[논문 리뷰] Federated Model Distillation with Noise-Free Differential Privacy

Lichao Sun, Lingjuan Lyu|arXiv (Cornell University)|2020. 09. 11.

Privacy-Preserving Technologies in Data참고 문헌 17인용 수 25

한 줄 요약

이 논문은 임의의 샘플링을 통해 노이즈 없는 차별적 보안(Noise-Free Differential Privacy, NFDP)을 달성하는 피어드 모델 디스틸레이션 프레임워크인 FedMD-NFDP를 제안한다. 이는 명시적인 노이즈 추가 없이도 $(\epsilon,\delta)$-차별적 보안을 달성하며, 이는 이질적인 모델 아키텍처와 데이터 분포에서 높은 통신 효율성과 최소한의 유틸리티 손실로 강력한 프라이버시 보장을 가능하게 한다.

ABSTRACT

Conventional federated learning directly averages model weights, which is only possible for collaboration between models with homogeneous architectures. Sharing prediction instead of weight removes this obstacle and eliminates the risk of white-box inference attacks in conventional federated learning. However, the predictions from local models are sensitive and would leak training data privacy to the public. To address this issue, one naive approach is adding the differentially private random noise to the predictions, which however brings a substantial trade-off between privacy budget and model performance. In this paper, we propose a novel framework called FEDMD-NFDP, which applies a Noise-Free Differential Privacy (NFDP) mechanism into a federated model distillation framework. Our extensive experimental results on various datasets validate that FEDMD-NFDP can deliver not only comparable utility and communication efficiency but also provide a noise-free differential privacy guarantee. We also demonstrate the feasibility of our FEDMD-NFDP by considering both IID and non-IID setting, heterogeneous model architectures, and unlabelled public datasets from a different distribution.

연구 동기 및 목표

• 모델 예측을 공유할 경우 학습 데이터 폭 lộ 위험을 완화하기 위해 피어드 모델 디스틸레이션의 프라이버시 유출 위험을 해결한다.
• 예측에 차별적 보안 노이즈를 추가할 경우 발생하는 프라이버시와 유틸리티 간의 상충 관계를 극복한다.
• 명시적인 노이즈 주입 없이도 임의의 샘플링을 통해 본질적으로 프라이버시를 보장하는 노이즈 없는 차별적 보안 메커니즘을 개발한다.
• 이질적인 모델 아키텍처와 비IIDs 데이터 분포에서도 강력한 프라이버시를 유지하면서 피어드 모델 디스틸레이션을 가능하게 한다.
• 실세계 피어드 학습 환경에서 NFDP의 실현 가능성과 효과성을 입증한다. 이는 소수의 샘플 학습 및 반감독 학습을 포함한다.

제안 방법

• 모델 예측에 노이즈를 추가하는 대신, 비공개 데이터의 임의 샘플링에 기반한 새로운 노이즈 없는 차별적 보안(NFDP) 메커니즘을 제안한다.
• 클라이언트가 모델 가중치 대신 공개된 비라벨 데이터셋에 대한 디스틸된 예측을 서버에 공유하는 피어드 모델 디스틸레이션(FedMD)에 NFDP를 적용한다.
• 표본 추출이 중복 여부에 관계없이 $(\epsilon,\delta)$-차별적 보안을 만족함을 엄밀히 증명하기 위해 중복 허용 및 중복 불허용 샘플링 전략을 모두 활용한다.
• 이중 단계 학습 프로세스를 적용한다: 첫 번째 단계에서는 각 클라이언트가 공개 데이터셋에서의 공개 로짓에 모델을 정렬하고, 두 번째 단계에서는 비공개 데이터에서 미세조정한다.
• 샘플링의 프라이버시 강화 효과를 활용하여, 각 커뮤니케이션 라운드에서 비공개 샘플의 수를 적게 유지함으로써 프라이버시 예산을 강화한다.
• NFDP 메커니즘을 피어드 디스틸레이션 파이프라인에 통합하여, 서버에 공유되는 예측이 성능 저하 없이 프라이버시 보호를 받도록 보장한다.

실험 결과

연구 질문

• RQ1 비공개 데이터의 임의 샘플링만으로도 피어드 모델 디스틸레이션 환경에서 이론적으로 타당한 차별적 보안 보장을 제공할 수 있는가?
• RQ2 제안된 노이즈 없는 차별적 보안(NFDP) 메커니즘이 명시적인 노이즈 추가 없이도 강력한 프라이버시와 유틸리티를 유지할 수 있는가?
• RQ3 기존의 노이즈 기반 프라이버시 보장 방법과 비교했을 때, FedMD-NFDP는 비IIDs 및 이질적인 모델 환경에서 어떻게 성능을 발휘하는가?
• RQ4 NFDP는 비공개 데이터가 극히 소수인 소수 샘플 학습 및 반감독 학습 환경에 효과적으로 적용될 수 있는가?
• RQ5 다양한 데이터셋과 모델 아키텍처에서 FedMD-NFDP의 통신 효율성과 유틸리티 간의 상충 관계는 어떠한가?

주요 결과

• 제안된 NFDP 메커니즘은 중복 허용 및 중복 불허용 샘플링 모두에서 노이즈 추가 없이도 $(\epsilon,\delta)$-차별적 보안을 본질적으로 보장한다.
• FedMD-NFDP는 각 라운드당 클라이언트가 몇 개의 비공개 샘플만 사용하더라도 비공개 기반 베이스라인과 유사한 모델 유틸리티를 달성한다.
• IID 및 비IIDs 데이터 분포 전반에서 강력한 프라이버시 보장을 유지하며, 데이터 이질성에 대한 강건성을 입증한다.
• 다양한 벤치마크 데이터셋에서의 실험 결과, FedMD-NFDP는 기존의 노이즈 추가 기반 접근 방식보다 프라이버시-유틸리티 트레이드오프 측면에서 뛰어나며, 이전 연구에서 관찰된 성능 저하를 피한다.
• 이 방법은 이질적인 모델 아키텍처와 서로 다른 분포의 라벨이 없는 공개 데이터셋을 지원하여 일반화 능력과 실용성을 확인한다.
• 샘플링으로 인한 강력한 프라이버시 강화 덕분에, 비공개 샘플이 극히 소수인 소수 샘플 학습 및 반감독 학습 작업에도 적용 가능하다.