[논문 리뷰] A Framework for Evaluating Gradient Leakage Attacks in Federated Learning

Wenqi Wei, Ling Liu외 5명|arXiv (Cornell University)|2020. 04. 22.

Privacy-Preserving Technologies in Data참고 문헌 43인용 수 98

한 줄 요약

이 논문은 연합학습에서 프라이빗 트레이닝 데이터를 재구성하기 위한 gradient leakage 공격의 효과를 평가하는 체계적 프레임워크를 제시하며, 하이퍼파라미터 및 압축 설정에 걸친 공격 효과성, 비용 및 완화책을 분석합니다.

ABSTRACT

Federated learning (FL) is an emerging distributed machine learning framework for collaborative model training with a network of clients (edge devices). FL offers default client privacy by allowing clients to keep their sensitive data on local devices and to only share local training parameter updates with the federated server. However, recent studies have shown that even sharing local parameter updates from a client to the federated server may be susceptible to gradient leakage attacks and intrude the client privacy regarding its training data. In this paper, we present a principled framework for evaluating and comparing different forms of client privacy leakage attacks. We first provide formal and experimental analysis to show how adversaries can reconstruct the private local training data by simply analyzing the shared parameter update from local training (e.g., local gradient or weight update vector). We then analyze how different hyperparameter configurations in federated learning and different settings of the attack algorithm may impact on both attack effectiveness and attack cost. Our framework also measures, evaluates, and analyzes the effectiveness of client privacy leakage attacks under different gradient compression ratios when using communication efficient FL protocols. Our experiments also include some preliminary mitigation strategies to highlight the importance of providing a systematic attack evaluation framework towards an in-depth understanding of the various forms of client privacy leakage threats in federated learning and developing theoretical foundations for attack mitigation.

연구 동기 및 목표

• 연합학습에서 클라이언트 프라이버시 누출에 대한 형식적 위협 모델을 정의한다.
• FL 구성에 걸쳐 공격 효과성과 비용을 정량화하기 위한 평가 프레임워크를 제안한다.
• 공격 구성과 FL 하이퍼파라미터가 재구성 성공 및 효율성에 어떤 영향을 미치는지 분석한다.
• 초기 완화 전략을 탐색하고 체계적인 공격 평가 필요성을 강조한다.

제안 방법

• 공유 업데이트로부터의 그래디언트 기반 데이터 재구성으로 CPL (client privacy leakage) 공격을 형식적으로 특징지운다.
• 가중치 업데이트를 그래디언트로 변환하고 더미 시드와 그래디언트 손실 최소화를 사용하여 반복적으로 프라이빗 데이터를 재구성하는 공격 파이프라인(Algorithm 1)을 개발한다.
• ASR 및 수렴에 미치는 영향을 평가하기 위해 공격 초기화 방법, 종료 조건, 그래디언트 손실 함수 및 최적화 전략을 조사한다.
• 공격 성공 및 비용에 대한 FL 하이퍼파라미터(배치 크기, 데이터 해상도, 활성화 함수)와 통신 프로토콜(베이스라인 vs. 압축)을 검토한다.
• 재구성 품질과 효율성을 정량화하기 위한 평가 지표로 공격 성공률(ASR), MSE, SSIM, 그리고 공격 반복 횟수를 제안한다.

실험 결과

연구 질문

• RQ1 FL에서 공유 업데이트로부터 그래디언트 누출 공격이 프라이빗 트레이닝 데이터를 어떻게 재구성할 수 있는가?
• RQ2 공격 구성(초기 시드, 종료 기준, 손실 함수, 최적화 알고리즘)이 공격 성공 및 효율성에 어떤 영향을 미치는가?
• RQ3 FL 하이퍼파라미터(배치 크기, 데이터 해상도, 활성화 함수)가 CPL 공격의 효과성과 비용에 어떤 영향을 미치는가?
• RQ4 통신 효율적인 프로토콜이 그래디언트 누출 공격의 실효성에 미치는 영향은 무엇인가?

주요 결과

• CPL 공격은 다수의 데이터셋에 대해 높은 ASR과 높은 재구성 품질로 그래디언트 업데이트로부터 프라이빗 트레이닝 데이터를 재구성할 수 있다.
• 공격 효과성과 수렴은 초기화 방법, 종료 조건, 최적화 전략에 매우 민감하며, 패턴화된 초기화가 무작위 초기화보다 종종 더 우수한 성능을 보인다.
• L-BFGS 및 기타 옵티마이저가 공격 성공과 효율성에 상당한 영향을 미치며, 일부 구성에서 더 빠른 수렴을 보인다.
• 통신 효율적 그래디언트 업데이트가 CPL 공격을 반드시 차단하지는 않으며, 특정 압축 비율에서도 CPL은 여전히 효과적이다.
• 활성화 함수는 그래디언트 누출에 영향을 미치며, ReLU는 소멸하는 그래디언트로 인해 공격을 저해할 수 있는 반면, Sigmoid/Tanh는 그렇지 않다.
• 이전 공격과 비교할 때, CPL-패턴은 여러 데이터셋에서 더 낮은 공격 반복 수로 더 높은 ASR을 달성한다.