[논문 리뷰] Assessing differentially private deep learning with Membership Inference

Daniel Bernau, Philip-William Grassal외 2명|arXiv (Cornell University)|2019. 12. 24.

Privacy-Preserving Technologies in Data참고 문헌 38인용 수 16

한 줄 요약

이 논문은 멤버십 인식(MI) 공격를 통해 딥러닝에서 국소적 미분적 비밀유지(LDP)와 중심적 미분적 비밀유지(CDP)를 비교하여 사생활-정확도 트레이드오프를 평가한다. 연구 결과, 매우 다른 사생활 파rameter ε 값에도 불구하고 LDP와 CDP는 MI 공격에 대해 유사한 보호 수준을 제공함을 발견하였으며, 이는 LDP가 사생활 보존 딥러닝을 위한 CDP의 실용적인 대안이 될 수 있음을 시사한다.

ABSTRACT

Attacks that aim to identify the training data of public neural networks represent a severe threat to the privacy of individuals participating in the training data set. A possible protection is offered by anonymization of the training data or training function with differential privacy. However, data scientists can choose between local and central differential privacy and need to select meaningful privacy parameters $ε$ which is challenging for non-privacy experts. We empirically compare local and central differential privacy mechanisms under white- and black-box membership inference to evaluate their relative privacy-accuracy trade-offs. We experiment with several datasets and show that this trade-off is similar for both types of mechanisms. This suggests that local differential privacy is a sound alternative to central differential privacy for differentially private deep learning, since small $ε$ in central differential privacy and large $ε$ in local differential privacy result in similar membership inference attack risk.

연구 동기 및 목표

• 딥러닝에서 멤버십 인식(MI) 공격에 대한 국소적 미분적 비밀유지(LDP)와 중심적 미분적 비밀유지(CDP)의 효과를 평가하고 비교하는 것.
• 특히 사생활 보존 기법에 숙련된 전문 지식이 없는 데이터 과학자들이 미분적 비밀유지의 적절한 사생활 파rameter ε를 선택하는 데 직면하는 과제를 해결하는 것.
• 일반적으로 더 높은 ε 값으로 인해 정확도가 낮다고 여겨지는 LDP가 낮은 ε 값을 가진 CDP와 유사한 사생활 보호 수준을 제공할 수 있는지 평가하는 것, 특히 실제 세계의 MI 공격 시나리오에서의 성능을 중심으로 분석한다.
• 절대적인 ε 값 외에도 상대적 사생활-정확도 트레이드오프를 분석하고, LDP와 CDP 메커니즘을 비교하기 위한 비율 기반 지표 φ를 제안하는 것.
• 사생활-정확도 트레이드오프가 ε에 따라 선형적이지 않으며, 데이터셋과 MI 가정에 따라 크게 달라지므로, CDP가 항상 우월하다는 가정을 도전하는 것.

제안 방법

• 소비자 행렬, 사회적 그래프, 얼굴 인식, 건강 데이터를 포함한 다양한 데이터셋에서 화이트박스 및_BLK박스 멤버십 인식 공격를 사용하여 LDP 및 CDP 메커니즘을 실증적으로 평가한다.
• CDP 최적화기로는 차별적 비밀유지 경량학습(DP-SGD)과 DP-Adam을 적용하고, LDP에는 국소적 펌핑 메커니즘을 사용하며, 다양한 ε 값 범위로 사생활 파arameter를 조정한다.
• 멤버십 인식 공격의 수신기작동 특성곡선(AUC)의 면적을 사용하여 사생활 보호 수준을 측정하고, 이를 추론 위험의 하한선으로 간주한다.
• 유용성 측정으로 테스트 정확도를 사용하고, LDP와 CDP 간의 상대적 사생활-정확도 트레이드오프 비율 φ를 계산하여 다양한 데이터셋과 ε 값에서 비교한다.
• TensorFlow Privacy 라이브러리를 사용하여 피드포워드 네트워크와 그래프 신경망과 같은 표준 기준 모델에서 실험을 수행한다.
• ε와 사생활-정확도 트레이드오프 간의 비선형 관계를 분석하고, 사생활 향상이 정확도 손실보다 더 크게 발생하는 특정 간격을 식별한다.

실험 결과

연구 질문

• RQ1 멤버십 인식 공격 하에서 국소적 및 중심적 미분적 비밀유지 메커니즘은 사생활-정확도 트레이드오프 측면에서 어떻게 비교될 수 있는가?
• RQ2 높은 ε 값을 가진 국소적 미분적 비밀유지(LDP)가 낮은 ε 값을 가진 중심적 미분적 비밀유지(CDP)와 멤버십 인식 공격에 대해 유사한 보호 수준을 제공하는가?
• RQ3 사생활-정확도 트레이드오프는 ε 값에 따라 선형적인가, 아니면 특정 간격에서 사생활 보호 향상이 정확도 손실보다 더 두드러지게 발생하는가?
• RQ4 비율 φ를 통한 상대적 사생활-정확도 트레이드오프는 다양한 데이터셋 간 LDP와 CDP 메커니즘을 비교하는 데 의미 있는 지표가 될 수 있는가?
• RQ5 CDP의 성능가 항상 LDP를 능가하는가, 아니면 트레이드오프는 데이터 분포와 MI 공격 가정에 따라 달라지는가?

주요 결과

• 다양한 사생활 파arameter ε 값에도 불구하고, 멤버십 인식 AUC를 사용한 평가에서 LDP와 CDP는 동일한 사생활-정확도 트레이드오프를 보였다.
• LDP의 높은 ε 값과 CDP의 낮은 ε 값이 멤버십 인식 공격 위험 수준에서 유사하게 작용함을 확인하여, LDP가 CDP의 실용적인 대안이 될 수 있음을 시사한다.
• 사생활-정확도 트레이드오프는 ε에 따라 선형적이지 않으며, 사생활 보호 향상이 정확도 저하보다 더 두드러지게 발생하는 특정 간격이 존재한다.
• CDP가 항상 LDP를 능가하는 것은 아니며, 상대적 성능은 데이터셋과 멤버십 인식 공격의 가정에 따라 달라진다.
• 상대적 사생활-정확도 트레이드오프 비율 φ는 각 데이터셋에서 사생활 향상이 정확도 손실보다 크게 발생하는 좁은 범위가 존재함을 드러낸다.
• LDP는 모델 앙상블의 사생활 회계를 피할 수 있고 최적화기 선택의 유연성이 더 높아, 더 높은 ε 값에도 불구하고 실용적인 이점이 있다.