A Privacy Study of Sparse Collaborative Inference
Diese Arbeit stellt die Annahme infrage, dass die Sparsifizierung von Aktivierungen bei der kollaborativen Inferenz die Privatsphäre verbessert, indem sie aufzeigt, dass allein die Positionen der beibehaltenen Werte ein schwerwiegendes Datenschutzrisiko darstellen, das eine hochpräzise Rekonstruktion und Reidentifizierung des Inputs ermöglicht, selbst wenn die Übertragungskosten erheblich reduziert werden.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich eine Welt vor, in der Ihr Smartphone nicht die gesamte schwere Arbeit leisten muss, um ein Gesicht zu erkennen oder einen Sprachbefehl zu verstehen. Stattdessen führt es die ersten Schritte des Denkprozesses aus und sendet ein kleines, Zwischenergebnis an einen leistungsstarken Server in der Cloud, um die Aufgabe zu vollenden. Diese Anordnung, bekannt als kollaborative Inferenz, ist eine beliebte Methode, um den Akkuverbrauch und die Rechenleistung unserer Geräte zu schonen. Dies schafft jedoch eine neue Art von Risiko. Obwohl das ursprüngliche Foto oder die Sprachaufnahme Ihr Telefon nie verlässt, ist das Zwischenergebnis, das es sendet, kein zufälliges Durcheinander von Zahlen; es ist ein komprimierter Schnappschuss Ihrer privaten Daten. Wenn ein Hacker oder ein neugieriger Server diesen Schnappschuss abfängt, könnte er in der Lage sein, ihn zu rekonstruieren, um Ihr Gesicht wiederzuerkennen oder Ihre Stimme erneut zu hören. Um dies zu lösen, haben Ingenieure vor kurzem eine Technik namens Sparsifizierung ausprobiert. Die Idee ist simpel: Anstatt jede einzelne Zahl in diesem Schnappschuss zu senden, sendet das Telefon nur die wichtigsten und verwirft den Rest, um Bandbreite zu sparen. Die Hoffnung war, dass man durch das Senden weniger Zahlen auch weniger private Informationen sendet und die Daten dadurch standardmäßig sicherer macht.
Ein Forschungsteam des Fraunhofer Heinrich Hertz Instituts und der Technischen Universität Berlin beschloss zu testen, ob diese Hoffnung tatsächlich wahr ist. Sie wollten herausfinden, ob das Senden weniger Zahlen wirklich bedeutete, dass man auch weniger Datenschutzrisiken birgt, oder ob der Akt der Auswahl, welche Zahlen gesendet werden, eine neue, verborgene Gefahr schuf. Zu diesem Zweck bauten sie ein System, das in der Lage war, die gesendeten Daten in zwei unterschiedliche Teile zu zerlegen: die tatsächlichen Werte der behaltenen Zahlen und die spezifischen Positionen, an denen diese Zahlen innerhalb des größeren Datensatzes gefunden wurden. In ihren Experimenten behandelten sie diese beiden Teile als separate Nachrichten. In einem Szenario sendeten sie nur die Liste der Positionen, an denen die wichtigen Zahlen gefunden wurden, und verbargen die Zahlen selbst vollständig. In einem anderen Szenario wurden die Zahlen gesendet, aber sie wurden an zufällige, bedeutungslose Stellen platziert, sodass die Information über die Position verloren ging. Sie ließen dann zwei Arten von Angreifern versuchen, das ursprüngliche Bild aus diesen Teilnachrichten wieder aufzubauen. Ein Angreifer war ein Standard-Computerprogramm, das versuchte, das Bild allein unter Verwendung der mathematischen Regeln des Systems zu erraten, während der andere ein intelligentes maschinelles Lernmodell war, das mit einer großen Sammlung ähnlicher Bilder trainiert wurde, um die Muster zu dekodieren.
Die Ergebnisse ihrer Studie waren überraschend und widerlegtent die gängige Annahme, dass das Senden weniger Daten automatisch auch sicherere Daten bedeutet. Sie fanden heraus, dass die spezifischen Positionen der Zahlen, oft als „Positionen“ oder „Maske“ bezeichnet, fast alle privaten Informationen trugen. Als die Forscher nur die Liste der Positionen ohne die eigentlichen Zahlen sendeten, waren die Angreifer dennoch in der Lage, ein erkennbares Bild des ursprünglichen Inputs zu rekonstruieren. In Tests mit natürlichen Bildern sahen die rekonstruierten Bilder aus der reinen Positionsliste fast so klar aus wie jene, die aus dem vollständigen Datensatz der Zahlen rekonstruiert wurden. Noch besorgniserregender war, dass die Positionsliste allein bei Tests mit Gesichtern ausreichte, um die Person zu identifizieren. Die Angreifer konnten das rekonstruierte Gesicht mit hoher Genauigkeit der richtigen Person zuordnen, obwohl die feinen Details des Gesichts fehlten und die Zahlen selbst entfernt worden waren. Dies geschah selbst dann, wenn die Menge der gesendeten Daten winzig war und eine massive Reduzierung der Größe im Vergleich zum Original darstellte. Die Forscher entdeckten, dass der Akt der Auswahl, welche Zahlen man behält, selbst ein Geheimcode war, der den Input beschrieb. Das spezifische Muster, welche Stellen aktiv waren, verriet dem Angreifer genau, wie das Bild aussah, unabhängig davon, ob die tatsächlichen Werte vorhanden waren oder nicht.
Die Studie zeigte auch auf, dass die Art und Weise, wie wir Sicherheit derzeit testen, oft zu schwach ist. Die Standardmethode, die auf einem Computerprogramm basiert, das versucht, den Prozess ohne externe Hilfe mathematisch umzukehren, konnte die Gefahr nicht erkennen. Dieser Standardtest hielt die Positionsdaten allein für sicher, da er kein klares Bild rekonstruieren konnte. Als die Forscher jedoch den intelligenteren Angreifer einsetzten, der mit zusätzlichen Daten trainiert worden war, wurde die Gefahr offensichtlich. Der trainierte Angreifer konnte die Liste der Positionen sehr leicht wieder in ein Gesicht zurückverwandeln, das zur Identifizierung der Person ausreichend erkennbar war. Dies bedeutet, dass Systeme, die sich auf den Standardtest verlassen, glauben könnten, sie seien sicher, während sie in Wirklichkeit weit offen für Angriffe sind. Die Forscher fanden heraus, dass dieses Risiko auch dann bestehen blieb, wenn das System auf einen Punkt eingestellt war, an dem es kaum noch für seine eigentliche Aufgabe nützlich war, wie etwa der Objekterkennung. Die Daten waren so spärlich, dass der Server kaum erkennen konnte, was gezeigt wurde, doch die Positionsliste enthielt immer noch genügend Informationen, um ein menschliches Gesicht zu identifizieren.
Letztendlich kommt das Paper zu dem Schluss, dass die Annahme, dass Sparsifizierung die Privatsphäre verbessert, weitgehend falsch ist. Während sie es zwar schafft, die Menge der gesendeten Daten zu reduzieren, reduziert sie das Risiko, private Informationen preiszugeben, nicht im gleichen Verhältnis. Die Gefahr hat sich lediglich von den Werten der Zahlen auf das Muster verschoben, wo diese Zahlen zu finden sind. Die Forscher argumenten, dass die Liste der Positionen nicht länger als harmlose Nebeninformation behandelt werden sollte, die lediglich zur Dekodierung benötigt wird, sondern als sensible Daten, die geschützt werden müssen. Wenn ein System eine spärliche Aktivierung sendet, sendet es effektiv eine Karte des privaten Inputs, und diese Karte ist genauso gefährlich wie der Input selbst. Um die Privatsphäre in diesen Systemen wirklich zu schützen, müssen Ingenieure aufhören anzunehmen, dass das Senden weniger Zahlen ausreicht, und beginnen, das Muster dieser Zahlen mit demselben Maß an Geheimhaltung zu behandeln wie die Daten, die sie repräsentieren.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.