[논문 리뷰] CAFE: Catastrophic Data Leakage in Vertical Federated Learning

Xiao Jin, Pin‐Yu Chen외 3명|arXiv (Cornell University)|2021. 10. 26.

Privacy-Preserving Technologies in Data참고 문헌 29인용 수 15

한 줄 요약

CAFE는 수직 분산 학습에서 공유된 평균화된 기울기를 사용하여 대용량 배치 학습 데이터를 데이터 인덱스 및 내부 표현 정렬을 통해 효율적으로 복원하는 새로운 데이터 泄露 공격이다. 이는 이론적 보장과 함께 최신 기술 수준의 복원 품질을 달성하며, 현실적인 학습 조건에서도 민감한 얼굴 이미지와 같은 개인 정보를 고해상도로 재구성할 수 있다.

ABSTRACT

Recent studies show that private training data can be leaked through the gradients sharing mechanism deployed in distributed machine learning systems, such as federated learning (FL). Increasing batch size to complicate data recovery is often viewed as a promising defense strategy against data leakage. In this paper, we revisit this defense premise and propose an advanced data leakage attack with theoretical justification to efficiently recover batch data from the shared aggregated gradients. We name our proposed method as catastrophic data leakage in vertical federated learning (CAFE). Comparing to existing data leakage attacks, our extensive experimental results on vertical FL settings demonstrate the effectiveness of CAFE to perform large-batch data leakage attack with improved data recovery quality. We also propose a practical countermeasure to mitigate CAFE. Our results suggest that private data participated in standard FL, especially the vertical case, have a high risk of being leaked from the training gradients. Our analysis implies unprecedented and practical data leakage risks in those learning settings. The code of our work is available at https://github.com/DeRafael/CAFE.

연구 동기 및 목표

• 공유된 기울기를 통한 수직 분산 학습(VFL)에서의 개인 정보 泄露 심각한 취약성을 폭 드러내어, 더 큰 배치 크기가 데이터 복원을 방지한다는 가정에 도전한다.
• 이전 방법이 실패하는 수직 분산 학습 환경에서 대용량 배치 학습 데이터를 복원할 수 있는 확장 가능하고 이론적으로 탄탄한 데이터 泄露 공격 기법을 개발한다.
• 모델 학습 성능을 저하시키지 않고 데이터 泄통을 완화할 수 있는 실용적인 방어 기법인 가짜 기울기(fake gradients)를 제공한다.
• CAFE의 효과성을 정적 및 동적 학습 시나리오에서 실세계 데이터셋(예: CIFAR-10 및 Yale 얼굴 데이터)을 활용해 실증적으로 검증한다.

제안 방법

• 수직 FL에서 워커 간 데이터 인덱스 정렬을 활용하여 기울기를 특정 학습 샘플에 연결한다.
• 내부 표현 정렬을 사용하여 공유된 기울기에서 첫 번째 완전 연결층 이전의 은닉층 활성화(H)를 복원한다.
• 세 단계 복원 프로세스를 적용한다: (1) 첫 번째 FC 레이어 출력에 대한 기울기 복원, (2) 첫 번째 FC 레이어 입력 복원, (3) 이 입력들로부터 원본 데이터 재구성.
• 특히 대용량 배치 설정에서 복원 정확도를 향상시키기 위해 새로운 손실 함수와 최적화 전략을 도입한다.
• 학습 중에 인위적 노이즈를 주입하여 공격를 방해하는 가짜 기울기(fake gradients)를 활용한 방어 기법을 제안한다.
• 가짜 기울기 방법은 표준 최적화(예: SGD)와 호환되며, 모델 재학습이나 아키텍처 변경 없이 구현 가능하다.

실험 결과

연구 질문

• RQ1 일반적으로 더 큰 배치 크기가 泄露를 방지한다는 믿음에도 불구하고, 수직 분산 학습에서 공유된 기울기로부터 대용량 배치 데이터를 효과적으로 복원할 수 있는가?
• RQ2 VFL 환경에서 기울기 기반 공격의 데이터 복원 성능에 대해 어떤 이론적 보장을 제공할 수 있는가?
• RQ3 DLG, 코사인 유사도, SAPAG와 같은 기존 방법과 비교해 CAFE 공격는 재구성 품질과 확장성 측면에서 어떻게 다른가?
• RQ4 모델 학습 성능을 저하시키지 않고 데이터 泄통을 방지할 수 있는 실용적인 방어 기법을 설계할 수 있는가?
• RQ5 모델 학습 중 지속적으로 공격가 효과를 유지할 수 있는가? 학습률은 복원 성공에 어떤 영향을 미치는가?

주요 결과

• CAFE는 배치 크기가 40인 CIFAR-10에서 PSNR 31.24, Linnaeus 5에서 PSNR 30.74를 기록하며, 이전 방법들인 DLG 및 코사인 유사도보다 뚜렷이 뛰어난 성능을 보였다.
• Yale 얼굴 데이터셋에서 CAFE는 PSNR 42 이상을 달성하여 민감한 얼굴 이미지의 고해상도 재구성 능력을 입증했다.
• 동적 학습 시나리오에서 CAFE는 모델 수렴 중에도 PSNR > 20를 유지하며 데이터를 성공적으로 복원했다(예: MNIST에서 20,000 반복 시 PSNR = 20.72).
• 가짜 기울기 방어는 실수 기울기 사용 시 복원된 데이터의 PSNR를 28.68에서 가짜 기울기 사용 시 7.67로 감소시켜 효과적으로 泄통을 완화시켰다.
• 가짜 기울기로 학습한 결과, 모델 정확도는 유사하게 유지되었고(예: MNIST에서 0.68), 손실 안정성도 유지되어 방어 기법이 모델 성능을 저하시키지 않음을 확인했다.
• 워커 수가 4명에서 16명으로 변화하더라도 CAFE의 성능은 일관되게 유지되어 실제 VFL 환경에서의 확장성과 강건성을 입증했다.