[论文解读] privGAN: Protecting GANs from membership inference attacks at low cost

Sumit Mukherjee, Yixi Xu+2 more|arXiv (Cornell University)|Dec 31, 2019

Privacy-Preserving Technologies in Data参考文献 34被引用 11

一句话总结

privGAN 是一种新颖的 GAN 架构，通过训练生成器同时欺骗判别器和专门的对抗性对手，有效减少对训练数据的记忆化，从而增强成员隐私保护。与非私有 GAN 相比，它在样本质量与下游任务性能方面仅造成最小程度的退化，即可实现对白盒和黑盒成员推理攻击的强效防护。

ABSTRACT

Generative Adversarial Networks (GANs) have made releasing of synthetic images a viable approach to share data without releasing the original dataset. It has been shown that such synthetic data can be used for a variety of downstream tasks such as training classifiers that would otherwise require the original dataset to be shared. However, recent work has shown that the GAN models and their synthetically generated data can be used to infer the training set membership by an adversary who has access to the entire dataset and some auxiliary information. Current approaches to mitigate this problem (such as DPGAN) lead to dramatically poorer generated sample quality than the original non--private GANs. Here we develop a new GAN architecture (privGAN), where the generator is trained not only to cheat the discriminator but also to defend membership inference attacks. The new mechanism provides protection against this mode of attack while leading to negligible loss in downstream performances. In addition, our algorithm has been shown to explicitly prevent overfitting to the training set, which explains why our protection is so effective. The main contributions of this paper are: i) we propose a novel GAN architecture that can generate synthetic data in a privacy preserving manner without additional hyperparameter tuning and architecture selection, ii) we provide a theoretical understanding of the optimal solution of the privGAN loss function, iii) we demonstrate the effectiveness of our model against several white and black--box attacks on several benchmark datasets, iv) we demonstrate on three common benchmark datasets that synthetic images generated by privGAN lead to negligible loss in downstream performance when compared against non--private GANs.

研究动机与目标

• 解决 GAN 对成员推理攻击的脆弱性，此类攻击利用对训练数据的记忆化特性。
• 开发一种隐私保护型 GAN 架构，可在不牺牲下游效用的前提下生成高质量的合成数据。
• 提供一种实用的防御机制，几乎无需超参数调优且无需架构变更。
• 从理论和实证两方面验证 privGAN 能够减少记忆化并增强成员隐私。
• 证明 privGAN 在保持样本质量的同时，优于现有防御方法（如 DPGAN 和 PATE-GAN），可有效抵御最先进的攻击。

提出的方法

• 引入双对抗训练设置，使生成器同时欺骗判别器和独立的成员推理对抗者。
• 制定一种私有化 GAN 损失函数，包含惩罚训练样本记忆化的正则化项，由超参数 λ 和 N 控制。
• 并行训练多个生成器-判别器对，其中对抗者学习基于成员身份区分真实样本与合成样本。
• 使用类 oracle 的成员推理攻击作为最强对手的代理，以评估鲁棒性。
• 将该框架应用于图像数据集，并使用 FID 和下游分类准确率等标准指标评估隐私与效用的权衡。
• 对 λ 和 N 进行网格搜索，以针对特定用例平衡隐私与效用。

实验结果

研究问题

• RQ1 能否设计一种 GAN 架构，使其在同时生成高质量合成数据并抵抗成员推理攻击？
• RQ2 与标准 GAN 相比，privGAN 中的私有化损失函数在多大程度上减少了对训练数据的记忆化？
• RQ3 与非私有 GAN 相比，privGAN 在多大程度上保持了下游模型性能（如分类准确率）？
• RQ4 在隐私-效用权衡方面，privGAN 与现有防御方法（如 DPGAN 和 PATE-GAN）相比表现如何？
• RQ5 privGAN 的超参数 λ 和 N 与模型抵抗成员推理攻击能力之间存在何种理论关系？

主要发现

• privGAN 在判别器上对白盒成员推理攻击实现了近乎完美的防护，攻击准确率相比非私有 GAN 显著下降。
• 模型在下游性能方面损失可忽略不计：由 privGAN 生成的合成数据在基准数据集上的分类准确率与非私有 GAN 相当。
• 私有化损失函数有效正则化了生成器，减少了对训练样本的记忆化，这解释了其增强的隐私特性。
• 理论分析表明，当数据量足够大时，privGAN 收敛至与非私有 GAN 相同的最优解，确保数据分布学习无根本性退化。
• 实证结果表明，privGAN 在保持样本质量方面优于 DPGAN 和 PATE-GAN，同时提供更强的隐私保障。
• 对 λ 和 N 的超参数调优使用户能够平衡隐私与效用，通过网格搜索可实现特定应用的优化。