[논문 리뷰] Data and Model Dependencies of Membership Inference Attack

Shakila Mahjabin Tonni, Dinusha Vatsalan외 4명|arXiv (Cornell University)|2020. 02. 17.

Adversarial Robustness in Machine Learning참고 문헌 33인용 수 6

한 줄 요약

이 논문은 데이터 및 모델 성질이 소속성 추론 공격(MIA) 성공에 미치는 영향을 실험적으로 조사하고, 공정성과 상호정보량을 정규화 항으로 사용하여 MIA에 대비한 방어 전략을 제안한다. 그룹, 예측, 개별 공정성을 모델 훈련에 통합함으로써, 모델 유틸리티를 떨어뜨리지 않은 채 MIA 정확도를 최대 25%까지 감소시켰으며, 기존의 L1/L2 정규화보다 뛰어난 성능을 보였다.

ABSTRACT

Machine learning (ML) models have been shown to be vulnerable to Membership Inference Attacks (MIA), which infer the membership of a given data point in the target dataset by observing the prediction output of the ML model. While the key factors for the success of MIA have not yet been fully understood, existing defense mechanisms such as using L2 regularization \cite{10shokri2017membership} and dropout layers \cite{salem2018ml} take only the model's overfitting property into consideration. In this paper, we provide an empirical analysis of the impact of both the data and ML model properties on the vulnerability of ML techniques to MIA. Our results reveal the relationship between MIA accuracy and properties of the dataset and training model in use. In particular, we show that the size of shadow dataset, the class and feature balance and the entropy of the target dataset, the configurations and fairness of the training model are the most influential factors. Based on those experimental findings, we conclude that along with model overfitting, multiple properties jointly contribute to MIA success instead of any single property. Building on our experimental findings, we propose using those data and model properties as regularizers to protect ML models against MIA. Our results show that the proposed defense mechanisms can reduce the MIA accuracy by up to 25\% without sacrificing the ML model prediction utility.

연구 동기 및 목표

• 과적합 외의 데이터 및 모델 성질이 MIA 성공에 미치는 종합적 영향을 이해하기 위해.
• MIA에 대한 취약성을 증가 또는 감소시키는 핵심 데이터 및 모델 요소를 특정하기 위해.
• 영향력 있는 데이터 및 모델 성질을 정규화 항으로 사용하여 새로운 방어 기법을 개발하기 위해.
• 공정성 인식 정규화가 모델 정확도를 희생시키지 않고 MIA에 대한 저항력을 향상시키는지 평가하기 위해.
• 다양한 머신러닝 알고리즘에 적용 가능한 모델에 종속되지 않는 방어 전략을 제안하기 위해.

제안 방법

• 다양한 데이터 성질, 예를 들어 영향력 있는 데이터셋 크기, 클래스 및 특성의 균형, 데이터셋 엔트로피와 MIA 정확도 간의 관계를 실험적으로 분석하기 위해.
• 깊이, 너비, 하위군 및 기록별 예측의 공정성과 같은 모델 전용 요소를 조사하기 위해.
• 모델 구성이 MIA 효과성에 미치는 영향을 평가하기 위해 다양한 아키텍처를 가진 영향력 있는 모델을 사용하기 위해.
• 모델 공정성 지표를 기반으로 세 가지 새로운 정규화 항을 도입: 그룹 공정성(δg), 예측 공정성(δp), 개별 공정성(δi).
• 데이터 기록과 모델 파라미터 간의 상호정보량을 정규화 항으로 사용하여 정보 泄露를 줄이기 위해.
• 이 정규화 항을 적용한 후 MIA 정확도, 훈련/테스트 정확도, 손실 감소를 평가하기 위해 모델을 훈련하기 위해.

실험 결과

연구 질문

• RQ1 클래스 균형, 특성 균형, 데이터셋 엔트로피와 같은 데이터 성질이 MIA 정확도에 어떻게 영향을 미치는가?
• RQ2 깊이, 너비, 예측의 공정성과 같은 모델 전용 요소가 MIA 성공에 어떻게 영향을 미치는가?
• RQ3 그룹, 예측, 개별 공정성과 같은 공정성 지표를 정규화 항으로 사용하면 MIA 정확도는 감소시키지만 모델 유틸리티는 손상시키지 않을 수 있는가?
• RQ4 목표 모델과 영향력 있는 모델의 구성 조합이 MIA 효과성에 어떻게 영향을 미치는가?
• RQ5 데이터와 모델 파라미터 간의 상호정보량이 MIA 방어를 위한 유용한 정규화 항이 될 수 있는가?

주요 결과

• 더 큰 영향력 있는 데이터셋과 목표 데이터셋의 높은 특성 균형은 MIA 정확도를 높이며, 클래스 불균형과 낮은 엔트로피는 MIA 성공을 감소시킨다.
• 더 깊고 넓은 신경망은 더 정확한 소속성 추론 공격를 가능하게 하며, 아키텍처의 복잡성이 취약성을 증가시킨다.
• 하위군 및 기록별로 더 공정한 예측 행동을 보이는 모델은 MIA에 대해 현저히 높은 저항성을 보인다.
• 다양한 유형의 영향력 있는 모델을 조합하면 MIA 효과성이 향상되며, 이는 공격 성공률가 모델 조합에 의존함을 보여준다.
• 공정성 지표(δg, δp, δi)를 정규화 항으로 사용하면 MIA 정확도가 최대 25% 감소하며, L1 및 L2 정규화보다 뛰어난 성능을 보인다.
• 제안된 정규화 항은 훈련 손실을 개선하고, 기준 모델 및 표준 정규화 방법 대비 모델 정확도를 유지하거나 略로 향상시킨다.