[논문 리뷰] Scalable Private Learning with PATE

Nicolas Papernot, Shuang Song외 4명|arXiv (Cornell University)|2018. 02. 24.

Privacy-Preserving Technologies in Data참고 문헌 31인용 수 247

한 줄 요약

이 논문은 Gaussian-noise GNMax와 선택적 집계기(Confident-GNMax 및 Interactive-GNMax)를 사용하여 PATE를 대규모 출력 공간으로 확장하고, 큰 규모의 Glyph 작업에서 매우 강력한 프라이버시(ε < 1.0)와 높은 유용성을 달성합니다.

ABSTRACT

The rapid adoption of machine learning has increased concerns about the privacy implications of machine learning models trained on sensitive data, such as medical records or other personal information. To address those concerns, one promising approach is Private Aggregation of Teacher Ensembles, or PATE, which transfers to a "student" model the knowledge of an ensemble of "teacher" models, with intuitive privacy provided by training teachers on disjoint data and strong privacy guaranteed by noisy aggregation of teachers' answers. However, PATE has so far been evaluated only on simple classification tasks like MNIST, leaving unclear its utility when applied to larger-scale learning tasks and real-world datasets. In this work, we show how PATE can scale to learning tasks with large numbers of output classes and uncurated, imbalanced training data with errors. For this, we introduce new noisy aggregation mechanisms for teacher ensembles that are more selective and add less noise, and prove their tighter differential-privacy guarantees. Our new mechanisms build on two insights: the chance of teacher consensus is increased by using more concentrated noise and, lacking consensus, no answer need be given to a student. The consensus answers used are more likely to be correct, offer better intuitive privacy, and incur lower-differential privacy cost. Our evaluation shows our mechanisms improve on the original PATE on all measures, and scale to larger tasks with both high utility and very strong privacy ($\varepsilon$ &lt; 1.0).

연구 동기 및 목표

• 민감한 데이터의 ML에서 프라이버시 우려를 해결하기 위해 PATE를 대규모 클래스와 선별되지 않은 데이터셋으로 확장합니다.
• 새로운 노이즈가 있는 집계 메커니즘을 개발하고 분석하여 프라이버시 보장과 유용성을 향상시킵니다.
• GNMax의 가우시안 노이즈에 대해 Rényi Differential Privacy를 이용한 데이터 의존 프라이버시 계정정책을 제공합니다.
• 불균형하고 잘못 라벨링된 데이터가 포함된 대규모 Glyph 작업에서 실용성을 입증합니다.

제안 방법

• 교사 투표 수에 가우시안 노이즈를 추가하고 가장 큰 노이즈가 붙은 표를 얻은 클래스를 선택하는 방식으로 Gaussian NoisyMax (GNMax) 집계를 도입합니다.
• GNMax에 대한 데이터 의존적 Rényi 차등 프라이버시 분석을 제공하여 쿼리당 프라이버시 보장을 더 엄밀하게 얻기 위해
• 강한 합의를 비공개로 확인한 후 응답하는 Confident-GNMax를 개발하고 불확실한 쿼리를 건너뛰어 프라이버시 예산을 절약할 수 있습니다.
• 학생 예측을 포함하여 응답 여부를 결정하거나 학생의 예측을 강화하는 Interactive-GNMax를 개발합니다.
• 여러 쿼리와 작업에 걸친 누적 프라이버시 손실을 제한하기 위해 프라이버시 구성 프레임워크(Rényi DP)를 사용합니다.
• 개출류 Glyph 데이터셋 150개 출력 클래스로 확장된 대규모의 선별되지 않은 Glyph 데이터셋에 대한 평가를 확장하여 프라이버시-유용성 트레이드오프를 평가합니다.

실험 결과

연구 질문

• RQ1 강한 프라이버시 보장을 유지하면서 출력 클래스 수가 많고 정제되지 않으며 불균형한 데이터에 대해 PATE가 확장되어 이러한 작업에 적용될 수 있습니까?
• RQ2 가우시안 노이즈 기반의 GNMax와 선택적 집계기가 원래의 Laplace 기반 LNMax에 비해 프라이버시 비용과 모델 유용성을 개선합니까?
• RQ3 GNMax에서 Rényi DP를 통한 데이터 의존적 프라이버시 분석이 타이트한 프라이버시 경계를 얻는 데 얼마나 효과적입니까?
• RQ4 Glyph와 같은 현실적이고 대규모 분류 작업에서 ε ≈ 1로 높은 정확도를 달성할 수 있습니까?

주요 결과

• Gaussian GNMax는 LNMax에 비해 필요한 노이즈 규모를 줄이고 쿼리당 프라이버시 비용을 더 엄밀하게 만듭니다.
• 데이터 의존적 RDP 분석은 현실적인 δ에서 쿼리당 ε를 1 미만으로 크게 낮추어 전체 프라이버시 비용을 개선합니다.
• Confident-GNMax와 Interactive-GNMax는 쿼리에 선택적으로 응답하여 라벨링 쿼리의 수를 줄이고 프라이버시-유용성 트레이드오프를 개선합니다.
• MNIST, SVHN, UCI Adult, 및 Glyph에 대한 실험은 프라이버시와 정확도가 향상되었음을 보여주며, Glyph은 출력 클래스 150개까지 확장성과 잘못 라벨링 및 불균형에 대한 강건성을 입증합니다.
• Glyph 작업에서 VAT 기반의 준지도 학습은 PATE 프레임워크 하에 강력한 유용성을 제공합니다.