[论文解读] Wide Network Learning with Differential Privacy

Huanyu Zhang, Ilya Mironov+1 more|arXiv (Cornell University)|Mar 1, 2021

Privacy-Preserving Technologies in Data参考文献 54被引用 9

一句话总结

本文提出了一种用于宽深层神经网络的新型差分隐私训练算法，利用嵌入层中常见的梯度稀疏性，显著降低了与隐私相关的准确率损失。通过利用梯度中的稀疏性，该方法在模型规模上实现了对数依赖关系，相较于标准的DP-SGD，显著提升了性能，尤其在自然语言处理和推荐系统等高维设置中表现更优。

ABSTRACT

Despite intense interest and considerable effort, the current generation of neural networks suffers a significant loss of accuracy under most practically relevant privacy training regimes. One particularly challenging class of neural networks are the wide ones, such as those deployed for NLP typeahead prediction or recommender systems. Observing that these models share something in common--an embedding layer that reduces the dimensionality of the input--we focus on developing a general approach towards training these models that takes advantage of the sparsity of the gradients. More abstractly, we address the problem of differentially private empirical risk minimization (ERM) for models that admit sparse gradients. We demonstrate that for non-convex ERM problems, the loss is logarithmically dependent on the number of parameters, in contrast with polynomial dependence for the general case. Following the same intuition, we propose a novel algorithm for privately training neural networks. Finally, we provide an empirical study of a DP wide neural network on a real-world dataset, which has been rarely explored in the previous work.

研究动机与目标

• 解决差分隐私深度学习中显著的准确率下降问题，特别是针对自然语言处理和推荐系统中使用的宽深层神经网络。
• 识别出宽深层神经网络由于输入数据稀疏，尤其是在嵌入层中，常产生稀疏梯度。
• 开发一个理论与实践相结合的框架，通过利用梯度稀疏性来降低经验风险最小化中的隐私成本。
• 证明梯度稀疏性可改善非凸优化中的泛化性能并减少隐私预算消耗。
• 在真实世界数据集上进行实证验证，表明该方法在保持强隐私保证的同时，相较于标准DP-SGD具有更优的模型效用。

提出的方法

• 理论分析表明，对于具有梯度稀疏性的非凸差分隐私ERM，风险界为 $ O\big(\frac{\text{poly}(\text{log } p)}{n^{1/4}}\big) $，相比一般情况下的 $ O\big(\frac{\text{poly}(p)}{\text{sqrt}(n)}\big) $ 显著改进。
• 提出一种新算法，通过修改梯度更新方式以保持稀疏性并减少噪声注入，采用指数机制在稀疏区域实现私有选择。
• 引入一种私有选择机制，优先处理稀疏梯度更新，最大限度减少噪声对模型收敛的影响。
• 采用改进的DP-SGD框架，其中梯度裁剪和噪声添加根据每次更新的稀疏模式进行调整。
• 使用金丝雀短语和基于排名的记忆化度量来实证估计隐私泄露，为超参数调优提供实用工具。
• 应用矩会计技术追踪隐私损失，确保正式的 $(ε, δ)$-差分隐私保证。

实验结果

研究问题

• RQ1 宽深层神经网络中的梯度稀疏性是否可被利用以降低差分隐私学习中的隐私-准确率权衡？
• RQ2 梯度稀疏性如何影响非凸经验风险最小化中的泛化性能和隐私保证？
• RQ3 所提出的算法在真实世界宽深层神经网络任务中是否在模型效用方面优于标准DP-SGD？
• RQ4 基于记忆化的度量是否可作为差分隐私模型中隐私泄露的可靠指标？
• RQ5 输入稀疏性对有效隐私预算和模型收敛性在私有训练中的影响是什么？

主要发现

• 所提方法的风险界为 $ O\big(\frac{\text{poly}(\text{log } p)}{n^{1/4}}\big) $，在模型规模上呈对数依赖，相比一般情况下的多项式依赖有显著优势。
• 在真实世界数据集上的实证结果表明，所提算法在效用方面优于标准DP-SGD，下游任务的困惑度显著更低。
• 基于记忆化的评估显示，所提方法实现了与DP-SGD相当的隐私保护行为，卡方检验的 $ p $-值为 0.00–0.88，表明无显著偏离均匀分布。
• 对于 $ n_c = 15 $ 个金丝雀样本，经验 $ ε $-损失估计在 0.07 到 0.11 之间，表明在群体隐私下具有强隐私保证。
• 卡方距离度量被证明对隐私超参数调优具有敏感性和实用性，有助于实现私有模型的实际部署。
• 即使在训练包含罕见短语的数据集时，该方法仍能保持强隐私性，表现为金丝雀短语排名中无记忆化现象。