[论文解读] Unlearnable Examples: Making Personal Data Unexploitable

Hanxun Huang, Xingjun Ma+3 more|arXiv (Cornell University)|Jan 13, 2021

Privacy-Preserving Technologies in Data参考文献 58被引用 46

一句话总结

论文引入误差最小化噪声以创建不可学习的训练样本，使个人数据在深度学习中的利用不可用，同时在正常使用中仍保留数据有用性。

ABSTRACT

The volume of "free" data on the internet has been key to the current success of deep learning. However, it also raises privacy concerns about the unauthorized exploitation of personal data for training commercial models. It is thus crucial to develop methods to prevent unauthorized data exploitation. This paper raises the question: \emph{can data be made unlearnable for deep learning models?} We present a type of \emph{error-minimizing} noise that can indeed make training examples unlearnable. Error-minimizing noise is intentionally generated to reduce the error of one or more of the training example(s) close to zero, which can trick the model into believing there is "nothing" to learn from these example(s). The noise is restricted to be imperceptible to human eyes, and thus does not affect normal data utility. We empirically verify the effectiveness of error-minimizing noise in both sample-wise and class-wise forms. We also demonstrate its flexibility under extensive experimental settings and practicability in a case study of face recognition. Our work establishes an important first step towards making personal data unexploitable to deep learning models.

研究动机与目标

• 激发保护个人数据不被未授权深度学习训练的需求。
• 提出一种新的噪声形式，最小化训练误差以使样本不可学习。
• 开发一个双层优化框架，以生成样本级和类别级的不可学习噪声。
• 在多个数据集和一个面部识别案例研究中展示该方法的有效性。

提出的方法

• 将不可学习数据表述为一个双层优化问题，其中内部极小化在Lp界限内找到一个感知不到的噪声，使训练损失最小化；外部极小化更新分类器，以在扰动数据上的损失最小化。
• 使用两种噪声形式：样本级（逐样本）扰动和类别级（逐标签）扰动。
• 使用带有有界扰动epsilon的投影梯度下降（PGD）来求解内部问题。
• 在训练过程中分段应用噪声生成过程，以确保模型从噪声而非内容中学习。
• 在不同数据集和架构下评估鲁棒性，包括一个面部识别案例研究。

实验结果

研究问题

• RQ1 微不可察的噪声是否能使训练样本对深度神经网络不可学习？
• RQ2 样本级和类别级误差最小化噪声在有效性和鲁棒性方面的比较如何？
• RQ3 该方法是否可在数据集和模型架构之间迁移？
• RQ4 该方法是否能在如人脸识别等实际场景中保护个人数据？

主要发现

• 错误最小化噪声在样本级和类别级形式下均可将CIFAR-10的干净测试准确率降至低于23%。
• 类别级噪声通常比样本级噪声更有效，有时将准确率推至接近随机猜测。
• 该方法在SVHN、CIFAR-10/100，以及ImageNet子集上仍然有效，并可迁移到某些外部数据集。
• 部分不可学习（仅部分数据不可学习）仍会削弱学习， though 完全不可学习提供更强的保护。
• 一个人脸识别/验证案例研究显示对目标身份的显著保护。