[논문 리뷰] Scalable Differential Privacy with Certified Robustness in Adversarial Learning

Hai Thanh Phan, My T. Thai외 4명|arXiv (Cornell University)|2019. 03. 23.

Adversarial Robustness in Machine Learning인용 수 23

한 줄 요약

이 논문은 스케일러블한 차별적 비밀유지 적대적 학습 프레임워크인 StoBatch를 제안한다. 이는 동시에 비밀유지, 인증 가능 견고성, 높은 모델 유틸리티를 보장한다. 입력 공간과 잠재 공간에 노이즈를 주입하고 차별적 비밀유지에서의 순차적 조합을 활용하여 StoBatch는 더 날카운드한 견고성 경계를 달성하고 대규모 DNN에 대한 효율적인 스트로스틱 배치 학습을 가능하게 하며, 강력한 적대적 공격 하에서 MNIST, CIFAR-10, Tiny ImageNet에서 이전 방법들보다 정확도와 확장성 면에서 뛰어나다.

ABSTRACT

In this paper, we aim to develop a scalable algorithm to preserve differential privacy (DP) in adversarial learning for deep neural networks (DNNs), with certified robustness to adversarial examples. By leveraging the sequential composition theory in DP, we randomize both input and latent spaces to strengthen our certified robustness bounds. To address the trade-off among model utility, privacy loss, and robustness, we design an original adversarial objective function, based on the post-processing property in DP, to tighten the sensitivity of our model. A new stochastic batch training is proposed to apply our mechanism on large DNNs and datasets, by bypassing the vanilla iterative batch-by-batch training in DP DNNs. An end-to-end theoretical analysis and evaluations show that our mechanism notably improves the robustness and scalability of DP DNNs.

연구 동기 및 목표

• 깊은 신경망이 동시에 비밀유지(차별적 비밀유지에 의해)되고 적대적 예제에 대해 견고하도록 하는 열린 과제를 해결하기 위해.
• 기존 DP 메커니즘이 적대적 학습 중에 비밀유지된 학습 데이터를 보호하지 못하는 한계를 극복하기 위해, 특히 적대적 예제가 비밀유지된 데이터에서 유도될 경우에 대해.
• 전역 감도를 강화하는 새로운 적대적 목적 함수를 통해 모델 유틸리티, 비밀유지 손실, 견고성 간의 상충 관계를 효과적으로 관리하기 위해.
• 반복적인 배치별 학습에 의존하지 않고 대규모 데이터셋에서 비밀유지되고 견고한 모델의 확장 가능한 학습을 가능하게 하기 위해.
• 입력 공간과 잠재 공간의 노이즈 메커니즘을 조합함으로써 차별적 비밀유지와 인증 가능 견고성 간의 이론적 연결을 수립하기 위해.

제안 방법

• 차별적 비밀유지에서의 순차적 조합을 활용하여 입력 공간과 은닉(잠재)층에 모두 비밀유지 노이즈를 주입함으로써 모델 파라미터 학습 시 비밀유지를 보장한다.
• 후처리 불변성에 기반한 새로운 DP-적대적 목적 함수를 도입하여 전역 감도를 강화하고 이전 연구 대비 노이즈 주입을 감소시킨다.
• 서로 다른 고정된 데이터 배치를 국부 트레이너에 할당하는 스트로스틱 배치 학습 메커니즘을 활용하여 동기화된 기울기 집계와 배치 간 효율적인 적대적 예제 생성을 가능하게 한다.
• 순차적 조합 이론을 활용하여 일반화된 견고성 경계를 유도하며, 입력 공간과 잠재 공간의 노이즈 주입에서 유도된 견고성을 조합함으로써 단일 공간 경계를 초월하는 성능 향상을 이룬다.
• 학습 단계 간 비밀유지 예산 축적을 방지하기 위해 에포크 동안 고정된 데이터 분할을 사용하여 엄밀한 비밀유지 회계를 보장한다.
• 비밀유지된 정상 데이터에서 유도된 DP-적대적 예제를 사용한 앙상블 적대적 학습을 적용하여 비밀유지 조건 하에서 결정 경계의 견고성을 향상시킨다.

실험 결과

연구 질문

• RQ1 적대적 딥 뉴럴 네트워크에서 비밀유지와 인증 가능 견고성을 동시에 달성하면서 모델 유틸리티를 손상시키지 않을 수 있는가?
• RQ2 적대적 예제가 비밀유지된 학습 데이터에서 유도될 경우 비밀유지와 견고성을 동시에 유지할 수 있는가?
• RQ3 새로운 적대적 목적 함수를 통해 비밀유지 손실, 견고성, 모델 정확도 간의 상충 관계를 효과적으로 관리할 수 있는가?
• RQ4 반복적인 배치별 학습에 의존하지 않고 대규모 DNN과 데이터셋에 대해 차별적 비밀유지 적대적 학습을 확장할 수 있는가?
• RQ5 딥 뉴럴 네트워크에서 차별적 비밀유지 메커니즘과 인증 가능 견고성 간의 이론적 연결은 무엇인가?

주요 결과

• StoBatch는 ε=1.0일 때 MNIST에서, ε=2.0일 때 CIFAR-10에서 강력한 반복 공격(예: I-FGSM, MIM) 하에서도 최대 90%의 인증 가능 정확도를 달성한다.
• CIFAR-10 데이터셋에서 StoBatch는 ε=2.0일 때 1,000단계 적대적 공격(예: Madry et al.) 하에서도 80% 이상의 전통적 정확도를 유지하며 강력한 견고성을 보여준다.
• 이 방법은 대규모 모델과 데이터셋으로도 효과적으로 확장되며, ε=5.0일 때 Tiny ImageNet에서 높은 성능을 달성하여 실세계 환경에 대한 실용성을 입증한다.
• 제안된 스트로스틱 배치 학습은 이전 DP-DNN 방법의 반복적 배치별 처리 병목 현상을 피함으로써 효율적이고 분산된 학습을 가능하게 한다.
• 이론적 분석은 고정된 데이터 분할 덕분에 학습 단계 간 비밀유지 예산이 축적되지 않음을 확인하며, 더 엄밀한 비밀유지 회계를 가능하게 한다.
• 순차적 조합을 통해 유도된 일반화된 견고성 경계는 입력 공간 또는 잠재 공간 노이즈만 고려하는 이전 경계를 초월하여 더 강력한 인증 보장을 제공한다.