[논문 리뷰] InstaHide's Sample Complexity When Mixing Two Private Images

Baihe Huang, Zhao Song외 4명|arXiv (Cornell University)|2020. 11. 24.

Generative Adversarial Networks and Image Synthesis참고 문헌 19인용 수 4

한 줄 요약

이 논문은 두 개의 비공개 이미지가 혼합된 경우 InstaHide에서 모든 비공개 이미지를 복원할 수 있는 증명 가능하게 안전한 알고리즘을 제안하며, 샘플 복잡도를 최적화한 $ olimits_{ ext{priv}}\log n_{ ext{priv}}})$ 개의 샘플을 달성한다. 이는 InstaHide 공격을 분석하기 위한 통합 프레임워크를 도입하여, InstaHide가 정보론적으로는 안전하지 않지만 최악의 조건 하에서 계산적으로는 안전하다는 것을 입증한다.

ABSTRACT

Training neural networks usually require large numbers of sensitive training data, and how to protect the privacy of training data has thus become a critical topic in deep learning research. InstaHide is a state-of-the-art scheme to protect training data privacy with only minor effects on test accuracy, and its security has become a salient question. In this paper, we systematically study recent attacks on InstaHide and present a unified framework to understand and analyze these attacks. We find that existing attacks either do not have a provable guarantee or can only recover a single private image. On the current InstaHide challenge setup, where each InstaHide image is a mixture of two private images, we present a new algorithm to recover all the private images with a provable guarantee and optimal sample complexity. In addition, we also provide a computational hardness result on retrieving all InstaHide images. Our results demonstrate that InstaHide is not information-theoretically secure but computationally secure in the worst case, even when mixing two private images.

연구 동기 및 목표

• 두 개의 비공개 이미지가 혼합된 경우 InstaHide에서 비공개 이미지를 복원하기 위해 필요한 샘플 복잡도를 분석하는 것.
• 최소한의 샘플을 사용하여 모든 비공개 이미지를 복원할 수 있는 증명 가능하게 올바른 알고리즘을 개발하는 것.
• 기존 InstaHide 공격을 비교하기 위한 통합 프레임워크를 수립하고, 그들의 구조적 유사점과 차이점을 규명하는 것.
• 핵심 복원 문제의 계산적 난이도를 증명하여, 표준 복잡도 가정 하에 효율적인 알고리즘이 존재할 가능성이 낮다는 것을 보이는 것.

제안 방법

• 알고리즘은 비공개 이미지, 공개 이미지 및 부호 뒤집힌 혼합 이미지로 구성된 연립방정식을 해결하며, 모든 가능한 부호 패턴 조합을 샘플 간에 테스트한다.
• 관측된 혼합 이미지와의 부호 일致성 조건 하에, 각 픽셀에 대해 $ olimits_2$-회귀를 사용하여 비공개 이미지의 가중치를 추정한다.
• 핵심 단계로 혼합 데이터로부터 선 그래프를 재구성하여 공격를 그래프 이sovomorphism 문제와 연결한다.
• 모든 $2^m$개의 부호 조합을 $m$개의 샘플에 대해 체계적으로 검토하여 각 픽셀에 대한 일관된 해를 식별한다.
• 이론적 분석을 통해 숨겨진 부호가 있는 $ olimits_2$-회귀 문제를 MAX-CUT 문제로 환원하여 NP-난이도를 증명한다.
• 프레임워크를 통해 기존 공격를 그 기능적 구성 요소들(예: 그람 행렬 추정 및 부호 복원)으로 분해함으로써 비교 가능하게 한다.

실험 결과

연구 질문

• RQ1 두 비공개 이미지가 혼합된 경우 InstaHide에서 모든 비공개 이미지를 복원하기 위해 필요한 최소 샘플 수는 얼마인가?
• RQ2 제안된 알고리즘이 샘플 복잡도 측면에서 이전 이론적 한계에 비해 어떻게 향상되었는가?
• RQ3 InstaHide 혼합 모델 하에서 비공개 이미지를 복원하는 데 필요한 계산 복잡도는 무엇인가?
• RQ4 핵심 복원 문제는 MAX-CUT과 같은 알려진 난이도 높은 문제로 환원될 수 있는가?
• RQ5 기존 히ュ리스틱 공격는 제안된 증명 가능 방법과 비교해 구조적 및 기능적으로 어떻게 유사하거나 다를까?

주요 결과

• 제안된 알고리즘은 비공개 이미지 전체를 복원하는 데 단지 $ olimits_{ ext{priv}}\log n_{ ext{priv}}})$ 개의 샘플만을 사용하며, 단일 이미지를 복원하기 위한 이전의 $n_{ ext{priv}}^{4/3}$ 개의 샘플보다 크게 향상되었다.
• 샘플 복잡도는 로그 인자 수준에서 최적화되어 있으며, 이는 현재 설정 하에서 InstaHide가 정보론적으로는 안전하지 않음을 시사한다.
• 핵심 복원 문제는 MAX-CUT 문제로부터의 환원을 통해 NP-난이도로 증명되었으며, 계산적 난이도가 입증되었다.
• 알고리즘은 $n_{ ext{priv}}$에 대해 지수 시간 내에 실행되지만 $n_{ ext{pub}}$에 대해 다항식 시간 내에 실행되어 샘플 효율성과 계산 비용 사이의 트레이드오프를 드러낸다.
• 프레임워크는 기존 공격들이 특히 부호 패턴 처리 및 그람 행렬 추정 방식에서 구조적 유사성을 공유하고 있음을 드러냈다.
• 지수 시간 가정(ETH) 하에, 복원 문제에 대한 초지수 시간 알고리즘은 상수 요인 근사치를 달성할 수 없으며, 이는 계산적 안전성을 강화한다.