[논문 리뷰] Do Gradient Inversion Attacks Make Federated Learning Unsafe?

Ali Hatamizadeh, Hongxu Yin외 9명|arXiv (Cornell University)|2022. 02. 14.

Privacy-Preserving Technologies in Data인용 수 4

한 줄 요약

이 논문은 의료 영상에 대한 분산학습(FL)에서 기울기 역전 공격의 실용적 위험을 조사하며, 실제 세계의 FL에서 흔히 발생하는 바치 정규화(BN) 통계치가 학습 중 업데이트되는 경우 이러한 공격이 대부분 효과가 없음을 입증한다. 연구는 이러한 현실적인 조건에서 작동하는 새로운 기준 공격을 제안하고, 데이터 泄露를 측정하기 위한 정량적 지표를 제시하며, 기존의 개인정보 보호 기법인 차별적 프라이버시(DP)가 정확도 손실을 크게 초래하지 않으면서도 위험을 효과적으로 완화함을 보여준다.

ABSTRACT

Federated learning (FL) allows the collaborative training of AI models without needing to share raw data. This capability makes it especially interesting for healthcare applications where patient and data privacy is of utmost concern. However, recent works on the inversion of deep neural networks from model gradients raised concerns about the security of FL in preventing the leakage of training data. In this work, we show that these attacks presented in the literature are impractical in FL use-cases where the clients' training involves updating the Batch Normalization (BN) statistics and provide a new baseline attack that works for such scenarios. Furthermore, we present new ways to measure and visualize potential data leakage in FL. Our work is a step towards establishing reproducible methods of measuring data leakage in FL and could help determine the optimal tradeoffs between privacy-preserving techniques, such as differential privacy, and model accuracy based on quantifiable metrics. Code is available at https://nvidia.github.io/NVFlare/research/quantifying-data-leakage.

연구 동기 및 목표

• 의료 응용 분야에서 데이터 프라이버시가 핵심적인 상황에서 기울기 역전 공격의 실질적 타당성을 평가하기 위해.
• 특히 학습 중 업데이트되는 배치 정규화(BN) 통계치를 포함한 일반적인 FL 관행이 기존 기울기 역전 공격를 무력화하는지 조사하기 위해.
• 재현 가능하고 정량적인 방법을 개발하여 FL 시스템에서의 데이터 泄露를 측정하고 시각화하기 위해.
• 차별적 프라이버시(DP) 및 FedBN과 같은 개인정보 보호 기법이 기울기 역전 공격 위험을 완화하는 데 얼마나 효과적인지 평가하기 위해.
• FL 구현에서 프라이버시와 정확도 사이의 균형을 정량적 트레이드오프를 통해 기반을 마련하기 위해.

제안 방법

• 저자는 클라이언트 측 학습 중 업데이트되는 BN 통계치를 고려한 새로운 기울기 역전 공격를 설계하여 실제 FL 시나리오에 적용 가능하도록 한다.
• 재구성된 기울기에서의 데이터 泄露를 정량화하기 위해 SSIM, IIP 및 상대적 변화 지표(RDLV)를 사용하는 새로운 시각화 및 측정 프레임워크를 도입한다.
• 모델 업데이트에 캘리브레이션된 가우시안 노이즈 메커니즘을 적용하여 차별적 프라이버시(DP)의 영향을 평가하고, DP-SGD와 비교한다.
• 클라이언트가 BN 통계치를 업데이트하는 '학습 모드'로 학습하는 ResNet-18을 사용하여 의료 영상 분류 작업에서 실험을 수행한다.
• 대용량 배치 크기와 다수의 로컬 에포크를 포함한 현실적인 조건에서 서버 측 및 클라이언트 측 기울기 역전을 평가하는 프레임워크를 구축한다.
• 깊은 특징 임bedding을 사용하여 재구성 품질을 분석하고, 다양한 공격 및 방어 설정 간 결과를 비교한다.

실험 결과

연구 질문

• RQ1 배치 정규화 통계치가 학습 중 업데이트되는 현실적인 분산학습 환경에서 기울기 역전 공격가 얼마나 성공하는가?
• RQ2 실제 FL 구현에서 모델 기울기에서 발생하는 데이터 泄露를 어떻게 정량적으로 측정하고 시각화할 수 있는가?
• RQ3 실세계 FL 시나리오에서 기울기 역전 공격를 완화하는 데 차별적 프라이버시(DP)와 FedBN의 효과는 어떠한가?
• RQ4 대용량 배치 크기와 다수의 로컬 학습 반복과 같은 일반적인 FL 관행이 기울기 역전 위험을 본질적으로 감소시키는가?
• RQ5 SSIM, IIP 및 RDLV와 같은 정성적·정량적 지표가 재구성된 이미지에서 데이터 泄露를 신뢰성 있게 탐지하거나 배제할 수 있는가?

주요 결과

• 클라이언트가 학습 중에 배치 정규화(BN) 통계치를 업데이트하는 현실적인 FL 환경에서는 기울기 역전 공격가 실패하며, 이로 인해 이전의 공격가 무력화된다.
• 제안된 기준 공격는 BN 통계치가 업데이트되지 않을 때에만 학습 데이터를 성공적으로 복구하며, 이는 BN 업데이트 행동이 공격 타당성에 결정적인 요소임을 시사한다.
• 캘리브레이션된 가우시안 노이즈를 사용한 차별적 프라이버시(DP)는 데이터 泄露를 크게 감소시키지만, 높은 노이즈 수준은 모델 정확도에 명백한 저하를 초래한다.
• DP-SGD는 단순한 DP보다 더 강력한 보호를 제공하지만, 성능 저하 비용이 더 크므로 프라이버시와 유효성 사이의 트레이드오프를 보여준다.
• 높은 SSIM 값이지만 낮은 IIP 점수를 가진 재구성된 이미지는 식별 가능하거나 의미적으로 유의미한 정보를 포함하지 않으며, 이는 높은 유사도 지표에도 불구하고 실제 데이터 泄露가 제한적임을 시사한다.
• 현재의 지표인 SSIM은 오해의 소지가 있을 수 있으며, 깊은 특징 기반 유사도 측정법이 데이터 泄루 리스크 평가에 더 신뢰할 수 있음을 밝혀냈다.