[论文解读] Synthetic Data -- Anonymisation Groundhog Day

Theresa Stadler, Bristena Oprisanu+1 more|arXiv (Cornell University)|Nov 13, 2020

Privacy-Preserving Technologies in Data参考文献 52被引用 9

一句话总结

本文通过定量评估合成数据与传统匿名化方法在隐私-效用权衡上的表现，挑战了将合成数据视为隐私保护万能解的普遍认知。研究发现，合成数据要么无法有效防范推理攻击，要么在保护隐私的同时显著牺牲数据效用，且隐私增益具有不可预测性和高度依赖实现方式的特性，尤其在差分隐私保证下更为明显。

ABSTRACT

Synthetic data has been advertised as a silver-bullet solution to privacy-preserving data publishing that addresses the shortcomings of traditional anonymisation techniques. The promise is that synthetic data drawn from generative models preserves the statistical properties of the original dataset but, at the same time, provides perfect protection against privacy attacks. In this work, we present the first quantitative evaluation of the privacy gain of synthetic data publishing and compare it to that of previous anonymisation techniques. Our evaluation of a wide range of state-of-the-art generative models demonstrates that synthetic data either does not prevent inference attacks or does not retain data utility. In other words, we empirically show that synthetic data does not provide a better tradeoff between privacy and utility than traditional anonymisation techniques. Furthermore, in contrast to traditional anonymisation, the privacy-utility tradeoff of synthetic data publishing is hard to predict. Because it is impossible to predict what signals a synthetic dataset will preserve and what information will be lost, synthetic data leads to a highly variable privacy gain and unpredictable utility loss. In summary, we find that synthetic data is far from the holy grail of privacy-preserving data publishing.

研究动机与目标

• 通过实证方法评估合成数据是否在隐私-效用权衡上优于传统匿名化技术。
• 探究即使数据为人工生成，合成数据集是否仍易受链接攻击和属性推理攻击的影响。
• 评估用于发布合成数据的生成模型中差分隐私保证的可靠性。
• 开发并开源一个评估框架，供从业者比较不同数据发布方法在隐私和效用方面的表现。
• 证明合成数据无法解决高维数据共享中固有的隐私-效用权衡问题。

提出的方法

• 在真实世界数据集（如Texas和UCI数据集）上，对最先进生成模型（如PrivBayes、GANs）进行定量评估。
• 提出两种新型隐私攻击：一种针对异常值记录的链接攻击，另一种针对敏感属性（如RiskMortality）的属性推理攻击。
• 通过测量隐私增益（PG）和效用优势（AdvU），将合成数据与传统行级清洗及差分隐私发布结果进行比较。
• 通过黑盒方式访问生成模型，模拟真实世界中的对抗性场景，无需获取模型内部结构。
• 重新实现两种差分隐私生成算法（如PrivBayes及其类似方法），以修正违反正式隐私保证的实现缺陷。
• 开发一个开源评估库，支持对多种数据发布技术在隐私和效用方面的可复现基准测试。

实验结果

研究问题

• RQ1 与传统行级匿名化技术相比，合成数据是否能提供更优的隐私-效用权衡？
• RQ2 攻击者仅凭合成数据集，能在多大程度上推断出原始数据集中特定个体记录的存在？
• RQ3 与确定性清洗相比，合成数据发布中的隐私增益和效用损失在多大程度上可预测？
• RQ4 现有差分隐私生成模型在实践中是否真正维持了其正式的隐私保证？
• RQ5 实现层面的决策对合成数据的隐私和效用有何影响？

主要发现

• 在未显式保护隐私的情况下生成的合成数据，无法有效防范链接攻击，攻击者可高度置信地推断出目标记录的存在。
• 差分隐私保护的合成数据通过抑制个体记录信号降低了隐私泄露风险，但代价是显著的效用损失，尤其对少数群体子群影响更大。
• 合成数据中的隐私-效用权衡极难预测：无法提前判断哪些数据特征会被保留或抑制。
• 在两种广泛应用的差分隐私生成模型（如PrivBayes）中存在实现缺陷，违反了其正式的隐私保证，导致部分记录易受推理攻击。
• 即使合成数据保留了总体统计特征，其引入的噪声仍会降低效用，相较于基于查询的传统隐私机制表现更差。
• 评估框架揭示，高隐私保护级别的合成数据集往往效用较低，可能导致数据驱动决策中出现偏差或错误结论。