[论文解读] Beyond Random Noise: Insights on Anonymization Strategies from a Latent Bandit Study

Alexander Galozy, Sadi Alawadi+2 more|arXiv (Cornell University)|Sep 30, 2023

Privacy-Preserving Technologies in DataComputer Science被引用 3

一句话总结

本文在潜在多臂赌博机设置下评估了隐私保护的匿名化策略，表明仅通过简单噪声注入（如拉普拉斯机制）会损害性能且无法确保隐私；而结合噪声与聚合策略（如聚类和平均）则能实现更优的隐私-性能权衡。研究发现，标准隐私度量指标（如ADS）无法可靠预测去匿名化风险，呼吁采用针对攻击场景的评估方法，而非依赖通用的、一刀切的解决方案。

ABSTRACT

This paper investigates the issue of privacy in a learning scenario where users share knowledge for a recommendation task. Our study contributes to the growing body of research on privacy-preserving machine learning and underscores the need for tailored privacy techniques that address specific attack patterns rather than relying on one-size-fits-all solutions. We use the latent bandit setting to evaluate the trade-off between privacy and recommender performance by employing various aggregation strategies, such as averaging, nearest neighbor, and clustering combined with noise injection. More specifically, we simulate a linkage attack scenario leveraging publicly available auxiliary information acquired by the adversary. Our results on three open real-world datasets reveal that adding noise using the Laplace mechanism to an individual user's data record is a poor choice. It provides the highest regret for any noise level, relative to de-anonymization probability and the ADS metric. Instead, one should combine noise with appropriate aggregation strategies. For example, using averages from clusters of different sizes provides flexibility not achievable by varying the amount of noise alone. Generally, no single aggregation strategy can consistently achieve the optimum regret for a given desired level of privacy.

研究动机与目标

• 调查在现实链接攻击情境下，隐私保护推荐系统中匿名化策略的有效性。
• 评估传统基于噪声的方法（如拉普拉斯机制）是否能在不降低性能的前提下提供充分的隐私保护。
• 评估ADS度量指标在预测现实世界去匿名化风险方面的可靠性。
• 探索将噪声与聚合策略结合是否优于单独使用任一技术。
• 倡导基于攻击场景设计隐私机制，而非依赖通用度量指标或通用解决方案。

提出的方法

• 采用潜在多臂赌博机框架，模拟推荐任务中用户知识的共享行为。
• 应用多种匿名化策略：拉普拉斯噪声、tSVD变换，以及通过平均、最近邻和聚类实现的聚合。
• 使用真实世界数据集（CASAS、Endomondo、Fitbit）评估隐私与性能之间的权衡。
• 在链接攻击场景中，对手利用公开的辅助数据重新识别已匿名化的记录。
• 通过遗憾度量性能，通过去匿名化概率和ADS度量隐私。
• 比较不同噪声水平和聚合配置下的匿名化结果，以识别最优权衡。

实验结果

研究问题

• RQ1 向单个用户记录添加拉普拉斯噪声是否能有效保护隐私，同时维持推荐系统的性能？
• RQ2 聚类和平均等聚合策略是否能提供优于仅使用噪声的隐私-性能权衡？
• RQ3 ADS度量指标在链接攻击中预测实际去匿名化概率的能力如何？
• RQ4 是否存在一种单一的最优匿名化策略，能在所有隐私水平下表现良好？
• RQ5 标准隐私度量在多大程度上误导数据拥有者对实际重识别风险的认知？

主要发现

• 向单个记录添加拉普拉斯噪声在所有噪声水平下均导致最高的遗憾值，表明性能差且隐私保护能力弱。
• 将噪声与聚合（尤其是不同聚类规模的聚类）结合，可提供比仅调节噪声水平更高的灵活性和更优的隐私-性能权衡。
• 没有单一的聚合策略能在所有期望的去匿名化概率下实现最优遗憾值，表明需要多种策略以实现全面保护。
• ADS度量指标与实际去匿名化概率存在显著偏差：在高噪声水平下高估隐私，在低噪声水平下低估隐私。
• 即使简单的去匿名化算法也会导致对隐私的严重高估，表明更先进的攻击将更进一步削弱当前度量指标的可信度。
• 研究结果表明，隐私机制必须基于现实攻击模型进行评估，而非依赖通用度量指标（如ADS）或基于GAN的匿名化目标。