[论文解读] InstaHide: Instance-hiding Schemes for Private Distributed Learning

Yangsibo Huang, Zhao Song+2 more|arXiv (Cornell University)|Oct 6, 2020

Privacy-Preserving Technologies in Data参考文献 70被引用 19

一句话总结

InstaHide 是一种轻量级、高效的实例隐藏方案，用于私有的分布式深度学习，通过使用一次性密钥对训练图像进行加密，该密钥由随机混合公共或私有图像以及逐像素符号翻转组成。它在保持模型准确率的同时，仅造成最小的性能下降，且能有效抵抗已知攻击（包括基于矩分析和相似性聚类的攻击），并设计为可即插即用，无缝集成到现有联邦学习流水线中，提供强大的隐私保障。

ABSTRACT

How can multiple distributed entities collaboratively train a shared deep net on their private data while preserving privacy? This paper introduces InstaHide, a simple encryption of training images, which can be plugged into existing distributed deep learning pipelines. The encryption is efficient and applying it during training has minor effect on test accuracy. InstaHide encrypts each training image with a "one-time secret key" which consists of mixing a number of randomly chosen images and applying a random pixel-wise mask. Other contributions of this paper include: (a) Using a large public dataset (e.g. ImageNet) for mixing during its encryption, which improves security. (b) Experimental results to show effectiveness in preserving privacy against known attacks with only minor effects on accuracy. (c) Theoretical analysis showing that successfully attacking privacy requires attackers to solve a difficult computational problem. (d) Demonstrating that use of the pixel-wise mask is important for security, since Mixup alone is shown to be insecure to some some efficient attacks. (e) Release of a challenge dataset https://github.com/Hazelsuko07/InstaHide_Challenge Our code is available at https://github.com/Hazelsuko07/InstaHide

研究动机与目标

• 解决在不违反 HIPAA 或 GDPR 等隐私法规的前提下，跨分布式实体训练共享深度神经网络的问题。
• 提供一种实用且高效的替代方案，以应对差分隐私和高计算开销的加密方法所导致的显著准确率损失。
• 开发一种方案，即使在模型更新受到差分隐私保护的情况下，也能隐藏个体训练图像，防止攻击者从更新中恢复原始图像。
• 实现与现有深度学习框架的无缝集成，对训练流水线的修改极小。
• 通过发布用于密码分析的挑战数据集，鼓励对隐私攻击的进一步研究。

提出的方法

• 使用由目标图像与来自私有或公共数据集（如 ImageNet）中随机选取的 k−1 幅图像组成的随机线性组合构成的一次性密钥，对每张训练图像进行加密。
• 对混合后的图像应用随机的逐像素符号翻转，有效隐藏原始图像，同时保留标签信息。
• 每张图像仅使用一次密钥，确保一次性使用，防止密钥重用攻击。
• 利用大型公共数据集（如 ImageNet）的统计特性作为随机性来源，类似于密码学中的随机预言机。
• 通过在训练过程中用加密后的图像替换原始图像，实现与联邦学习流水线的无缝集成。
• 采用两阶段防御机制：通过与公共数据混合扩大攻击者搜索空间，通过符号翻转防止基于矩分析的恢复攻击。

实验结果

研究问题

• RQ1 能否设计一种轻量级、高效的图像加密方案，在保持模型准确率的同时，隐藏个体训练图像以抵御对手攻击？
• RQ2 InstaHide 在抵抗已知攻击（如基于矩的恢复攻击和基于聚类的攻击）方面效果如何？
• RQ3 在混合过程中使用大型公共数据集（如 ImageNet）与私有数据相比，对安全性和准确率的影响是什么？
• RQ4 Mixup 与随机符号翻转的结合是否能提供比单独使用 Mixup 更强的隐私保护？
• RQ5 在仅暴露梯度的真实联邦学习环境中，InstaHide 的表现如何？

主要发现

• 即使在 k=6 的情况下，InstaHide 在训练过程中仅造成小于 2% 的准确率下降，在 CIFAR-10 和 ImageNet 上表现良好。
• 该方法能有效抵抗 Braverman 的基于矩的攻击，该攻击依赖于高斯分布图像的高阶统计特性，而真实图像的非高斯性以及 k 值的增加有效削弱了该攻击。
• Carlini 等人提出的基于聚类的攻击虽然在 100 幅私有图像的挑战数据集上有效，但由于其时间复杂度为 O(n³)，在大规模数据集上计算上不可行。
• 使用 ImageNet 等大型公共数据集显著增加了攻击者的搜索空间，从而提升了安全性。
• 随机符号翻转对安全性至关重要，因为仅使用 Mixup 的方案容易受到利用线性结构的高效攻击。
• 作者发布的挑战数据集已成功激发新的密码分析研究，并验证了该方案在已知攻击模型下的抗性能力。