[论文解读] Membership Privacy for Machine Learning Models Through Knowledge Transfer

Virat Shejwalkar, Amir Houmansadr|arXiv (Cornell University)|Jun 15, 2019

Adversarial Robustness in Machine Learning被引用 4

一句话总结

本文提出了一种基于知识蒸馏的防御方法——成员隐私蒸馏（DMP），在不牺牲分类准确率的前提下增强了机器学习模型的成员隐私保护。通过从无保护的教师模型中选择预测熵较低的参考数据，DMP 将软标签迁移至学生模型，实现了当前最优的隐私-效用权衡——例如，在 CIFAR100 上实现 65.3% 的准确率与 53.7% 的 MIA 风险，相较于在相似隐私水平下采用对抗正则化的模型，准确率提升 100%。

ABSTRACT

Large capacity machine learning (ML) models are prone to membership inference attacks (MIAs), which aim to infer whether the target sample is a member of the target model's training dataset. The serious privacy concerns due to the membership inference have motivated multiple defenses against MIAs, e.g., differential privacy and adversarial regularization. Unfortunately, these defenses produce ML models with unacceptably low classification performances. Our work proposes a new defense, called distillation for membership privacy (DMP), against MIAs that preserves the utility of the resulting models significantly better than prior defenses. DMP leverages knowledge distillation to train ML models with membership privacy. We provide a novel criterion to tune the data used for knowledge transfer in order to amplify the membership privacy of DMP. Our extensive evaluation shows that DMP provides significantly better tradeoffs between membership privacy and classification accuracies compared to state-of-the-art MIA defenses. For instance, DMP achieves ~100% accuracy improvement over adversarial regularization for DenseNet trained on CIFAR100, for similar membership privacy (measured using MIA risk): when the MIA risk is 53.7%, adversarially regularized DenseNet is 33.6% accurate, while DMP-trained DenseNet is 65.3% accurate.

研究动机与目标

• 解决现有防御方法在成员推理攻击（MIAs）中隐私-效用权衡不佳的问题。
• 开发一种在显著降低成员信息泄露的同时保持模型效用的防御机制。
• 将知识蒸馏作为独立技术用于成员隐私保护，而非与差分隐私结合使用。
• 提供一种选择或生成参考数据的标准，以增强成员隐私保护。
• 评估 DMP 对自适应攻击以及参考数据中隐私泄露的鲁棒性。

提出的方法

• 在私有训练数据上训练一个无保护的教师模型，以捕捉记忆化的模式。
• 选择或生成参考数据，使得教师模型在该数据上的预测具有低熵，从而最小化成员信息泄露。
• 使用知识蒸馏将教师模型的软标签迁移至在参考数据上训练的受保护学生模型。
• 使用相同的网络架构训练教师和学生模型，以保持性能并实现有效的蒸馏。
• 在教师模型的 softmax 层中应用温度缩放，进一步降低预测置信度和信息泄露。
• 通过 GAN 生成合成参考数据，从而无需真实参考数据，同时保持隐私和性能。

实验结果

研究问题

• RQ1 知识蒸馏能否作为独立防御手段，以改善成员隐私-效用权衡？
• RQ2 参考数据上模型预测的熵如何影响成员推理风险？
• RQ3 从训练数据生成的合成参考数据能否维持强隐私保护和高效用？
• RQ4 与最先进的防御方法（如对抗正则化和 PATE）相比，DMP 在准确率和 MIA 抗性方面表现如何？
• RQ5 自适应成员推理攻击能否利用 DMP 中的参考数据选择机制？

主要发现

• 在 DenseNet 上，DMP 在 CIFAR100 上实现了 65.3% 的测试准确率与 53.7% 的 MIA 风险，相较于在相似隐私水平下采用对抗正则化的模型（准确率 33.6%），准确率提升 100%。
• 使用合成参考数据时，DMP 仍保持优异性能：在 CIFAR10 上实现 57.5% 的测试准确率与 52.1% 的白盒 MIA 准确率，使用 37.5k 个合成样本。
• 在参考数据上使用低熵预测显著降低了成员推理风险，当使用 37.5k 个合成样本时，MIA 风险降至 5.0%。
• DMP 在准确率和隐私保护方面均优于 PATE：DMP 实现 76.79% 的测试准确率与 50.8% 的白盒 MIA 准确率，而 PATE 即使在高隐私预算下性能依然较低。
• 基于特征空间中与参考数据接近度的自适应攻击未表现出显著优势，因为接近度与预测熵无相关性，表明对这类策略具有鲁棒性。
• 参考数据本身不会泄露成员信息，因为蒸馏过程中使用的软标签掩盖了真实标签，从而防止对 $X_{\mathsf{ref}}$ 成功实施 MIA。