[论文解读] Theory-Oriented Deep Leakage from Gradients via Linear Equation Solver.

Xudong Pan, Mi Zhang+3 more|arXiv (Cornell University)|Oct 26, 2020

Adversarial Robustness in Machine Learning参考文献 47被引用 9

一句话总结

该论文提出了一种基于理论的、针对具有ReLU激活函数的深度神经网络的数据重建攻击方法，通过将梯度建模为稀疏线性系统。该方法证明，仅被激活的神经元可实现样本特定激活模式的分离，从而在全连接网络和卷积网络中实现近乎完美的输入与标签重建，均方误差低于10^{-6}，标签准确率超过99%。

ABSTRACT

In this paper, we take a theory-oriented approach to systematically study the privacy properties of gradients from a broad class of neural networks with rectified linear units (ReLU), probably the most popular activation function used in current deep learning practices. By utilizing some intrinsic properties of neural networks with ReLU, we prove the existence of exclusively activated neurons is critical to the separability of the activation patterns of different samples. Intuitively, an activation pattern is like the fingerprint of the corresponding sample during the training process. With the separated activation patterns, we for the first time show the equivalence of data reconstruction attacks with a sparse linear equation system. In practice, we propose a novel data reconstruction attack on fully-connected neural networks and extend the attack to more commercial convolutional neural network architectures. Our systematic evaluations cover more than $10$ representative neural network architectures (e.g., GoogLeNet, VGGNet and $6$ more), on various real-world scenarios related with healthcare, medical imaging, location, face recognition and shopping behaviors. In the majority of test cases, our proposed attack is able to infer ground-truth labels in the training batch with near $100\%$ accuracy, reconstruct the input data to fully-connected neural networks with lower than $10^{-6}$ MSE error, and provide better reconstruction results on both shallow and deep convolutional neural networks than previous attacks.

研究动机与目标

• 系统分析ReLU基础的深度神经网络中梯度的隐私风险。
• 识别基于梯度的数据重建在理论上可行的条件。
• 提出一种新颖且可扩展的攻击方法，利用激活模式可分离性实现高保真度的数据重建。
• 在包括医学影像和人脸识别在内的多种真实世界数据集和网络架构上评估该攻击。

提出的方法

• 理论分析表明，仅被激活的神经元是分离不同样本间激活模式的关键因素。
• 本文建立了数据重建与从梯度中推导出的稀疏线性方程组求解之间的等价关系。
• 提出了一种新颖的攻击框架，将输入重建建模为利用梯度信息求解线性方程组的问题。
• 该方法被扩展至全连接网络，并通过架构感知的梯度分解技术适配于GoogLeNet和VGGNet等卷积架构。
• 该方法利用ReLU网络的内在特性，确保线性系统具有良好的适定性并可求解。
• 通过线性方程求解器实现梯度的反演，从而重建输入和标签。

实验结果

研究问题

• RQ1 在ReLU网络中，梯度在何种理论条件下会泄露单个训练样本的信息？
• RQ2 激活模式的可分离性能否被形式化地关联到用于数据重建的线性系统可解性？
• RQ3 所提出的攻击在多种神经网络架构中重建输入和标签的效率如何？
• RQ4 与先前工作相比，该攻击在重建准确率和真实世界数据集上的泛化能力如何？

主要发现

• 在超过90%的测试案例中，该攻击实现了近乎完美的标签恢复，训练批次标签的重建准确率超过99%。
• 对于全连接网络，输入重建的均方误差（MSE）低于10^{-6}，表明实现了近乎无损的恢复。
• 该方法在包括医学影像和人脸识别在内的基准测试中，于浅层和深层卷积神经网络上均优于先前的攻击方法。
• 理论基础使其能够泛化至10余种架构，包括GoogLeNet和VGGNet。
• 研究发现，仅被激活的神经元的存在是成功分离激活模式并实现后续重建的必要条件。
• 该攻击在多种真实世界场景中表现出鲁棒性，包括医疗保健、位置追踪和购物行为数据。