[논문 리뷰] Cronus: Robust and Heterogeneous Collaborative Learning with Black-Box Knowledge Transfer

Hongyan Chang, Virat Shejwalkar외 2명|arXiv (Cornell University)|2019. 12. 24.

Privacy-Preserving Technologies in Data참고 문헌 50인용 수 91

한 줄 요약

Cronus는 블랙박스 모델 예측을 통해 지식을 전달함으로써 강력한 프라이버시 보장을 가진 협업 학습을 가능하게 하며, 이질적 아키텍처를 지원하고 오염 공격에 대한 강한 저항성과 더 낮은 샘플 복잡도를 제공합니다.

ABSTRACT

Collaborative (federated) learning enables multiple parties to train a model without sharing their private data, but through repeated sharing of the parameters of their local models. Despite its advantages, this approach has many known privacy and security weaknesses and performance overhead, in addition to being limited only to models with homogeneous architectures. Shared parameters leak a significant amount of information about the local (and supposedly private) datasets. Besides, federated learning is severely vulnerable to poisoning attacks, where some participants can adversarially influence the aggregate parameters. Large models, with high dimensional parameter vectors, are in particular highly susceptible to privacy and security attacks: curse of dimensionality in federated learning. We argue that sharing parameters is the most naive way of information exchange in collaborative learning, as they open all the internal state of the model to inference attacks, and maximize the model's malleability by stealthy poisoning attacks. We propose Cronus, a robust collaborative machine learning framework. The simple yet effective idea behind designing Cronus is to control, unify, and significantly reduce the dimensions of the exchanged information between parties, through robust knowledge transfer between their black-box local models. We evaluate all existing federated learning algorithms against poisoning attacks, and we show that Cronus is the only secure method, due to its tight robustness guarantee. Treating local models as black-box, reduces the information leakage through models, and enables us using existing privacy-preserving algorithms that mitigate the risk of information leakage through the model's output (predictions). Cronus also has a significantly lower sample complexity, compared to federated learning, which does not bind its security to the number of participants.

연구 동기 및 목표

• 연합 학습에서 프라이버시, 보안, 이질성의 한계를 동기 부여하고 해결한다.
• 모델 매개변수 대신 예측을 교환하는 지식전이 기반 프레임워크를 제안한다.
• 강력한 이론적 보장을 가능하게 하는 차원 축소된 강건한 집계 방법을 제공한다.
• 이질적 아키텍처와 공용 데이터에 대한 실험 평가를 통해 실용성을 증명한다.

제안 방법

• 공개되지 않은 라벨이 없는 데이터셋에서 증류된 예측을 교환하기 위해 블랙박스 지식전이를 사용한다.
• 업데이트 차원을 전체 모델 매개변수에서 출력 예측으로 축소하여 강건한 집계를 가능하게 한다.
• 저차원 업데이트에 맞춰 설계된 강건한 평균/집계 알고리즘으로 예측을 집계한다.
• 로컬 모델을 교사로, 업데이트를 소프트 레이블로 간주하여 이질적 모델 아키텍처를 허용한다.
• 예측 공유를 위한 프라이버시 보존 메커니즘을 도입하고 증류로 정규화하여 정보 누출을 완화한다.
• Cronus를 오염 및 멤버십 추론 공격에 대해 평가하고 FedAvg 및 기타 강건한 집계와 비교한다.

실험 결과

연구 질문

• RQ1 블랙박스 지식전이가 이질적 모델에 걸친 강건하고 프라이버시가 보호된 협업 학습을 가능하게 할 수 있는가?
• RQ2 Cronus가 매개변수 기반 연합학습보다 더 작은 모델 차원에서도 입증 가능한 강건성 보장을 제공하는가?
• RQ3 기존 집계 방식과 비교했을 때 Cronus는 오염 및 멤버십 추론 공격에서 어떻게 작동하는가?
• RQ4 이질적 아키텍처를 가진 일반 벤치마크에서 Cronus의 실험적 성능은 어떠한가?

주요 결과

데이터셋	단독 실행	중앙 집중식	FedAvg	Cronus
SVHN	87.5	96.4	95.9	91.1
MNIST	92.8	97.9	96.7	95.2
Purchase	76.3	94.3	93.3	89.6
CIFAR10	66.8	90.2	88.4	80.1

• Cronus는 강력한 강건성을 보이며, 가장 강도 높은 공격에서도 모델 정확도 하락이 제한적이다(평가 데이터셋 전반에서 최대 약 2% 하락 사례 포함).
• Cronus는 샘플 복잡성을 현저히 감소시켜 표준 연합 학습보다 훨씬 적은 참가자로도 강력한 오차 보장을 가능하게 한다.
• 실험 결과 Cronus는 SVHN, MNIST, Purchase, CIFAR-10 벤치마크에서 공격하에 FedAvg 및 기타 집계보다 성능이 우수하다.
• 공개 데이터셋의 예측 사용은 화이트박스 정보 누출을 줄이고 프라이버시 보호 협업을 지원한다.
• 증류 기반 지식전이를 통해 최종 정확도를 손상시키지 않으면서 이질적 아키텍처를 지원한다.
• 데이터셋 전반에 걸쳐 Cronus는 독립형 및 중앙 집중식 기준선 대비 더 높거나 경쟁력 있는 정확도를 유지하면서 보안 특성이 향상된다.