[논문 리뷰] Attribute Inference Attack of Speech Emotion Recognition in Federated Learning Settings

Tiantian Feng, Hanieh Hashemi외 3명|arXiv (Cornell University)|2021. 12. 26.

Privacy-Preserving Technologies in Data인용 수 11

한 줄 요약

이 논문은 연합 학습(FL)에서 모델 업데이트를 활용하여 민감한 클라이언트 속성—특히 성별—을 추론하는 화이트박스 속성 유추 공격을 제안한다. 이 공격은 IEMOCAP, CREMA-D, MSP-Improv 데이터셋에서 높은 정확도를 기록하며, SER 모델의 첫 번째 레이어가 가장 많은 정보를 泄露함을 보여주고, 차별적 프라이버시(DP)가 성능 저하를 감수하면서도 공격을 완화하는 데 효과적임을 시현한다.

ABSTRACT

Speech emotion recognition (SER) processes speech signals to detect and characterize expressed perceived emotions. Many SER application systems often acquire and transmit speech data collected at the client-side to remote cloud platforms for inference and decision making. However, speech data carry rich information not only about emotions conveyed in vocal expressions, but also other sensitive demographic traits such as gender, age and language background. Consequently, it is desirable for SER systems to have the ability to classify emotion constructs while preventing unintended/improper inferences of sensitive and demographic information. Federated learning (FL) is a distributed machine learning paradigm that coordinates clients to train a model collaboratively without sharing their local data. This training approach appears secure and can improve privacy for SER. However, recent works have demonstrated that FL approaches are still vulnerable to various privacy attacks like reconstruction attacks and membership inference attacks. Although most of these have focused on computer vision applications, such information leakages exist in the SER systems trained using the FL technique. To assess the information leakage of SER systems trained using FL, we propose an attribute inference attack framework that infers sensitive attribute information of the clients from shared gradients or model parameters, corresponding to the FedSGD and the FedAvg training algorithms, respectively. As a use case, we empirically evaluate our approach for predicting the client's gender information using three SER benchmark datasets: IEMOCAP, CREMA-D, and MSP-Improv. We show that the attribute inference attack is achievable for SER systems trained using FL. We further identify that most information leakage possibly comes from the first layer in the SER model.

연구 동기 및 목표

• 민감한 속성인 성별이 원시 데이터를 공유하지 않는 연합 학습(FL) 환경에서 모델 업데이트로부터 추론될 수 있는지 조사하기 위해.
• 원시 데이터를 공유하지 않는 FL 환경에서 속성 유추 공격의 실현 가능성과 효과성을 평가하기 위해.
• FL을 통해 훈련된 SER 모델에서 정보 泄露에 가장 기여하는 모델 구성 요소나 레이어를 특정하기 위해.
• 차별적 프라이버시(DP)가 이러한 공격에 대비한 방어 수단으로서의 효과를 평가하기 위해.
• DP 적용 시 모델 유틸리티(SER 정확도)와 프라이버시 보호 간의 트레이드오프를 탐색하기 위해.

제안 방법

• 공격자는 FL 과정에서 모델 파라미터, 하이퍼파라미터, 훈련 설정에 대한 완전한 액세스 권한을 가진 화이트박스 위협 모델을 사용한다.
• 클라이언트의 성별을 추론하기 위해 공유된 모델 업데이트(기울기 또는 가중치)를 기반으로 성별 예측 모델을 훈련시킨다.
• 공격은 FedSGD와 FedAvg FL 훈련 프로토콜을 사용하여 IEMOCAP, CREMA-D, MSP-Improv 세 가지 공개 SER 벤치마크에서 평가된다.
• 정보 泄露는 SER 모델의 다양한 레이어에서 분석되어 첫 번째 밀집 레이어가 주요 泄露 원천임을 규명한다.
• 차별적 프라이버시(DP)는 기울기 클리핑과 노이즈 주입을 통해 적용되어 공격 완화 효과를 평가한다.
• 공격자의 성능은 다양한 프라이버시 예산(ε) 조건에서 평가되며, 다수의 모델 업데이트 라운드에 대한 액세스 조건도 포함된다.

실험 결과

연구 질문

• RQ1 연합 학습 기반의 음성 정서 인식(SER) 시스템에서 공격자가 모델 업데이트로부터 클라이언트의 성별을 유추할 수 있는가?
• RQ2 FL 환경에서 SER 모델의 어느 레이어가 속성 정보 泄露에 가장 기여하는가?
• RQ3 차별적 프라이버시(DP)는 FL 기반 SER에서의 속성 유추 공격에 얼마나 효과적인가?
• RQ4 DP 적용 시 SER 모델 성능과 프라이버시 보호 간의 트레이드오프는 어떠한가?
• RQ5 여러 라운드의 모델 업데이트에 액세스할 경우 공격자의 민감한 속성 유추 능력이 향상되는가?

주요 결과

• 속성 유추 공격는 공유된 모델 업데이트만을 사용하여 IEMOCAP, CREMA-D, MSP-Improv 세 데이터셋에서 모두 높은 정확도로 클라이언트의 성별을 성공적으로 예측한다.
• SER 모델의 첫 번째 밀집 레이어가 정보 泄露에 가장 큰 기여를 하며, 이는 초기 레이어 표현이 민감한 속성을 포함하고 있음을 시사한다.
• 작은 프라이버시 예산(ε)을 가진 경우(예: ε ≤ 10), 차별적 프라이버시(DP)가 공격을 효과적으로 완화하지만, 강한 프라이버시 제약 조건에서는 SER 모델의 성능이 크게 저하된다.
• 공격자가 다수의 모델 업데이트 라운드에 액세스할 경우, ε = 1000 조건에서도 공격의 효과성이 회복되며, 이는 반복 노출 상황에서 DP의 효과가 떨어짐을 보여준다.
• 드롭아웃 기반 방어는 정보 泄露를 감소시키는데 효과적이지 않아, 이 맥락에서는 표준 정규화 기법이 속성 유추를 방지하지 못함을 시사한다.
• 공격은 FedSGD에서 FedAvg보다 더 효과적임을 보여주며, 이는 FL 집계 프로토콜의 선택이 프라이버시 泄露에 영향을 미칠 수 있음을 시사한다.