[논문 리뷰] Theory-Oriented Deep Leakage from Gradients via Linear Equation Solver.

Xudong Pan, Mi Zhang외 3명|arXiv (Cornell University)|2020. 10. 26.

Adversarial Robustness in Machine Learning참고 문헌 47인용 수 9

한 줄 요약

이 논문은 ReLU 활성화를 갖는 딥 네ural 네트워크에 대한 이론 기반 데이터 복원 공격을 제안하며, 기울기를 희소 선형 시스템으로 모델링한다. 고유하게 활성화된 뉴런이 샘플별 활성화 패턴을 분리할 수 있게 해주므로, 완전히 연결된 네트워크와 컨볼루션 네트워크에서 입력과 레이블을 거의 완벽하게 복원할 수 있으며, MSE 오차가 10^{-6} 이하이고 레이블 정확도가 99% 이상을 기록한다.

ABSTRACT

In this paper, we take a theory-oriented approach to systematically study the privacy properties of gradients from a broad class of neural networks with rectified linear units (ReLU), probably the most popular activation function used in current deep learning practices. By utilizing some intrinsic properties of neural networks with ReLU, we prove the existence of exclusively activated neurons is critical to the separability of the activation patterns of different samples. Intuitively, an activation pattern is like the fingerprint of the corresponding sample during the training process. With the separated activation patterns, we for the first time show the equivalence of data reconstruction attacks with a sparse linear equation system. In practice, we propose a novel data reconstruction attack on fully-connected neural networks and extend the attack to more commercial convolutional neural network architectures. Our systematic evaluations cover more than $10$ representative neural network architectures (e.g., GoogLeNet, VGGNet and $6$ more), on various real-world scenarios related with healthcare, medical imaging, location, face recognition and shopping behaviors. In the majority of test cases, our proposed attack is able to infer ground-truth labels in the training batch with near $100\%$ accuracy, reconstruct the input data to fully-connected neural networks with lower than $10^{-6}$ MSE error, and provide better reconstruction results on both shallow and deep convolutional neural networks than previous attacks.

연구 동기 및 목표

• ReLU 기반 딥 네럴 네트워크에서 기울기의 프라이버시 위험을 체계적으로 분석하기 위해.
• 기울기를 기반으로 한 데이터 복원이 가능한 이론적 조건을 규명하기 위해.
• 고정밀도 데이터 복원을 위한 활성화 패턴 분리 가능성을 활용한 새로운 확장 가능한 공격 방법을 개발하기 위해.
• 의료 영상 및 얼굴 인식을 포함한 다양한 실세계 데이터셋과 아키텍처에서 공격를 평가하기 위해.

제안 방법

• 이론적 분석을 통해 고유하게 활성화된 뉴런이 샘플 간 활성화 패턴을 분리하는 데 핵심적임을 규명한다.
• 논문은 데이터 복원과 기울기에서 파생된 희소 선형 방정식 시스템을 푸는 것 사이의 등가성을 수립한다.
• 기울기 정보를 사용하여 선형 방정식 시스템을 풀어 입력 복원을 공식화하는 새로운 공격 프레임워크를 제안한다.
• 아키텍처 인식 기반 기울기 분해를 통해 이 방법을 완전히 연결된 네트워크로 확장하고, GoogLeNet 및 VGGNet과 같은 컨볼루션 아키텍처에 적응시킨다.
• ReLU 네트워크의 내재적 특성을 활용하여 선형 시스템이 잘 정의되고 해를 구할 수 있음을 보장한다.
• 기울기를 역행하여 재구성된 입력과 레이블을 도출하기 위해 선형 방정식 해법기를 사용하여 공격를 구현한다.

실험 결과

연구 질문

• RQ1 ReLU 네트워크에서 기울기가 개별 학습 샘플에 대한 정보를 泄露할 수 있는 이론적 조건은 무엇인가?
• RQ2 활성화 패턴 분리 가능성이 데이터 복원을 위한 선형 시스템의 가시성과 공식적으로 연결될 수 있는가?
• RQ3 제안된 공격가 다양한 신경망 아키텍처에서 입력과 레이블 복원에 얼마나 효과적인가?
• RQ4 실세계 데이터셋에 걸쳐 일반화 능력과 복원 정확도 측면에서 이전 연구와 비교해 볼 때 공격는 어떠한가?

주요 결과

• 공격는 테스트 케이스의 90% 이상에서 거의 완벽한 레이블 복원을 달성하였으며, 학습 배치 레이블의 정확도가 99%를 초과하였다.
• 완전히 연결된 네트워크에서는 입력 복원의 평균 제곱오차(MSE)가 10^{-6} 이하로 떨어져 거의 손실 없는 복원을 의미한다.
• 의료 영상 및 얼굴 인식 벤치마크를 포함한 얕고 깊은 컨볼루션 신경망에서 이전의 공격보다 우수한 성능을 보였다.
• 이론적 기반 덕분에 공격는 GoogLeNet 및 VGGNet을 포함한 10개 이상의 아키텍처로 일반화 가능했다.
• 고유하게 활성화된 뉴런의 존재는 활성화 패턴의 성공적인 분리와 이후 복원을 위해 필수적인 조건임이 발견되었다.
• 의료, 위치 추적, 쇼핑 행동 데이터 등 다양한 실세계 시나리오에서 공격는 강건성을 보였다.