[论文解读] Evaluating Gradient Inversion Attacks and Defenses in Federated Learning

Yangsibo Huang, Samyak Gupta+3 more|arXiv (Cornell University)|Nov 30, 2021

Geophysical Methods and Applications被引用 123

一句话总结

本文对联邦学习中的梯度反演攻击及防御进行了系统评估，结果表明放宽对攻击者的强假设会削弱攻击效果，且将多种防御防结合同時可以在保留数据效用的同时降低隐私泄露。

ABSTRACT

Gradient inversion attack (or input recovery from gradient) is an emerging threat to the security and privacy preservation of Federated learning, whereby malicious eavesdroppers or participants in the protocol can recover (partially) the clients' private data. This paper evaluates existing attacks and defenses. We find that some attacks make strong assumptions about the setup. Relaxing such assumptions can substantially weaken these attacks. We then evaluate the benefits of three proposed defense mechanisms against gradient inversion attacks. We show the trade-offs of privacy leakage and data utility of these defense methods, and find that combining them in an appropriate manner makes the attack less effective, even under the original strong assumptions. We also estimate the computation cost of end-to-end recovery of a single image under each evaluated defense. Our findings suggest that the state-of-the-art attacks can currently be defended against with minor data utility loss, as summarized in a list of potential strategies. Our code is available at: https://github.com/Princeton-SysML/GradAttack.

研究动机与目标

• 在现实威胁模型下评估梯度反演攻击的风险。
• 评估现有防御机制并量化隐私泄露与数据效用之间的关系。
• 研究将多种防御结合是否能在可接受的模型性能下提升保护效果。
• 估计在不同防御下恢复单个图像的端到端计算成本。

提出的方法

• 回顾并形式化最先进的梯度反演攻击，重点参考 Geiping 等人（2020）。
• 识别并放宽两个强假设：对 BatchNorm 统计信息的知识和私有标签。
• 在放宽假设下重新设计攻击，以衡量对重建质量的影响。
• 系统性评估防御措施，包括 GradPrune、MixUp 和 Intra-InstaHide，在最强攻击下的表现。
• 分析防御组合，并使用 LPIPS 和测试准确率衡量隐私泄露情况。
• 提供在不同防御下的端到端恢复时间成本。

实验结果

研究问题

• RQ1 梯度反演攻击背后的关键假设是什么，移除这些假设如何影响攻击效果？
• RQ2 在最强梯度反演攻击下，现有防御在隐私泄露和数据效用方面的表现如何？
• RQ3 将防御组合是否能带来比单独防御更好的隐私-效用权衡？
• RQ4 在多种防御下恢复单个图像的计算成本是多少？
• RQ5 更大的批量大小和安全配置是否能降低梯度反演风险？

主要发现

• 放宽关于 BatchNorm 统计信息和私有标签的假设会显著削弱梯度反演攻击，特别是对于高分辨率数据。
• 单独使用 GradPrune 在最强攻击下往往不足以保护，除非剪枝非常激进（p ≥ 0.999），这会带来较大的准确损失。
• MixUp 和 Intra-InstaHide 单独使用时对泄露的降低有限，特别是在小批量情况下。
• 将防御组合使用（例如 Intra-InstaHide 与梯度剪枝）可以显著降低隐私泄露，且在中等的准确率成本下实现，特别是在批量大小为 32 时。
• 端到端恢复时间的估计表明 InstaHide 可以大幅增加攻击者成本，使中等到大型数据集的恢复变得不切实际。
• 最佳实践建议包括避免共享 BatchNorm 统计信息、使用更大的批量大小，以及组合防御以在可接受的效用损失下提升安全性。