[논문 리뷰] Rethinking Privacy Preserving Deep Learning: How to Evaluate and Thwart Privacy Attacks

Lixin Fan, Kam Woh Ng외 5명|arXiv (Cornell University)|2020. 06. 20.

Privacy-Preserving Technologies in Data참고 문헌 21인용 수 6

한 줄 요약

이 논문은 재구성, 추적 및 멤버십 공격에 대비해 프라이버시 보호를 향상시키기 위해 새로운 비밀 극성 네트워크(SPN)를 제안한다. 재구성 공격를 노이즈가 있는 선형 방정식계를 푸는 것으로 수식화하고 핵심 조건을 무효화함으로써 SPN은 강력한 공격 조건에서도 기준선 대비 5–20% 향상된 모델 정확도를 확보하면서 프라이버시를 보장한다.

ABSTRACT

This paper investigates capabilities of Privacy-Preserving Deep Learning (PPDL) mechanisms against various forms of privacy attacks. First, we propose to quantitatively measure the trade-off between model accuracy and privacy losses incurred by reconstruction, tracing and membership attacks. Second, we formulate reconstruction attacks as solving a noisy system of linear equations, and prove that attacks are guaranteed to be defeated if condition (2) is unfulfilled. Third, based on theoretical analysis, a novel Secret Polarization Network (SPN) is proposed to thwart privacy attacks, which pose serious challenges to existing PPDL methods. Extensive experiments showed that model accuracies are improved on average by 5-20% compared with baseline mechanisms, in regimes where data privacy are satisfactorily protected.

연구 동기 및 목표

• 재구성, 추적 및 멤버십 공격를 포함한 다양한 유형의 공격에 대해 프라이버시 보존 딥 러닝(PPDL) 메커니즘을 객관적으로 평가하기 위해.
• 프라이버시 손실과 모델 유틸리티(정확도) 간의 트레이드오프를 프라이버시 보존 특성(PPC) 곡선과 校정된 평균 성능(CAP) 메트릭을 사용해 정량화하기 위해.
• 차별적 프라이버시와 기울기 희소화와 같은 기존 PPDL 방법들이 강력한 이론적 프라이버시 보장을 제공함에도 불구하고 고해상도 데이터 재구성을 방지하지 못하는 한계를 해결하기 위해.
• 모델 정확도를 향상시키고 프라이버시 공격을 동시에 방어하기 위해 적응형 비밀 기울기 조절을 통해 작동하는 새로운 방어 메커니즘인 비밀 극성 네트워크(SPN)를 설계하기 위해.
• 정리 2.1의 조건 (2)가 무효화되면 재구성 공격가 실패할 것임을 이론적으로 증명함으로써 PPDL의 강건성 평가를 위한 새로운 기반을 마련하기 위해.

제안 방법

• 재구성 공격를 노이즈가 있는 선형 방정식계를 푸는 것으로 수식화하여 공격의 가능성을 이론적으로 분석할 수 있도록 한다.
• 모델 훈련을 정규화하고 일반화 능력을 향상시키기 위해 극성 손실 항목을 도입하며, 이는 프라이버시를 훼손하지 않고도 정확도를 향상시킨다.
• 비밀 극성 네트워크(SPN)를 제안하며, 연합 훈련 중 공유 기울기에 원소별로 적응형이자 비밀스러운 기울기를 추가한다.
• CAP 점수를 사용한 校정된 평가 프로토콜을 활용하여 다양한 PPDL 메커니즘 간의 프라이버시-유용성 트레이드오프를 객관적으로 비교한다.
• 정리 2.1의 이론적 조건 (2)를 검증하여, 이 조건이 위반되면 재구성 공격가 반드시 실패함을 입증한다.
• 합성 및 실세계 데이터셋(CIFAR10, CIFAR100, SVHN, MNIST)을 모두 사용하여 공격 배치 크기와 프라이버시 예산이 다양한 조건에서의 성능을 평가한다.

실험 결과

연구 질문

• RQ1 재구성, 추적 및 멤버십 공격 조건 하에서 PPDL의 정확도와 프라이버시 손실 간의 트레이드오프를 객관적으로 정량화할 수 있는가?
• RQ2 기존의 PPDL 방법들인 차별적 프라이버시와 기울기 희소화가 훈련 데이터의 픽셀 수준 재구성을 방지하지 못하는 정도는 어느 정도인가?
• RQ3 모델 정확도를 향상시키고 동시에 여러 유형의 프라이버시 공격을 방어할 수 있는 새로운 방어 메커니즘을 설계할 수 있는가?
• RQ4 딥 러닝 환경에서 재구성 공격가 실패하도록 보장하기 위해 어떤 이론적 조건을 무효화해야 하는가?
• RQ5 SPN의 비트 수가 보호 강도와 모델 유틸리티에 어떤 영향을 미치는가?

주요 결과

• 제안된 SPN 메커니즘은 동일한 프라이버시 보호 수준에서 기준선 PPDL 및 차별적 프라이버시 방법 대비 평균 5–20% 향상된 모델 정확도를 확보하였다.
• 모든 데이터셋에서 DP-0.1 및 PPDL-0.05보다 높은 校정된 평균 성능(CAP) 점수를 확보하여 프라이버시-유용성 트레이드오프 측면에서 열등함을 입증하였다.
• 100명의 클라이언트가 있는 CIFAR10에서 F-SPN-0.1은 DP-0.1과 유사한 프라이버시 보장을 유지하면서 테스트 정확도에서 25% 향상된 성능을 보였다.
• 이론적 분석을 통해 정리 2.1의 조건 (2)가 무효화되면 재구성 공격가 반드시 실패함을 입증하였으며, 이는 PPDL 강건성 평가를 위한 새로운 기준을 제공한다.
• SPN의 비트 수를 32에서 128로 증가시켰을 때 ||B_I||/||E_B|| 비율이 증가하고 보호 강도(rMSE)가 향상되어 비트 정밀도와 프라이버시 내성 간의 직접적인 연관성을 입증하였다.
• 가우시안 노이즈를 라플라스 노이즈로 대체했을 때도 거의 동일한 보호 강도와 ||B_I||/||E_B|| 비율을 확보하여 동일한 스케일에서 두 노이즈 유형이 유사한 효과를 가짐을 시사하였다.