[논문 리뷰] Beyond Random Noise: Insights on Anonymization Strategies from a Latent Bandit Study

Alexander Galozy, Sadi Alawadi외 2명|arXiv (Cornell University)|2023. 09. 30.

Privacy-Preserving Technologies in DataComputer Science인용 수 3

한 줄 요약

이 논문은 잠재적 밴딧 환경에서의 프라이버시 보존형 익명화 전략을 평가하며, 단순한 노이즈 주입(예: 라플라스 메커니즘)이 성능을 떨어뜨리고 프라이버시를 확보하지 못함을 보여주며, 노이즈와 집합 전략(예: 클러스터링 및 평균화)을 조합할 경우 더 나은 트레이드오프를 제공함을 밝힌다. 기존의 표준 프라이버시 메트릭인 ADS는 탈익명화 위험을 신뢰성 있게 예측하지 못함을 드러내며, 일률적인 접근 방식이 아닌 공격에 특화된 평가가 필요함을 시사한다.

ABSTRACT

This paper investigates the issue of privacy in a learning scenario where users share knowledge for a recommendation task. Our study contributes to the growing body of research on privacy-preserving machine learning and underscores the need for tailored privacy techniques that address specific attack patterns rather than relying on one-size-fits-all solutions. We use the latent bandit setting to evaluate the trade-off between privacy and recommender performance by employing various aggregation strategies, such as averaging, nearest neighbor, and clustering combined with noise injection. More specifically, we simulate a linkage attack scenario leveraging publicly available auxiliary information acquired by the adversary. Our results on three open real-world datasets reveal that adding noise using the Laplace mechanism to an individual user's data record is a poor choice. It provides the highest regret for any noise level, relative to de-anonymization probability and the ADS metric. Instead, one should combine noise with appropriate aggregation strategies. For example, using averages from clusters of different sizes provides flexibility not achievable by varying the amount of noise alone. Generally, no single aggregation strategy can consistently achieve the optimum regret for a given desired level of privacy.

연구 동기 및 목표

• 실제 연계 공격 상황을 고려한 프라이버시 보존형 추천 시스템에서 익명화 전략의 효과성을 조사하기 위해.
• 라플라스 메커니즘과 같은 전통적인 노이즈 기반 방법이 성능 저하 없이 충분한 프라이버시를 제공하는지 평가하기 위해.
• ADS 메트릭이 실제 세계의 탈익명화 위험을 예측하는 데 신뢰할 수 있는지 평가하기 위해.
• 노이즈와 집합 전략의 병합 전략이 고립된 기법보다 우수한 성능을 보이는지 평가하기 위해.
• 일률적인 솔루션이나 일반 메트릭에 의존하기보다는 공격 인식 설계를 통해 프라이버시 메커니즘을 개선할 것을 주장하기 위해.

제안 방법

• 추천 작업에서의 사용자 지식 공유를 시뮬레이션하기 위해 잠재적 밴딧 프레임워크를 활용한다.
• 다양한 익명화 전략 적용: 라플라스 노이즈, tSVD 변환, 평균화, 최근접 이웃, 클러스터링을 통한 집합.
• 실세계 데이터셋(CASAS, Endomondo, Fitbit)을 사용해 프라이버시 및 성능 트레이드오프를 평가한다.
• 적대자가 공개된 보조 데이터를 활용해 익명화된 기록을 재식별하는 연쇄 공격 시나리오를 설정한다.
• 성능은 회귀(regret)로, 프라이버시는 탈익명화 확률 및 ADS 메트릭으로 측정한다.
• 노이즈 수준과 집합 구성에 따른 익명화 결과를 비교하여 최적의 트레이드오프를 규명한다.

실험 결과

연구 질문

• RQ1 개별 사용자 기록에 라플라스 노이즈를 추가하면 성능 유지와 함께 프라이버시를 효과적으로 보호할 수 있는가?
• RQ2 클러스터링 및 평균화와 같은 집합 전략은 노이즈 단독보다 더 나은 프라이버시-성능 트레이드오프를 제공할 수 있는가?
• RQ3 ADS 메트릭은 연쇄 공격 상황에서 실제 탈익명화 확률을 얼마나 잘 예측하는가?
• RQ4 모든 프라이버시 수준에서 잘 작동하는 단일 최적의 익명화 전략이 존재하는가?
• RQ5 기존의 표준 프라이버시 메트릭은 실제 재식별 위험에 대해 데이터 소유자에게 얼마나 잘못된 인식을 줄 수 있는가?

주요 결과

• 개별 사용자 기록에 라플라스 노이즈를 추가하면 모든 노이즈 수준에서 가장 높은 회귀(regret)를 초래하여 성능이 열악하고 프라이버시 보호 수준도 낮음을 시사한다.
• 특히 다양한 클러스터 크기를 가진 클러스터링과 노이즈를 조합하면 노이즈 수준만 조절하는 것보다 더 큰 유연성과 더 나은 프라이버시-성능 트레이드오프를 제공한다.
• 모든 원하는 탈익명화 확률 수준에서 최적의 회귀를 달성하는 단일 집합 전략은 존재하지 않으며, 종합적인 보호를 위해서는 다수의 전략이 필요함을 시사한다.
• ADS 메트릭은 실제 탈익명화 확률과 상당한 괴리가 있음을 확인: 고노이즈 수준에선 프라이버시를 과대평가하고, 저노이즈 수준에선 과소평가한다.
• 심지어 간단한 탈익명화 알고리즘이라도 프라이버시를 크게 과대평가할 수 있으며, 이는 더 고도화된 공격이 현재 메트릭의 신뢰성을 더욱 약화시킬 수 있음을 시사한다.
• 결과적으로 프라이버시 메커니즘은 ADS나 GAN 기반 익명화 목표와 같은 일반 메트릭에 의존하기보다는 현실적인 공격 모델을 기반으로 평가되어야 한다는 점을 시사한다.