[논문 리뷰] Deep Leakage from Model in Federated Learning

Zihao Zhao, Mengen Luo외 1명|arXiv (Cornell University)|2022. 06. 10.

Privacy-Preserving Technologies in Data인용 수 6

한 줄 요약

이 논문은 페더레이티드 러닝에서 전송된 모델 가중치와 손실 함수만을 이용해 기밀 고객 학습 데이터를 복원하는 두 가지 새로운 공격 프레임워크인 Deep Leakage from Model (DLM) 및 DLM+을 소개한다. 기울기 정보나 보조 파rameter가 필요 없이도 공격가능하며, 기존의 기울기 기반 泄露 방법보다 더 높은 정확도를 달성한다. 이는 페더레이티드 러닝에서 모델 가중치 전송이, 심지어 널리 사용되는 FedAvg 설정에서도 여전히 불안전하다는 것을 보여준다.

ABSTRACT

Distributed machine learning has been widely used in recent years to tackle the large and complex dataset problem. Therewith, the security of distributed learning has also drawn increasing attentions from both academia and industry. In this context, federated learning (FL) was developed as a "secure" distributed learning by maintaining private training data locally and only public model gradients are communicated between. However, to date, a variety of gradient leakage attacks have been proposed for this procedure and prove that it is insecure. For instance, a common drawback of these attacks is shared: they require too much auxiliary information such as model weights, optimizers, and some hyperparameters (e.g., learning rate), which are difficult to obtain in real situations. Moreover, many existing algorithms avoid transmitting model gradients in FL and turn to sending model weights, such as FedAvg, but few people consider its security breach. In this paper, we present two novel frameworks to demonstrate that transmitting model weights is also likely to leak private local data of clients, i.e., (DLM and DLM+), under the FL scenario. In addition, a number of experiments are performed to illustrate the effect and generality of our attack frameworks. At the end of this paper, we also introduce two defenses to the proposed attacks and evaluate their protection effects. Comprehensively, the proposed attack and defense schemes can be applied to the general distributed learning scenario as well, just with some appropriate customization.

연구 동기 및 목표

• 페더레이티드 러닝에서 기울기보다 더 안전하다고 여겨지는 모델 가중치 전송이 여전히 기밀 고객 데이터를 泄露할 수 있는지 조사하는 것.
• 기울기, 최적화기, 하이퍼파rameter를 요구하지 않고도 모델 파라미터와 손실 함수만을 사용해 기밀 학습 데이터를 복원하는 새로운 공격 프레임워크를 개발하는 것.
• 비독립 동일 분포 데이터 및 다수의 로컬 반복 학습을 포함한 현실적인 페더레이티드 러닝 환경에서 제안된 공격의 강건성을 평가하는 것.
• 실용적인 방어 조치—차별적 프라이버시 및 모델 희소화—를 제안하고, 이들이 페더레이티드 러닝에서 모델 파라미터 泄露에 대응하는 데 얼마나 효과적인지 평가하는 것.

제안 방법

• DLM에서 기울기의 필요 없이 모델 가중치와 손실 함수 간의 관계를 활용해 데이터 복원을 가능하게 하는 새로운 손실 함수를 제안한다.
• DLM+는 개선된 최적화 전략과 추가 정규화를 통해 복원 정밀도를 향상시킨 DLM의 향상된 버전이다.
• 표준 페더레이티드 러닝 알고리즘인 FedAvg에 두 프레임워크를 적용하여, 모델 가중치만 교환되는 실제 환경에서의 가능성을 입증한다.
• 기울기 기반 최적화 과정을 사용하지 않고, 손실 함수를 감독 신호로 사용해 관찰된 모델 가중치와 일치하는 합성 입력을 반복적으로 생성하는 방법을 적용한다.
• 모델 가중치 전송 전에 클리핑 및 가우시안 또는 라플라스 노이즈를 추가하여 차별적 프라이버시를 적용하여 보호 효과를 평가한다.
• 낮은 크기의 가중치를 제거함으로써 모델 희소화를 적용하고, 정보 泄露를 줄이며 공격에 대한 저항력을 평가한다.

실험 결과

연구 질문

• RQ1 기울기 또는 보조 파rameter에 접근할 수 없더라도, 페더레이티드 러닝에서 모델 가중치만으로도 기밀 학습 데이터를 복원할 수 있는가?
• RQ2 제안된 DLM 및 DLM+ 공격의 성능은 DLG 및 코사인 유사도 방법과 같은 기존 기울기 기반 泄露 공격보다 어떻게 비교되는가?
• RQ3 로컬 학습 반복 횟수와 최적화기 선택이 모델 파라미터 泄露 공격 성공에 어떤 영향을 미치는가?
• RQ4 모델 파라미터 泄露에 효과적인 방어 수단는 무엇이며, 적절한 보호를 확보하기 위한 임계값은 무엇인가?

주요 결과

• DLM 및 DLM+는 MLP 및 LeNet 아키텍처 모두에서 기존 기울기 泄露 공격보다 유의미하게 높은 PSNR 및 SSIM 값을 달성하여, 더 뛰어난 복원 품질을 입증한다.
• 비독립 동일 분포 데이터 및 다수의 로컬 학습 반복 조건에서도 공격가능성이 유지되어 현실적인 페더레이티드 러닝 환경에서 강력한 강건성을 보인다.
• 가우시안 노이즈 강도 1e-4를 사용한 차별적 프라이버시가 공격를 효과적으로 방해하며, 이보다 높은 노이즈 수준(예: >1e-4)은 정확한 데이터 복원을 방지한다.
• 50% 이상의 희소화 비율을 적용하면 모델 희소화가 泄露를 효과적으로 줄이지만, DLM+는 1% 희소화 조건에서도 낮은 저항성을 보이며 방어 효과가 제한적임을 시사한다.
• 모델 가중치가 최대 50%까지 희소화된 상태에서도 제안된 공격가능성이 기존 학습 데이터를 식별 가능한 수준으로 성공적으로 복원함을 입증하여, 가중치 기반 페더레이티드 러닝 시스템의 취약성을 드러낸다.
• 본 연구는 페더레이티드 러닝에서 모델 가중치 전송이 본질적으로 불안전하다는 것을 밝혀내며, 기울기 전송보다 더 안전하다는 가정을 도전한다.