[논문 리뷰] Batch Label Inference and Replacement Attacks in Black-Boxed Vertical Federated Learning

Yang Liu, Tianyuan Zou외 5명|arXiv (Cornell University)|2021. 12. 10.

Privacy-Preserving Technologies in Data인용 수 10

한 줄 요약

이 논문은 히든 엔드포인트 암호화(Homomorphic Encryption, HE)가 적용된 블랙박스 수직联邦학습(VFL) 환경에서도 배치 평균 기울기의 기울기 역행 기법을 통해 배치 수준의 레이블 추론 및 교체 공격이 가능하다는 것을 입증한다. 이를 위해 진동도 자동에코더(Confusional Autoencoder, CoAE)를 제안하며, 이는 엔트로피 정규화를 적용한 자동에코더를 사용하여 이러한 공격을 차단하면서도 주 작업 정확도를 더 잘 유지하는 방식이다. 기존의 차별적 프라이버시나 기울기 희소화보다도 우수한 성능을 보인다.

ABSTRACT

In a vertical federated learning (VFL) scenario where features and model are split into different parties, communications of sample-specific updates are required for correct gradient calculations but can be used to deduce important sample-level label information. An immediate defense strategy is to protect sample-level messages communicated with Homomorphic Encryption (HE), and in this way only the batch-averaged local gradients are exposed to each party (termed black-boxed VFL). In this paper, we first explore the possibility of recovering labels in the vertical federated learning setting with HE-protected communication, and show that private labels can be reconstructed with high accuracy by training a gradient inversion model. Furthermore, we show that label replacement backdoor attacks can be conducted in black-boxed VFL by directly replacing encrypted communicated messages (termed gradient-replacement attack). As it is a common presumption that batch-averaged information is safe to share, batch label inference and replacement attacks are a severe challenge to VFL. To defend against batch label inference attack, we further evaluate several defense strategies, including confusional autoencoder (CoAE), a technique we proposed based on autoencoder and entropy regularization. We demonstrate that label inference and replacement attacks can be successfully blocked by this technique without hurting as much main task accuracy as compared to existing methods.

연구 동기 및 목표

• 히든 엔드포인트 암호화(HE) 보호를 받는 블랙박스 VFL 환경에서 배치 평균 기울기로부터 기밀 레이블을 재구성할 수 있는지 조사한다.
• 개별 샘플 기울기 접근이나 보조 데이터 없이도 기울기 교체 백도어 공격이 가능함을 입증한다.
• 주 작업 성능을 떨어뜨리지 않으면서도 레이블 추론 및 교체 공격을 방지할 수 있는 실용적인 방어 기법을 개발한다.
• 자기회귀 기반 자동에코더와 엔트로피 정규화를 기반으로 한 새로운 방어 기법인 CoAE를 이러한 공격에 대해 평가한다.

제안 방법

• 배치 평균 기울기에서 고정밀도로 기밀 레이블을 재구성하기 위해 훈련된 기울기 역행 모델을 제안한다.
• 공격자가 개별 샘플 기울기 접근 없이도 암호화된 기울기를 조작하여 배치 수준의 통신에서 레이블을 교체함으로써 백도어를 주입하는 기울기 교체 공격을 도입한다.
• 진동도 자동에코더(CoAE)를 설계하여 진짜 레이블을 엔트로피 정규화를 통해 소프트하고 혼란스러운 레이블로 매핑함으로써 예측 가능성을 낮춘다.
• 블랙박스 VFL 프로토콜에 따라 신뢰할 수 있는 제3자(TTP)를 통해 무작위 마스킹 및 복호화를 적용하여 훈련 중 프라이버시를 유지한다.
• 레이블 혼란도를 높이기 위해 손실 함수에 엔트로피 정규화를 적용하여 공격자가 재구성된 분포에서 진짜 레이블을 추론하기 어려워지도록 한다.
• CoAE를 레이블 추론 및 백도어 공격 시나리오에서 평가하며, 기존의 차별적 프라이버시 및 기울기 희소화와 비교한다.

실험 결과

연구 질문

• RQ1 히든 엔드포인트 암호화(HE) 보호를 받는 블랙박스 VFL 환경에서 배치 평균 기울기로부터 기밀 레이블을 정확하게 재구성할 수 있는가?
• RQ2 개별 샘플 기울기 접근 없이도 암호화된 기울기를 교체함으로써 효과적인 백도어 공격를 수행할 수 있는가?
• RQ3 CoAE는 주 작업 정확도를 유지하면서도 레이블 추론 및 교체 공격를 효과적으로 차단할 수 있는가?
• RQ4 혼란 수준과 엔트로피 정규화가 기울기 역행 공격에 대한 CoAE의 강건성에 어떤 영향을 미치는가?

주요 결과

• 다양한 데이터셋에서 배치 평균 기울기만으로도 HE 보호 조건 하에서도 레이블 추론 공격의 정확도가 90% 이상을 기록했다.
• 기울기 교체 공격는 개별 샘플 기울기 접근이나 보조 데이터 없이도 암호화된 배치 수준 기울기를 조작하여 모델에 백도어를 성공적으로 주입했다.
• CoAE 방어 기법은 레이블 복원 정확도를 근사 무작위 수준으로 낮춰 추론 공격를 효과적으로 차단했으며, 기존의 차별적 프라이버시나 기울기 희소화보다 주 작업 정확도를 훨씬 높게 유지했다.
• 엔트로피 정규화(λ₂ = 1)를 적용한 결과, 복원된 레이블의 확률 분포가 퍼지게 되어 공격자가 샘플을 진짜 클래스로 신뢰성 있게 매핑하는 것을 방지했다.
• 작은 트리거를 가진 분산 백도어 공격에 대해서도 방어 기법이 효과적이었으며, 방어 조건 하에서도 주 작업 정확도를 높게 유지하는 데서 기존 기반 방법들을 능가했다.
• 혼란도를 제거한 경우(λ₂ = 0) CoAE는 공격를 차단하지 못했으며, 이는 엔트로피 정규화가 효과적인 혼란을 생성하기 위해 필수적임을 확인했다.