[論文レビュー] DeepObfuscator: Obfuscating Intermediate Representations with Privacy-Preserving Adversarial Learning on Smartphones

Ang Li, Jiayi Guo+3 more|arXiv (Cornell University)|Sep 9, 2019

Adversarial Robustness in Machine Learning参考文献 40被引用数 8

ひとこと要約

DeepObfuscator は、スマートフォン上で中間特徴を隠蔽することで、生画像の再構築や性別や年齢などのプライベート属性の推定を防ぐプライバシー保護型の対抗的訓練フレームワークである。再構築器と分類器に対する敵対的訓練を通じて、MS-SSIM を 0.9458 から 0.3175 まで低下させ、プライベート属性の分類精度をランダム推測水準（性別分類で 58.85%）まで低下させつつ、意図した分類精度はわずか 2% の低下に抑えている。

ABSTRACT

Deep learning has been widely applied in many computer vision applications, with remarkable success. However, running deep learning models on mobile devices is generally challenging due to the limitation of computing resources. A popular alternative is to use cloud services to run deep learning models to process raw data. This, however, imposes privacy risks. Some prior arts proposed sending the features extracted from raw data to the cloud. Unfortunately, these extracted features can still be exploited by attackers to recover raw images and to infer embedded private attributes. In this paper, we propose an adversarial training framework, DeepObfuscator, which prevents the usage of the features for reconstruction of the raw images and inference of private attributes. This is done while retaining useful information for the intended cloud service. DeepObfuscator includes a learnable obfuscator that is designed to hide privacy-related sensitive information from the features by performing our proposed adversarial training algorithm. The proposed algorithm is designed by simulating the game between an attacker who makes efforts to reconstruct raw image and infer private attributes from the extracted features and a defender who aims to protect user privacy. By deploying the trained obfuscator on the smartphone, features can be locally extracted and then sent to the cloud. Our experiments on CelebA and LFW datasets show that the quality of the reconstructed images from the obfuscated features of the raw image is dramatically decreased from 0.9458 to 0.3175 in terms of multi-scale structural similarity. The person in the reconstructed image, hence, becomes hardly to be re-identified. The classification accuracy of the inferred private attributes that can be achieved by the attacker is significantly reduced to a random-guessing level.

研究の動機と目的

• 抽出された特徴から生画像の再構築を防ぐことで、クラウドベースのディープラーニングにおけるプライバシー漏洩を解消する。
• 送信先のクラウドにおける中間表現から、性別や年齢などのプライベート属性の推定を防ぐ。
• 強力な隠蔽処理にもかかわらず、意図した分類タスク（例：画像分類）の高い機能を維持する。
• 効率的なモデル設計により、リソース制限のあるスマートフォン上でのリアルタイムデプロイメントを可能にする。
• 画像再構築とプライベート属性推定の両方の攻撃に対して、統合的な敵対的訓練により同時に防御する。

提案手法

• 学習可能な隠蔽器、クラウド分類器、および2つの敵対的モデル（再構築器と分類器）を備えたエンドツーエンドの敵対的訓練フレームワークを提案する。
• 隠蔽器は、主タスクの機能損失を最小限に抑えつつ、敵対的モデルによる生画像の再構築とプライベート属性の推定の誤差を最大化するように訓練される。
• 人間の視覚的認知に近い反応を示すように、再構築器のための知覚的損失としてマルチスケール構造的類似度（MS-SSIM）を用い、ユークリッド距離に代えて採用する。
• GANに類似したミニマックスゲームを採用：隠蔽器はプライバシーを露呈する情報を隠蔽し、敵対的モデルはそれを回復しようと試みる。これにより、敵対的競争を通じて強固な防御が実現される。
• 訓練済みの隠蔽器をスマートフォンにデプロイし、生画像を現地で処理してプライバシー保護型の特徴を生成し、その後クラウドに送信する。
• 二重敵対的損失を導入：画像再構築用の損失（MS-SSIMに基づく）とプライベート属性推定用の損失（交差エントロピー）を、統合的な訓練スキームで最適化する。

実験結果

リサーチクエスチョン

• RQ1 隠蔽フレームワークは、中間特徴から画像再構築とプライベート属性推定の両方を同時に防ぐことができるか？
• RQ2 提案された敵対的訓練フレームワークは、再構築画像の知覚的品質を低下させるが、主タスクの機能を維持できる程度の効果を示すか？
• RQ3 このフレームワークは、意図したクラウドベースの分類タスクの精度にどの程度の低下をもたらすか？
• RQ4 隠蔽された特徴は異なるデータセット間で転送可能であり、一般化性と実世界への適用可能性を示しているか？
• RQ5 スマートフォンにデプロイされた際、隠蔽器のリアルタイム性能はどの程度か？

主な発見

• 生画像と再構築画像間の MS-SSIM は 0.9458 から 0.3175 に低下し、再構築画像は知覚的に認識不能となり、人物の特定が不可能になった。
• 性別などのプライベート属性の分類精度は 97.36% から 58.85% に低下し、50% のランダム推測レベルに近づいた。
• 隠蔽処理後、クラウド上の意図した画像分類タスクの精度はわずか 2% の低下に抑えられ、強力なプライバシーと機能のトレードオフが実現された。
• クロスデータセット評価により、隠蔽器の転送性が確認され、異なるデータ分布間でも強靭性と一般化性能を示した。
• 隠蔽器はスマートフォン上でリアルタイム性能を達成し、モバイルおよびエッジ環境へのデプロイの可能性を裏付けた。
• PAN と同様に損失関数をユークリッド距離に置き換えた場合、再構築画像にはまだ識別可能な顔貌特徴が残っていたが、DeepObfuscator の MS-SSIM を用いた損失関数ははるかにプライバシー保護に優れた結果をもたらした。