[论文解读] Input Perturbation: A New Paradigm between Central and Local Differential Privacy

Yilin Kang, Yong Liu+4 more|arXiv (Cornell University)|Feb 20, 2020

Privacy-Preserving Technologies in Data参考文献 46被引用 10

一句话总结

本文提出了一种新颖的差分隐私方法——输入扰动，用于经验风险最小化，通过直接向训练数据添加高斯噪声，同时保护数据、梯度和最终模型参数。该方法在模型上实现了(ε, δ)-差分隐私，性能与最先进的集中式方法相当或更优，提供更强的端到端隐私保护，且不损失准确性。

ABSTRACT

Traditionally, there are two models on differential privacy: the central model and the local model. The central model focuses on the machine learning model and the local model focuses on the training data. In this paper, we study the extit{input perturbation} method in differentially private empirical risk minimization (DP-ERM), preserving privacy of the central model. By adding noise to the original training data and training with the `perturbed data', we achieve ($ε$,$δ$)-differential privacy on the final model, along with some kind of privacy on the original data. We observe that there is an interesting connection between the local model and the central model: the perturbation on the original data causes the perturbation on the gradient, and finally the model parameters. This observation means that our method builds a bridge between local and central model, protecting the data, the gradient and the model simultaneously, which is more superior than previous central methods. Detailed theoretical analysis and experiments show that our method achieves almost the same (or even better) performance as some of the best previous central methods with more protections on privacy, which is an attractive result. Moreover, we extend our method to a more general case: the loss function satisfies the Polyak-Lojasiewicz condition, which is more general than strong convexity, the constraint on the loss function in most previous work.

研究动机与目标

• 为解决传统集中式差分隐私中的隐私缺口问题，即尽管模型层面实现了隐私保护，但原始数据仍未受保护。
• 通过证明输入噪声会通过梯度传播至最终模型，弥合本地与集中式差分隐私之间的差距。
• 开发一种通用的、与优化算法无关的方法，确保在数据、梯度和模型参数所有阶段均实现隐私保护。
• 将该方法从强凸损失函数扩展至更一般的Polyak-Lojasiewicz条件，扩大其适用范围。
• 通过实证验证，输入扰动在保持与现有集中式方法相当或更优性能的同时，提供更强的隐私保证。

提出的方法

• 在模型训练前，向每个原始训练数据点添加均值为零的高斯噪声，以确保输入级别的隐私。
• 利用输入噪声在优化过程中传播的特性：数据中的噪声会引发梯度和最终模型参数中的噪声。
• 通过梯度敏感性和模型更新的敏感性，形式化最终模型的(ε, δ)-差分隐私保证。
• 理论分析表明，输入扰动通过梯度和参数扰动在模型上诱导差分隐私，从而在本地与集中式模型之间建立隐私桥梁。
• 将框架扩展至满足Polyak-Lojasiewicz（PL）条件的损失函数，该条件弱于强凸性，但适用范围更广。
• 使用交叉验证调优超参数T和α，并在真实数据集上的逻辑回归和MLP模型上评估性能。

实验结果

研究问题

• RQ1 输入扰动能否在保护原始数据隐私的同时，为最终模型提供(ε, δ)-差分隐私？
• RQ2 与传统集中式方法相比，输入扰动如何影响梯度和模型参数的分布？
• RQ3 输入扰动能否实现与现有集中式DP-ERM方法（如梯度扰动和输出扰动）相当或更优的性能？
• RQ4 该方法能否扩展至非强凸损失函数，例如满足Polyak-Lojasiewicz条件的损失函数？
• RQ5 在不同数据集和模型上，隐私预算ε与模型准确率之间的实证权衡如何？

主要发现

• 所提出的输入扰动方法在准确率和最优性差距方面，性能与最先进的集中式方法（如Bassily等, 2014年的梯度扰动和Wang等, 2017年的输出扰动）相当或更优。
• 在大多数数据集上，该方法的准确率几乎与非私有ERM基线相同，表明性能退化极小。
• 该方法的最优性差距始终低于Bassily等（2014）和Kifer等（2012）的方法，尤其得益于更紧的噪声边界。
• 该方法在不同数据集上表现出稳定的性能，准确率和最优性差距波动极小，而Bassily等（2014）的梯度扰动方法因噪声边界过松而出现明显的性能下降。
• 在小样本数据集（大小 < 1000）上，该方法仍保持优异性能，证实其在低数据场景下的有效性。
• 该方法提供端到端的隐私保护：原始数据、梯度和最终模型均被扰动，隐私保护强度超过传统集中式模型。