[논문 리뷰] TAPAS: a Toolbox for Adversarial Privacy Auditing of Synthetic Data

Florimond Houssiau, J.B. Jordon외 7명|arXiv (Cornell University)|2022. 11. 12.

Privacy-Preserving Technologies in Data인용 수 15

한 줄 요약

TAPAS는 다양한 위협 모델을 통해 합성 데이터의 공격적 프라이버시 감사를 위한 종합적인 도구상자이다. 이는 체계적인 프라이버시 위험 평가를 가능하게 하며, 조건부로 프라이버시 보장이 이루어지는 것으로 간주되는 합성 데이터 생성기조차도 프라이버시 유출 가능성을 드러내며, 효과적 프라이버시 예산(εeff)의 경험적 추정치를 통해 이론적 보장과의 심각한 격차를 보여준다.

ABSTRACT

Personal data collected at scale promises to improve decision-making and accelerate innovation. However, sharing and using such data raises serious privacy concerns. A promising solution is to produce synthetic data, artificial records to share instead of real data. Since synthetic records are not linked to real persons, this intuitively prevents classical re-identification attacks. However, this is insufficient to protect privacy. We here present TAPAS, a toolbox of attacks to evaluate synthetic data privacy under a wide range of scenarios. These attacks include generalizations of prior works and novel attacks. We also introduce a general framework for reasoning about privacy threats to synthetic data and showcase TAPAS on several examples.

연구 동기 및 목표

• 합성 데이터 생성기의 경험적 프라이버시 평가에 대한 핵심적 격차를 해소하기 위해, 일반적으로 프라이버시 보장이 있다고 간주되지만 여전히 민감한 정보를 유출할 수 있는 문제를 다루는 것.
• 다양한 공격자 지식과 목표를 포함하는 프라이버시 위협 시나리오에서 통합적이고 확장 가능한 프레임워크를 개발하는 것.
• 실제 조건에서 작동하는 실용적이고 재현 가능한 프라이버시 공격 라이브러리를 구현하여 합성 데이터 생성기를 테스트하는 것.
• 경험적 프라이버시 예산(εeff)을 추정하고 이론적 차별적 프라이버시 보장과 비교하는 것.
• 현재 합성 데이터 평가 관행의 한계를 드러내고, 맥락 인식 기반의 프라이버시 감사를 촉진하는 것.

제안 방법

• 공격자 배경 지식(예: 데이터셋 접근, 생성기 블랙박스 접근 등)과 공격 목표(예: 멤버십 추론, 속성 추론 등)를 체계화하는 일반적인 위협 모델링 프레임워크를 제안한다.
• 다양한 공격 유형을 구현한 모듈식 소프트웨어 도구상자를 도입한다: 국소 주변 공격, 합성 데이터 기반 추론 공격, Groundhog 공격, 랜덤 쿼리 기능을 갖춘 샤로우 모델링.
• 이중 단계 평가 파이프라인을 사용한다: 첫 번째 단계에서는 공격 성능을 부분 집합에서 평가하여 최적의 하이퍼파rameter를 선정하고, 두 번째 단계에서는 Jagielski 등 [14]의 방법을 사용하여 εeff에 대한 통계적 추정을 수행한다.
• 정확도, AUC, 프라이버시 이득 등의 다양한 지표를 사용하여 다양한 생성기와 위협 모델 간의 공격 성능을 평가한다.
• 실제 데이터(2011년 영국 총조사 마이크로데이터)와 세 가지 생성기(PrivBayes(ε-DP), MST(ε,δ-DP), CT-GAN(비공식 프라이버시))를 적용한다.
• 통계적 신뢰구간을 사용하여 εeff를 추정하고 이론적 ε 값과 비교하여 프라이버시 보장의 격차를 식별한다.

실험 결과

연구 질문

• RQ1 공격자가 생성기의 제한된 지식과 합성 데이터만을 사용하여 실제 기록의 멤버십 또는 속성을 얼마나 잘 추론할 수 있는가?
• RQ2 다양한 합성 데이터 생성기에서, 다양한 공격 전략(예: 샤로우 모델링, Groundhog, 국소 주변 공격) 간의 프라이버시 침해 능력은 어떻게 비교되는가?
• RQ3 실제로 이론적 차별적 프라이버시 보장(ε, δ)과 경험적 추정된 효과적 프라이버시 예산(εeff) 간의 일치 정도는 어느 정도인가?
• RQ4 이론적으로 차별적 프라이버시 보장이 있는 생성기, 예를 들어 ε=10인 MST와 같은 경우, 도구상자가 프라이버시 유출을 탐지할 수 있는가?
• RQ5 이론적 프라이버시 예산과 경험적 추정된 εeff 간의 격차를 초래하는 요인는 무엇인가?

주요 결과

• 랜덤 쿼리 기능을 갖춘 샤로우 모델링 공격이 다른 공격보다 뛰어났으며, 멤버십 추론에서 AUC 0.70을 기록하여 Groundhog 공격의 0.63보다 높았다.
• ε=10인 MST 생성기의 경험적 효과적 프라이버시 예산(εeff) 추정치는 [0.86, 1.39]였으며, 이는 이론적 ε 값과의 심각한 격차를 시사했다.
• 이론적 프라이버시 예산 ε=10은 추정된 εeff의 95% 신뢰구간에 포함되지 않았으며, 이는 공식 프라이버시 분석의 유연성 또는 공격 최적성의 문제를 시사한다.
• PrivBayes와 MST와 같은 차별적 프라이버시 보장이 있는 생성기조차도 강력한 공격자 가정 하에서 측정 가능한 프라이버시 누출을 보였으며, 이는 공식 보장만으로는 충분하지 않음을 시사한다.
• 도구상자는 CT-GAN 생성기(공식 프라이버시 보장이 없는 경우)가 모든 테스트 공격에 취약하다는 점을 성공적으로 식별하여, 이 생성기가 프라이버시 보호를 제공하지 못한다는 점을 확인했다.
• 결과적으로, 실제 위협 상황에서의 경험적이고 공격 기반의 합성 데이터 프라이버시 평가의 필요성을 강조하며, 공식 보장이 실질적 프라이버시를 보장하지는 않음을 시사한다.