선형성으로 인해 발생하는 복잡한 손실 곡면을 탐색하기 위해, 진화 전략과 베이지안 최적화를 포함한 기울기 기반 최적화 기법을 활용한다.
• 특정 방어 조치(예: 노이즈 주입, 희소화, 프루닝)에 의해 적용된 기울기 변환을 고려한 적응형 손실 함수를 설계한다.
• GAN의 잠재 벡터를 사용하여 공유된 기울기와 일치하면서도 높은 시각적 품질을 유지하는 이미지를 생성한다.
• PSNR 및 LPIPS와 같은 메트릭을 사용하여 복원 품질을 평가하고, 기준 기울기 기반 최적화기와 비교한다.

실험 결과

연구 질문

• RQ1 최신 프라이버시 방어 조치(예: 차별적 프라이버시, 기울기 희소화)로 인해 기울기가 저하된 상황에서도 고해상도 비밀 이미지를 여전히 복원할 수 있는가?
• RQ2 손실된 정보를 보완하기 위해 손수 제작한 사전 지식(예: 총 변동성)에 비해 GAN 기반 이미지 사전 지식은 얼마나 효과적인가?
• RQ3 GAN의 잠재 공간에서 노이즈가 섞이고 변형된 기울기에서 기울기 기반 최적화에 비해 기울기 기반 최적화가 이미지를 더 잘 복원하는가?
• RQ4 클라이언트 측에서 적용된 방어 메커니즘(예: Soteria의 프루닝 또는 노이즈 주입)에 따라 복원 품질이 얼마나 영향을 받는가?
• RQ5 기울기 일치 목표의 손실 곡면을 조작하여 프라이버시 泄漏를 줄일 수 있으며, 이는 진정한 시각적 손실(LPIPS) 곡면과 비교해 볼 때 어떻게 다른가?

주요 결과

• GGL은 Soteria 방어(프루닝 및 노이즈 주입)로 인해 기울기가 저하된 상황에서도 CelebA 데이터셋에서 PSNR 값이 20 dB를 초과하는 고해상도 이미지를 성공적으로 복원했으며, 기존 기준 방법이 실패하는 상황에서도 성능을 유지한다.
• GAN 기반 사전 지식을 사용할 경우 손수 제작한 사전 지식(예: 총 변동성)에 비해 복원 품질이 크게 향상되어 얼굴 특징 및 성별 정체성과 같은 세부 정보를 회복할 수 있다.
• 기울기 기반 최적화보다 기울기 기반 최적화 기법(예: 베이지안 최적화)이 더 뛰어난 복원 성능을 보이며, 낮은 국소 최적점으로 수렴하는 것을 줄였다.
• 차별적 프라이버시 및 기울기 압축 조건에서도 GGL은 성별 및 정체성과 같은 민감한 속성을 드러내는 이미지를 복원할 수 있어 지속적인 프라이버시 泄漏가 있음을 시사한다.
• 기울기 일치 목표의 손실 곡면은 진정한 시각적 손실(LPIPS) 곡면과 일치하지 않으며, 기울기 손실을 최소화한다고 해서 반드시 시각적 유사성이 보장되지 않지만 여전히 상당한 정보가 泄漏됨을 시사한다.
• 외부 분포 이미지(예: ImageNet 샘플)는 GAN 사전 지식의 한계로 인해 잘 복원되지 않아, 원본 데이터가 GAN의 훈련 분포를 벗어나면 GAN 사전 지식의 성능이 떨어짐을 보여준다.