[論文レビュー] DTGAN: Differential Private Training for Tabular GANs

Aditya Kunar, Robert Birke+2 more|arXiv (Cornell University)|Jul 6, 2021

Privacy-Preserving Technologies in Data参考文献 25被引用数 9

ひとこと要約

DTGANは、表形式データの合成のための差分プライバシーを適用した条件付き Wasserstein GAN を提案する。訓練段階で生成器または判別器の両方に対してDP-SGDを適用する。ε=1という厳密なプライバシー予算下で、判別器にDP-SGDを適用したDTGAN Dが、4つの機械学習モデルの平均適合率を18%向上させた。また、メンバー攻撃の成功率は約50%に抑えられていた。

ABSTRACT

Tabular generative adversarial networks (TGAN) have recently emerged to cater to the need of synthesizing tabular data -- the most widely used data format. While synthetic tabular data offers the advantage of complying with privacy regulations, there still exists a risk of privacy leakage via inference attacks due to interpolating the properties of real data during training. Differential private (DP) training algorithms provide theoretical guarantees for training machine learning models by injecting statistical noise to prevent privacy leaks. However, the challenges of applying DP on TGAN are to determine the most optimal framework (i.e., PATE/DP-SGD) and neural network (i.e., Generator/Discriminator)to inject noise such that the data utility is well maintained under a given privacy guarantee. In this paper, we propose DTGAN, a novel conditional Wasserstein tabular GAN that comes in two variants DTGAN_G and DTGAN_D, for providing a detailed comparison of tabular GANs trained using DP-SGD for the generator vs discriminator, respectively. We elicit the privacy analysis associated with training the generator with complex loss functions (i.e., classification and information losses) needed for high quality tabular data synthesis. Additionally, we rigorously evaluate the theoretical privacy guarantees offered by DP empirically against membership and attribute inference attacks. Our results on 3 datasets show that the DP-SGD framework is superior to PATE and that a DP discriminator is more optimal for training convergence. Thus, we find (i) DTGAN_D is capable of maintaining the highest data utility across 4 ML models by up to 18% in terms of the average precision score for a strict privacy budget, epsilon = 1, as compared to the prior studies and (ii) DP effectively prevents privacy loss against inference attacks by restricting the success probability of membership attacks to be close to 50%.

研究の動機と目的

• メンバー攻撃および属性推定攻撃からのプライバシー漏洩リスクを、表形式GANにおいて解消すること。
• 差分プライバシー（DP）を表形式GANに適用する最適な配置を特定すること—生成器か判別器のどちらに適用すべきかを評価すること。
• 表形式GANのプライバシー保護型訓練におけるDP-SGDとPATEの有効性を比較すること。
• 実世界の推定攻撃に対して、DP正則化GANの実証的頑健性を評価すること。
• DP訓練における複雑な生成器損失（分類損失および情報損失）のプライバシーコストを定量化すること。

提案手法

• 高品質な表形式データ合成のための勾配ペナルティ付き条件付きWasserstein GANであるDTGANを提案する。
• 2つの変種を導入：DTGAN D（DP-SGDを判別器に適用）およびDTGAN G（DP-SGDを生成器に適用）。
• 追加の生成器損失（分類損失および情報損失）に起因するプライバシーコストを考慮するため、Rényi差分プライバシー（RDP）分析を適用する。
• 両変種において、訓練中のプライバシー予算消費を低減するために、サブサンプリングを採用する。
• バックプロパゲーション中にノイズを注入することで、理論的プライバシー保証を確保するDP-SGDを採用する。
• メンバー攻撃および属性推定攻撃の評価において、ナイーブおよび相関に基づく特徴抽出を併用する。

実験結果

リサーチクエスチョン

• RQ1 厳密なプライバシー予算下で、表形式GANの訓練にあたって、DP-SGDとPATEのどちらがより効果的か？
• RQ2 表形式GANにおいて、プライバシーとデータ有用性のバランスを考慮した場合、DP-SGDを生成器に適用するか判別器に適用するか、どちらがより最適か？
• RQ3 複雑な生成器損失（分類損失および情報損失）の導入が、DP訓練における全体のプライバシー予算に与える影響はいかほどか？
• RQ4 実際の状況下で、DP正則化表形式GANは、メンバー攻撃および属性推定攻撃に対してどの程度耐性を示すか？
• RQ5 表形式GANの異なるDP訓練設定において、データ有用性とプライバシーのトレードオフはどのように変化するか？

主な発見

• すべての評価指標において、DP-SGDはPATEフレームワークを上回るデータ有用性を示した。ε=1の下で、DTGAN Dは先行研究と比較して平均適合率が18%高いスコアを達成した。
• 判別器にDP-SGDを適用したDTGAN Dは、全体のデータ有用性が最良であり、収束性の観点からDTGAN Gよりもより最適な選択であることが判明した。
• DTGAN DおよびDTGAN Gにおけるメンバーインファレンス攻撃の成功率は、約50%にまで低下しており、強力なプライバシー保護が実現されている。
• 高い有用性を示す一方で、DTGAN GはPATE-GANおよびDP-WGANに比べて、属性推定攻撃に対してわずかに低い耐性を示しており、有用性とプライバシーのトレードオフが顕在化している。
• DPベースライン（DTGANを含む）すべてが、メンバー攻撃の成功率をほぼランダムな性能（約50%）にまで低下させた。これは理論的プライバシー保証が正当であることを裏付けた。
• Rényi DPを用いて、追加の生成器損失（分類損失および情報損失）に起因するプライバシーコストを厳密に定量化し、正確な予算会計が可能になった。