[논문 리뷰] Generalization in Generative Adversarial Networks: A Novel Perspective from Privacy Protection

Bingzhe Wu, Shiwan Zhao외 6명|arXiv (Cornell University)|2019. 08. 21.

Privacy-Preserving Technologies in Data참고 문헌 32인용 수 25

한 줄 요약

이 논문은 GAN의 일반화와 개인정보 보호 간의 새로운 이론적 및 실증적 연관성을 수립하며, 미분적 비밀보장과 리프시츠 정규화가 일반화 갭과 정보 泄露를 모두 감소시킨다는 것을 보여준다. 스펙트럼 정규화와 가중치 클리핑과 같은 기법들이 회원성 공격 성공률을 크게 낮춘다는 것을 입증함으로써, 향상된 일반화가 본질적으로 프라이버시를 향상시킨다는 것을 확인한다.

ABSTRACT

In this paper, we aim to understand the generalization properties of generative adversarial networks (GANs) from a new perspective of privacy protection. Theoretically, we prove that a differentially private learning algorithm used for training the GAN does not overfit to a certain degree, i.e., the generalization gap can be bounded. Moreover, some recent works, such as the Bayesian GAN, can be re-interpreted based on our theoretical insight from privacy protection. Quantitatively, to evaluate the information leakage of well-trained GAN models, we perform various membership attacks on these models. The results show that previous Lipschitz regularization techniques are effective in not only reducing the generalization gap but also alleviating the information leakage of the training dataset.

연구 동기 및 목표

• GAN의 일반화와 개인정보 보호 간의 이론적 및 실증적 관계를 조사하는 것.
• 일반화 갭을 줄임으로써 훈련 데이터에서의 정보 유출이 본질적으로 제한된다는 직관을 검증하는 것.
• 리프시츠 정규화 및 베이지안 GAN과 같은 기존 GAN 훈련 기법들을 개인정보 보호 관점에서 재해석하는 것.
• 다양한 GAN 아키텍처와 정규화 방법에 대해 회원성 공격를 통해 정보 유출을 정량적으로 평가하는 것.

제안 방법

• 안정성 기반 일반화 경계를 이용한 이론적 분석은, 미분적 비밀보장 훈련이 과적합을 방지함을 보여준다.
• 실증적 평가는 정보 유출을 측정하기 위해 회원성 공격를 활용하며, 공격 모델은 샘플이 훈련 세트에 포함되었는지 여부를 추론한다.
• 가중치 클리핑, 스펙트럼 정규화, 옥토노르말 정규화와 같은 다양한 정규화 기법을 사용해 다양한 GAN 변종을 훈련시킨다.
• 보조 데이터(훈련 및 테스트 세트의 30%)를 사용하여 블랙박스 회원성 공격를 시뮬레이션하여 디스커미네이터를 모의하고 강건성을 평가한다.
• 일반화 갭은 훈련 데이터와 테스트 데이터에서의 모델 성능 차이를 통해 정량화되며, 이는 공격 AUC 점수와 연결된다.
• 실험은 LFW 및 IDC 데이터셋과 다양한 정규화 전략에 대해 공격 성능(AUC, F1)을 비교하여 프라이버시-유용성 트레이드오프를 평가한다.

실험 결과

연구 질문

• RQ1 미분적 비밀보장과 리프시츠 정규화는 GAN에서 일반화 향상과 정보 유출 감소와 이론적으로 연결될 수 있는가?
• RQ2 스펙트럼 정규화와 같은 기존 정규화 기법들이 일반화 갭과 회원성 공격 성공률을 어느 정도 감소시키는가?
• RQ3 데이터셋 유사성(예: IDC의 낮은 표준편차 대비 LFW)은 GAN에 대한 회원성 공격의 효과성에 어떤 영향을 미치는가?
• RQ4 부분적인 데이터만 이용할 경우 블랙박스 회원성 공격가 훈련 소속성을 효과적으로 추론할 수 있는가?

주요 결과

• 원본 GAN의 LFW에서 회원성 공격 AUC는 0.729였고, IDC에서는 0.531로 감소하여, 더 높은 이미지 유사성이 정보 유출을 감소시킴을 시사한다.
• 스펙트럼 정규화는 LFW에서 공격 AUC를 0.497로 감소시키고 F1을 0.347로 낮춰 강력한 개인정보 보호 효과를 보였다.
• 가중치 클리핑은 공격 AUC를 0.502로, F1을 0.358로 낮춰 중간 정도의 개인정보 보호 효과를 보였다.
• 직교 정규화는 IDC에서 F1 점수 0.402를 기록하여 스펙트럼 정규화와 유사한 성능을 보였고, 원본 가중치 정규화는 모드 붕괴로 인해 실패했다.
• 블랙박스 공격는 화이트박스 공격보다 성능이 떨어졌으며, 원본 GAN에서 AUC는 0.729에서 0.549로 감소하여 공격의 어려움이 증가함을 확인했다.
• 결과는 정규화를 통한 일반화 갭 감소가 정보 유출 감소와도 연결됨을 검증하며, 프라이버시-일반화 이중성 이론을 지지한다.