[논문 리뷰] Synthetic Query Generation for Privacy-Preserving Deep Retrieval Systems using Differentially Private Language Models

Aldo Gael Carranza, Rezsa Farahani외 4명|arXiv (Cornell University)|2023. 05. 10.

Privacy-Preserving Technologies in Data인용 수 5

한 줄 요약

이 논문은 딥 리트리ieval 시스템을 훈련하기 전에 사용자 쿼리 프라이버시를 보존하는 방식으로, 차별적 프라이버시를 적용한 언어 모델(DP-LM)을 사용해 합성 쿼리를 생성하는 방법을 제안한다. 원본 데이터 대신 이러한 프라이버시 보장이 된 합성 쿼리를 사용해 리트리ieval 모델을 훈련시킴으로써, 직접 DP-훈련을 수행하는 것보다 훨씬 뛰어난 리트리ieval 성능을 달성하면서도 강력한 쿼리 수준의 프라이버시 보장을 유지한다.

ABSTRACT

We address the challenge of ensuring differential privacy (DP) guarantees in training deep retrieval systems. Training these systems often involves the use of contrastive-style losses, which are typically non-per-example decomposable, making them difficult to directly DP-train with since common techniques require per-example gradients. To address this issue, we propose an approach that prioritizes ensuring query privacy prior to training a deep retrieval system. Our method employs DP language models (LMs) to generate private synthetic queries representative of the original data. These synthetic queries can be used in downstream retrieval system training without compromising privacy. Our approach demonstrates a significant enhancement in retrieval quality compared to direct DP-training, all while maintaining query-level privacy guarantees. This work highlights the potential of harnessing LMs to overcome limitations in standard DP-training methods.

연구 동기 및 목표

• 비예시 기반 분해 불가능한 대조 손실을 사용하는 딥 리트리ieval 시스템에 차별적 프라이버시(DP)를 적용하는 데 도전하는 것.
• 모델 훈련 이전에 프라이버시 보호를 상류로 이동시켜, DP 제약 조건 하에서 리트리ieval 시스템의 유용성을 향상시키는 것.
• DP-튜닝된 언어 모델이 생성한 합성 데이터가 직접 DP-훈련보다 프라이버시 및 리트리ieval 성능 측면에서 뛰어나지 못할지 탐색하는 것.
• 특히 비분해 가능한 손실을 가진 시스템에서 쿼리 수준의 프라이버시를 유지하면서 리트리ieval 품질을 손상시키지 않는 것.

제안 방법

• 원본 사용자 쿼리에 대해 차별적 프라이버시(DP)로 대규모 언어 모델(LM)을 훈련시어 프라이버시 보장된 합성 쿼리를 생성한다.
• DP-튜닝된 LM을 사용해 원본 데이터 분포를 대표하는 쿼리-문서 쌍의 합성 데이터셋을 생성한다.
• 원본 비공개 데이터 대신 합성 데이터셋을 사용해 최종 딥 리트리ieval 시스템을 훈련시켜, 구조적으로 쿼리 수준의 프라이버시 보장을 확보한다.
• 사전 훈련된 LM의 일반화 능력을 활용해 공공 지식을 통합함으로써 합성 데이터 품질과 최종 모델의 유용성을 향상시킨다.
• 비분해 가능한 손실에서의 각 예제 기반 기울기 계산의 민감도 문제를 피하기 위해, 합성 데이터에 표준 대조 손실 훈련을 적용한다.
• 특히 고에프실론 설정에서 DP 보장을 실증적으로 검증하기 위해 캐니 토론 공격을 사용해 프라이버시 泄露를 평가한다.

Figure 1: Illustration of approach.

실험 결과

연구 질문

• RQ1 DP-튜닝된 언어 모델을 통해 생성한 합성 쿼리를 사용하면, 직접 DP-훈련한 딥 리트리ieval 모델보다 더 뛰어난 리트리ieval 성능을 달성할 수 있는가?
• RQ2 훈련 이전에 프라이버시 보장된 합성 쿼리를 생성하는 것이, 비예시 기반 분해 불가능한 손실을 가진 시스템에서 강력한 쿼리 수준의 프라이버시 보장을 가능하게 하는가?
• RQ3 동일한 프라이버시 예산을 가진 경우, DP로 생성된 합성 데이터를 기반으로 훈련된 리트리ieval 모델의 유용성은 직접 DP-SGD로 훈련된 모델보다 어떻게 비교되는가?
• RQ4 DP-튜닝된 언어 모델이 얼마나 많은 개인 정보를 泄露하는가? 이를 캐니 토론 공격으로 측정한 결과는 어떠한가?

주요 결과

• 제안된 방법은 동일한 프라이버시 예산 하에서도 직접 DP-훈련보다 훨씬 뛰어난 리트리ieval 품질을 달성한다. 이는 더 높은 품질의 합성 쿼리 덕분이다.
• 에프실론 16일 때, DP-튜닝된 언어 모델은 캐니를 노출시키지 않아 약 0.015의 하한값을 가지며, 강력한 실증적 프라이버시 보장을 나타낸다.
• 에프실론 16일 때, 10번 반복된 캐니가 유출되지 않았고, 100번 반복된 캐니 역시도 유출되지 않아 추론 공격에 대한 강건성을 입증했다.
• DP 없이 훈련한 경우, 10번 반복된 캐니의 67%와 100번 반복된 캐니의 100%가 노출되어, DP의 필요성을 확인했다.
• 이 방법은 대조 손실이나 기울기 계산 방식의 수정 없이도 효과적인 프라이버시 보호를 가능하게 하여, 이러한 모델에서 DP-훈련의 본질적 한계를 우회한다.
• 더 큰 언어 모델은 더 높은 품질의 합성 쿼리를 생성하지만, 이는 계산 비용 증가를 수반하므로 품질과 효율성 사이의 상충 관계를 시사한다.

Figure 2: Illustration of deep retrieval dual encoder model. Dashed lines connecting the encoders represent a shared encoder.