[論文レビュー] SplitGuard: Detecting and Mitigating Training-Hijacking Attacks in Split Learning

Ege Erdoğan, Alpteki̇n Küpçü+1 more|arXiv (Cornell University)|Aug 20, 2021

Adversarial Robustness in Machine Learning被引用数 8

ひとこと要約

SplitGuard は、訓練ハイジャック攻撃を検出するクライント側メカニズムであり、悪意あるサーバーがモデル更新を操作してクライントのデータを抽出するのを防ぐ。これは、ランダムにラベル付けされたデータに対するクライントモデルの挙動をプローブすることで機能し、顕著な性能低下が観測されればハイジャックが行われたと判断する。この手法は、最小限の情報漏洩でそのような攻撃を効果的に検出できる。

ABSTRACT

Distributed deep learning frameworks such as split learning provide great benefits with regards to the computational cost of training deep neural networks and the privacy-aware utilization of the collective data of a group of data-holders. Split learning, in particular, achieves this goal by dividing a neural network between a client and a server so that the client computes the initial set of layers, and the server computes the rest. However, this method introduces a unique attack vector for a malicious server attempting to steal the client's private data: the server can direct the client model towards learning any task of its choice, e.g. towards outputting easily invertible values. With a concrete example already proposed (Pasquini et al., CCS '21), such training-hijacking attacks present a significant risk for the data privacy of split learning clients. In this paper, we propose SplitGuard, a method by which a split learning client can detect whether it is being targeted by a training-hijacking attack or not. We experimentally evaluate our method's effectiveness, compare it with potential alternatives, and discuss in detail various points related to its use. We conclude that SplitGuard can effectively detect training-hijacking attacks while minimizing the amount of information recovered by the adversaries.

研究の動機と目的

• 訓練ハイジャック攻撃のリスクに対処すること。この攻撃では、悪意あるサーバーがクライントモデルを操作し、機密データを抽出しようとする。
• サーバーの協力を必要としないクライント側検出メカニズムを設計すること。
• 高い検出精度を維持しながら、敵対者への情報漏洩を最小限に抑えること。
• リソース制約のある環境を含む、多様なクライント能力への実用的導入を可能にすること。

提案手法

• SplitGuard は、訓練データのランダムラベル化されたバージョンにおけるクライントモデルのパフォーマンスを評価し、元のラベルでのパフォーマンスと対比する。
• 元のラベルタスクとシャッフルラベルタスクにおける損失または正答率の差に基づいて、SplitGuard スコアを計算する。
• この手法は、正しく訓練されたモデルは正しいタスクに対しては良好に動作するが、ランダムラベルタスクでは著しく性能が低下するのに対し、ハイジャックされたモデルはそのような低下を示さないという原則に依存している。
• クライントは訓練中に定期的にこのテストを実行することで、操作の兆候を早期に検出できる。
• このアプローチはデータモダリティやモデルアーキテクチャに依存しないため、広範に適用可能である。
• ラベルのランダム化は、誠実なモデルに与える影響が悪意あるモデルよりも大きいと仮定しており、これが核心的な検出シグナルである。

実験結果

リサーチクエスチョン

• RQ1 クライントはサーバーの協力なしに、split learning における訓練ハイジャック攻撃を検出できるか？
• RQ2 ハイジャックの影響を受ける状況下で、ランダムラベルタスクにおけるモデルの挙動は、元のタスクにおける挙動と著しく異なるか？
• RQ3 SplitGuard スコアは、さまざまなデータセットやモデルアーキテクチャにおいて、ハイジャック攻撃を同定するのにどれほど有効か？
• RQ4 ラベル共有が SplitGuard の検出能力およびプライバシーに与える影響は何か？
• RQ5 SplitGuard は複数クライント環境や多様なクライント能力に一般化可能か？

主な発見

• SplitGuard は、ランダムラベルデータにおける顕著なパフォーマンス低下を特定することで、split learning における訓練ハイジャック攻撃を効果的に検出する。
• MNIST、Fashion-MNIST、CIFAR10/100 データセットにおいて、さまざまな攻撃条件下でも高い検出精度を達成している。
• クライントは、サーバーが中間活性化から意味のある情報を抽出する前でも、訓練の初期段階でハイジャックを検出できる。
• ラベルをサーバーに共有しない状況でも、このアプローチは有効であり、プライバシーを保持している。
• SplitGuard は異なるデータモダリティやモデルアーキテクチャに対して頑健であり、一般化性を示している。
• この手法は、機密なモデルパラメータや勾配を共有する必要がないため、敵対者への情報漏洩が最小限に抑えられる。