[论文解读] Differentially Private Meta-Learning

Jeffrey Li, Mikhail Khodak+2 more|arXiv (Cornell University)|Sep 12, 2019

Privacy-Preserving Technologies in Data参考文献 28被引用 21

一句话总结

本文为元学习引入了任务全局差分隐私（DP），提出了一种基于梯度的元学习（GBML）算法，可在保护单个任务数据的同时保持优异性能。结果表明，在少样本学习与个性化联邦学习中，任务全局DP相比本地DP可实现显著更高的准确率，在中等隐私预算下，最高可达非私有性能的92%。

ABSTRACT

Parameter-transfer is a well-known and versatile approach for meta-learning, with applications including few-shot learning, federated learning, and reinforcement learning. However, parameter-transfer algorithms often require sharing models that have been trained on the samples from specific tasks, thus leaving the task-owners susceptible to breaches of privacy. We conduct the first formal study of privacy in this setting and formalize the notion of task-global differential privacy as a practical relaxation of more commonly studied threat models. We then propose a new differentially private algorithm for gradient-based parameter transfer that not only satisfies this privacy requirement but also retains provable transfer learning guarantees in convex settings. Empirically, we apply our analysis to the problems of federated learning with personalization and few-shot classification, showing that allowing the relaxation to task-global privacy from the more commonly studied notion of local privacy leads to dramatically increased performance in recurrent neural language modeling and image classification.

研究动机与目标

• 为基于梯度的元学习中的隐私风险进行形式化与分析，其中特定任务的模型会与中央元学习器共享。
• 提出一种新的隐私概念——任务全局差分隐私，以保护所有下游代理（包括元学习器）对单个训练样本的敏感信息。
• 设计一种满足任务全局DP的差分隐私GBML算法，同时在凸设置下保持学习保证。
• 在真实任务（如语言建模与图像分类）中，展示任务全局DP相较于更强但更受限制的本地DP在实际应用中的优势。
• 将框架扩展至个性化联邦学习，表明任务全局DP在性能上优于现有DP-FedAvg方法。

提出的方法

• 将任务全局差分隐私形式化为本地DP的松弛，确保任何下游代理都无法从共享的任务模型中学习到关于单个训练样本的敏感信息。
• 设计DP-GBML算法，在聚合前向每个任务的模型更新添加校准的高斯噪声，以确保相对于每个任务数据的差分隐私。
• 采用Khodak等人（2019a）的框架推导凸设置下的泛化界，表明学习保证与任务相似性成比例。
• 通过保护多个样本同时实现组差分隐私，为敏感数据批次提供更强隐私保障。
• 将算法应用于两种场景：少样本图像分类（Omniglot，Mini-ImageNet）与语言建模（Shakespeare，Wiki-1600），以Reptile作为基础元学习方法。
• 通过无放回采样任务并为每个梯度步骤应用噪声，确保训练过程中隐私预算不被耗尽，避免因客户端重复访问导致的隐私退化。

实验结果

研究问题

• RQ1 我们能否为元学习形式化一种有意义的隐私概念，在共享特定任务模型的前提下，实现效用与保护之间的平衡？
• RQ2 任务全局差分隐私是否在元学习设置中为本地差分隐私提供一种实用且有效的替代方案？
• RQ3 差分隐私GBML算法是否能在凸与非凸设置下保持强大的泛化与迁移学习性能？
• RQ4 在个性化联邦学习中，任务全局DP与本地DP在模型准确率与隐私-效用权衡方面有何比较？
• RQ5 所提出的DP-GBML算法能否在真实任务（如少样本图像分类与语言建模）中有效应用？

主要发现

• 在Wiki-1600语言建模数据集上，任务全局私有Reptile在中等隐私预算下达到非私有准确率的92%，而本地DP仅达到50%。
• 在Shakespeare-800数据集上，任务全局DP达到非私有性能的88%，而相同隐私预算下本地DP仅为55%。
• 在少样本图像分类中，任务全局DP Reptile优于无元学习基线，且在隐私约束下仍保持元学习的优势。
• 随着训练样本数量增加，私有与非私有模型之间的性能差距缩小，与随任务相似性增长的理论学习保证一致。
• 在语言建模与图像分类中，所提算法在测试阶段性能均优于本地DP变体，证明了任务全局DP的实际优势。
• 该方法自然可扩展至个性化联邦学习，为标准DP-FedAvg提供一种隐私保护的替代方案，同时保持更高效用。