[论文解读] Attribute Inference Attack of Speech Emotion Recognition in Federated Learning Settings

Tiantian Feng, Hanieh Hashemi+3 more|arXiv (Cornell University)|Dec 26, 2021

Privacy-Preserving Technologies in Data被引用 11

一句话总结

本文提出了一种白盒属性推断攻击，利用联邦学习（FL）中的模型更新来推断敏感客户端属性——具体为性别——针对语音情感识别（SER）模型。该攻击在IEMOCAP、CREMA-D和MSP-Improv数据集上均取得了高准确率，表明SER模型的第一层泄露的信息最多，并且显示差分隐私（DP）可在牺牲SER性能的代价下缓解该攻击。

ABSTRACT

Speech emotion recognition (SER) processes speech signals to detect and characterize expressed perceived emotions. Many SER application systems often acquire and transmit speech data collected at the client-side to remote cloud platforms for inference and decision making. However, speech data carry rich information not only about emotions conveyed in vocal expressions, but also other sensitive demographic traits such as gender, age and language background. Consequently, it is desirable for SER systems to have the ability to classify emotion constructs while preventing unintended/improper inferences of sensitive and demographic information. Federated learning (FL) is a distributed machine learning paradigm that coordinates clients to train a model collaboratively without sharing their local data. This training approach appears secure and can improve privacy for SER. However, recent works have demonstrated that FL approaches are still vulnerable to various privacy attacks like reconstruction attacks and membership inference attacks. Although most of these have focused on computer vision applications, such information leakages exist in the SER systems trained using the FL technique. To assess the information leakage of SER systems trained using FL, we propose an attribute inference attack framework that infers sensitive attribute information of the clients from shared gradients or model parameters, corresponding to the FedSGD and the FedAvg training algorithms, respectively. As a use case, we empirically evaluate our approach for predicting the client's gender information using three SER benchmark datasets: IEMOCAP, CREMA-D, and MSP-Improv. We show that the attribute inference attack is achievable for SER systems trained using FL. We further identify that most information leakage possibly comes from the first layer in the SER model.

研究动机与目标

• 探究是否能够从联邦学习（FL）设置下的模型更新中推断出性别等敏感属性。
• 评估在不共享原始数据的联邦学习（FL）环境中，属性推断攻击的可行性和有效性。
• 识别在联邦学习训练的SER模型中，哪些模型组件或层对信息泄露的贡献最大。
• 评估差分隐私（DP）作为防御机制对这类攻击的缓解效果。
• 探索在应用DP时，模型效用（SER准确率）与隐私保护之间的权衡。

提出的方法

• 攻击采用白盒威胁模型，攻击者可完全访问联邦学习过程中模型参数、超参数和训练配置。
• 在客户端共享的模型更新（梯度或权重）上训练一个性别预测模型，以推断客户端的性别。
• 在三个公开的SER基准数据集（IEMOCAP、CREMA-D和MSP-Improv）上评估该攻击，采用FedSGD和FedAvg联邦学习训练协议。
• 研究分析了SER模型不同层的信息泄露情况，识别出第一层全连接层是主要的信息泄露源。
• 通过梯度裁剪和噪声注入应用差分隐私（DP），以评估其在缓解攻击方面的有效性。
• 在不同隐私预算（ε）下评估攻击者的性能，包括可访问多轮模型更新的情景。

实验结果

研究问题

• RQ1 攻击者能否从联邦语音情感识别系统中的模型更新中推断出客户端的性别？
• RQ2 SER模型的哪些层在联邦学习中对属性信息泄露的贡献最大？
• RQ3 差分隐私在缓解联邦学习基SER模型中的属性推断攻击方面有多有效？
• RQ4 在应用DP时，SER模型性能与隐私保护之间的权衡如何？
• RQ5 访问多轮模型更新是否会增强攻击者推断敏感属性的能力？

主要发现

• 该属性推断攻击在IEMOCAP、CREMA-D和MSP-Improv三个SER数据集上均成功以高准确率预测客户端性别，且仅依赖共享的模型更新。
• SER模型的第一层全连接层对信息泄露的贡献最大，表明早期层表示编码了敏感属性。
• 当隐私预算ε较小时（例如ε ≤ 10），差分隐私（DP）能有效缓解攻击，但在强隐私约束下SER模型性能显著下降。
• 当攻击者可访问多轮模型更新时，即使ε = 1000，攻击仍能恢复有效性，表明DP在重复暴露下效果减弱。
• 基于Dropout的防御措施在减少信息泄露方面无效，表明标准正则化技术在此情境下无法防止属性推断。
• 该攻击在FedSGD中比在FedAvg中更有效，表明联邦学习聚合协议的选择会影响隐私泄露程度。