[论文解读] Practical Privacy Filters and Odometers with Rényi Differential Privacy and Applications to Differentially Private Deep Learning

Mathias Lécuyer|arXiv (Cornell University)|Mar 2, 2021

Privacy-Preserving Technologies in Data参考文献 8被引用 8

一句话总结

本文提出基于Rényi差分隐私（RDP）的实用隐私过滤器与里程计，实现深度学习中自适应的隐私预算分配。相比以往工作，该方法在组合定理中使用更小的常数，实现了更紧致的隐私会计，从而支持实时调整噪声与批量大小，并实现早停——在CIFAR-10与ImageNet上的微调中，固定隐私预算下准确率最高提升2.5%，隐私损失最高降低75%。

ABSTRACT

Differential Privacy (DP) is the leading approach to privacy preserving deep learning. As such, there are multiple efforts to provide drop-in integration of DP into popular frameworks. These efforts, which add noise to each gradient computation to make it DP, rely on composition theorems to bound the total privacy loss incurred over this sequence of DP computations. However, existing composition theorems present a tension between efficiency and flexibility. Most theorems require all computations in the sequence to have a predefined DP parameter, called the privacy budget. This prevents the design of training algorithms that adapt the privacy budget on the fly, or that terminate early to reduce the total privacy loss. Alternatively, the few existing composition results for adaptive privacy budgets provide complex bounds on the privacy loss, with constants too large to be practical. In this paper, we study DP composition under adaptive privacy budgets through the lens of Rényi Differential Privacy, proving a simpler composition theorem with smaller constants, making it practical enough to use in algorithm design. We demonstrate two applications of this theorem for DP deep learning: adapting the noise or batch size online to improve a model's accuracy within a fixed total privacy loss, and stopping early when fine-tuning a model to reduce total privacy loss.

研究动机与目标

• 为解决现有差分隐私组合定理在实际应用中的局限性，这些定理要求固定隐私预算，阻碍了自适应训练策略的实施。
• 开发高效的隐私过滤器与里程计，实现在训练过程中动态调整噪声与批量大小，同时保持强隐私保证。
• 在微调场景中实现早停，而不损害隐私，从而减少总隐私损失。
• 通过真实世界实验，展示基于RDP的组合在自适应差分隐私深度学习中的实用性。
• 弥合理论隐私组合与DP深度学习框架中实际实现之间的差距。

提出的方法

• 利用Rényi差分隐私（RDP）简化隐私会计，降低组合定理中的常数，使方法在自适应场景中具有实际可用性。
• 设计一种隐私过滤器，实现在固定总隐私损失约束下的自适应预算分配，且自适应无额外成本。
• 构建一种隐私里程计，提供训练过程中累积隐私损失的实时上界，支持早停。
• 采用嵌套过滤器设计与指数增长的过滤器，匹配先前工作中最优的组合速率，同时提升效率。
• 在DP-SGD的梯度计算中应用RDP组合，实现对训练过程中隐私损失的精确且高效追踪。
• 采用自适应策略，根据模型性能随时间减少噪声标准差，从而在固定隐私预算下提升准确率。

实验结果

研究问题

• RQ1 能否在RDP框架下构建隐私过滤器，实现无自适应开销的自适应预算分配，从而在训练过程中实现动态预算分配？
• RQ2 能否设计一种实用的隐私里程计，支持早停，并在自适应预算下提供紧致的实时隐私损失上界？
• RQ3 在固定隐私预算下，自适应噪声缩放与早停在DP深度学习中能将模型准确率提升多少？
• RQ4 在实际深度学习场景中，基于RDP的组合能否实现比现有$(\epsilon,\delta)$-DP组合定理更紧致的隐私会计？
• RQ5 在微调过程中，自适应预算分配在不牺牲模型性能的前提下，能在多大程度上减少总隐私损失？

主要发现

• 所提出的隐私过滤器在训练过程中实现噪声与批量大小的自适应调整，且无额外隐私成本，在固定隐私预算$\epsilon = 5.76$下，CIFAR-10上的准确率提升超过2.5%。
• 利用隐私里程计，在微调过程中于第20轮停止，总隐私损失从$\epsilon = 5.76$降低至$\epsilon = 4.7$，实现早停。
• 采用自适应策略将噪声从$\sigma = 2$降低至$\sigma = 1$，模型仅用8个周期即达到80%准确率，且隐私损失仅为$\epsilon = 1.45$，相比非自适应训练降低了75%。
• 该自适应策略在最后层微调中保持了性能，证明其在多种训练范式中具有广泛适用性。
• 基于RDP的里程计构造实现了最优组合速率，并在大预算深度学习场景中实现了高效、实时的隐私会计。
• 结果表明，RDP使实用、高效且灵活的隐私会计成为可能，从而解锁了新型算法设计，如在线神经架构搜索与DP约束下的动态超参数调优。