[论文解读] Get your Foes Fooled: Proximal Gradient Split Learning for Defense against Model Inversion Attacks on IoMT data

Sunder Ali Khowaja, Ik Hyun Lee+3 more|arXiv (Cornell University)|Jan 12, 2022

Adversarial Robustness in Machine Learning被引用 6

一句话总结

本文提出了一种名为近端梯度拆分学习（PGSL）的防御机制，用于保护物联网医疗系统（IoMT）中的模型反演攻击。通过在拆分学习过程中结合近端梯度优化与决策级融合，PGSL 扰乱基于梯度的数据重建，同时在对抗性攻击图像上将识别准确率提升高达36.9%，有效保护患者数据隐私，且不损害模型性能。

ABSTRACT

The past decade has seen a rapid adoption of Artificial Intelligence (AI), specifically the deep learning networks, in Internet of Medical Things (IoMT) ecosystem. However, it has been shown recently that the deep learning networks can be exploited by adversarial attacks that not only make IoMT vulnerable to the data theft but also to the manipulation of medical diagnosis. The existing studies consider adding noise to the raw IoMT data or model parameters which not only reduces the overall performance concerning medical inferences but also is ineffective to the likes of deep leakage from gradients method. In this work, we propose proximal gradient split learning (PSGL) method for defense against the model inversion attacks. The proposed method intentionally attacks the IoMT data when undergoing the deep neural network training process at client side. We propose the use of proximal gradient method to recover gradient maps and a decision-level fusion strategy to improve the recognition performance. Extensive analysis show that the PGSL not only provides effective defense mechanism against the model inversion attacks but also helps in improving the recognition performance on publicly available datasets. We report 14.0$\%$, 17.9$\%$, and 36.9$\%$ gains in accuracy over reconstructed and adversarial attacked images, respectively.

研究动机与目标

• 解决模型反演攻击日益增长的威胁，该威胁会损害 IoMT 系统中的患者数据隐私。
• 克服现有防御方法在面对 iDLG 和 DLG 等高级攻击时性能下降或失效的局限性。
• 开发一种鲁棒的防御机制，在保持高识别准确率的同时保护医疗图像分类中的数据隐私。
• 通过结合近端梯度优化的拆分学习，实现在敏感医疗应用中安全、隐私保护的深度学习。

提出的方法

• 所提出的 PGSL 框架利用近端梯度方法在拆分学习过程中恢复梯度图，从而破坏攻击者从梯度中重建原始 IoMT 数据的能力。
• 采用决策级融合策略，整合多个客户端的预测结果，以提升识别性能和对对抗性输入的鲁棒性。
• 该方法在客户端训练过程中有意引入扰动，以误导试图进行模型反演的攻击者，同时不降低模型的实用性。
• PGSL 集成于拆分学习架构中，模型权重通过协作训练，而原始数据始终保留在本地设备，确保数据隐私。
• 通过近端梯度优化对框架进行评估，以在对抗性条件下稳定训练并提升泛化能力。
• 针对特定数据集（MIAS 和 MNIST）调整超参数，以优化不同医学图像模态下的性能。

实验结果

研究问题

• RQ1 近端梯度拆分学习是否能在不降低识别准确率的前提下，有效防御 IoMT 数据的模型反演攻击？
• RQ2 与 iDLG、DLG 和 FGSM 等最先进攻击相比，PGSL 在数据重建成功率和模型性能方面表现如何？
• RQ3 PGSL 中的决策级融合在重建图像和对抗性扰动图像上的识别准确率提升程度如何？
• RQ4 PGSL 是否可扩展至异构医学数据模态，如 X 光片、CT 扫描和电子健康记录？

主要发现

• 在 MIAS 数据集上，PGSL 达到了 83.2% 的识别准确率，相较于基线攻击重建图像的准确率提升了 14.0%。
• 在 MNIST 数据集上，PGSL 达到了 99.8% 的准确率，相较于 iDLG 攻击方法提升了 36.9%。
• 该方法通过破坏基于梯度的重建过程，显著降低了模型反演攻击的成功率，尤其有效对抗 iDLG 和 DLG 技术。
• PGSL 展现出卓越的鲁棒性，在遭受 FGSM 和 BIM 等对抗性扰动时仍能保持高性能。
• 决策级融合策略显著提升了识别性能，尤其在高噪声或重建条件下表现突出。
• 该框架可适配多种医学影像模态，并可扩展至虚拟医疗环境（如元宇宙和数字孪生）应用。