Fed-Listing: Federated Label Distribution Inference in Graph Neural Networks
यह शोध पत्र Fed-Listing को प्रस्तुत करता है, जो एक नवीन ग्रेडिएंट-आधारित हमला है जो केवल अंतिम-परत (final-layer) के ग्रेडिएंट्स का उपयोग करके फेडरेटेड ग्राफ न्यूरल नेटवर्क में क्लाइंट्स के निजी लेबल वितरण सांख्यिकी (private label distribution statistics) का प्रभावी ढंग से अनुमान लगाता है, जो वर्तमान रक्षा तंत्रों के प्रति लचीला रहते हुए मौजूदा बेसलाइन की तुलना में काफी बेहतर प्रदर्शन करता है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि दोस्तों का एक समूह (क्लाइंट्स) है जिनके पास अपनी गुप्त रेसिपी की किताबें हैं। वे बिना एक-दूसरे को या आयोजक (सर्वर) को अपने वास्तविक पन्ने दिखाए, मिलकर एक "मास्टर कुकबुक" बनाना चाहते हैं। फेडरेटेड लर्निंग (Federated Learning) इसी तरह काम करता है: हर कोई स्थानीय स्तर पर सीखता है और केवल यह बताने के लिए छोटे नोट्स वापस भेजता है कि उन्होंने अपनी रेसिपी में कैसे सुधार किया, न कि स्वयं रेसिपी को।
ग्राफ न्यूरल नेटवर्क्स (GNNs) की दुनिया में, ये "रेसिपी" वास्तव में संबंधों का जटिल नेटवर्क होती हैं, जैसे सोशल मीडिया मित्र या रोगियों के बीच चिकित्सा संबंध।
समस्या: कमरे में "फुसफुसाहट"
यह शोध पत्र तर्क देता है कि भले ही दोस्त अपनी वास्तविक रेसिपी के पन्ने साझा नहीं कर रहे हैं, लेकिन उनके द्वारा वापस भेजे गए "नोट्स" (जिन्हें ग्रेडिएंट्स कहा जाता है) अनजाने में रहस्य फुसफुसा देते हैं। विशेष रूप से, सर्वर इन फुसफुसाहटों को सुन सकता है और किसी के भी बुक में मौजूद रेसिपी के सांख्यिकीय मिश्रण (statistical mix) का पता लगा सकता है।
उदाहरण के लिए, यदि कोई अस्पताल इस समूह का हिस्सा है, तो सर्वर को यह नहीं पता होना चाहिए कि "इस अस्पताल के 80% रोगियों में एक विशिष्ट दुर्लभ बीमारी है।" लेकिन यह नया हमला, जिसे Fed-Listing कहा जाता है, दावा करता है कि सर्वर केवल नोट्स को सुनकर यह पता लगा सकता है कि वह मिश्रण क्या है।
समाधान (हमला): Fed-Listing
लेखकों ने एक टूल बनाया है जिसे Fed-Listing (फेडरेटेड लेबल डिस्ट्रीब्यूशन इन्फरेंस) कहा जाता है। यह इस सरल उपमा का उपयोग करके काम करता है:
1. "परछाई का खेल" (शैडो ट्रेनिंग)
कल्पना कीजिए कि सर्वर एक जासूस है। चोर को पकड़ने के लिए, जासूस एक नकली प्रशिक्षण शिविर (शैडो ट्रेनिंग) स्थापित करता है जिसमें "डमी" रेसिपी बुक्स का एक ढेर (एक सहायक डेटासेट) होता है जो वास्तविक किताबों के समान दिखते हैं।
- जासूस इस नकली शिविर में कई अलग-अलग परिदृश्य बनाता है: कुछ जहाँ सभी के पास एक ही प्रकार की रेसिपी का मिश्रण है, कुछ जहाँ एक व्यक्ति के पास केवल पिज्जा रेसिपी है, और कुछ जहाँ एक व्यक्ति के पास "डेज़र्ट" (मिठाई) की श्रेणी पूरी तरह से गायब है।
- जासूस नकली शिविर को प्रशिक्षित करता है और प्रत्येक परिदृश्य में नकली प्रतिभागियों द्वारा भेजे गए "नोट्स" (ग्रेडिएंट्स) को रिकॉर्ड करता है।
2. डिकोडर बनाना (अटैक मॉडल)
अब जासूस के पास डेटा का एक विशाल पुस्तकालय है: "जब नोट्स ऐसे दिखे, तो प्रतिभागी के पास वास्तव में वह मिश्रण था।"
- वे इन पैटर्न को पहचानने के लिए एक कंप्यूटर प्रोग्राम (एक MLP, या एक सरल मस्तिष्क) को प्रशिक्षित करते हैं। यह यह कहने में सीख जाता है कि, "आह, ये विशिष्ट नोट्स बताते हैं कि प्रतिभागी के पास 90% क्लास A और 10% क्लास B है।"
3. चोरी (इन्फरेंस)
अब, जासूस वास्तविक प्रशिक्षण सत्र को देखता है। जब एक वास्तविक प्रतिभागी अपने नोट्स भेजता है, तो जासूस उन नोट्स को प्रशिक्षित कंप्यूटर प्रोग्राम के माध्यम से चलाता है।
- परिणाम: प्रोग्राम तुरंत प्रतिभागी के डेटा का सांख्यिकीय विवरण अनुमानित कर लेता है। क्या उनके पास ज्यादातर ट्यूमर स्कैन थे? ज्यादातर सामान्य स्कैन? हमला डेटा के व्यक्तिगत मरीजों को देखे बिना, उनके अनुपातों को उजागर कर देता है।
यह क्यों डरावना है (निष्कर्ष)
पेपर ने चार वास्तविक दुनिया के डेटासेट्स (जैसे वैज्ञानिक पेपर और उत्पाद नेटवर्क) पर इसका परीक्षण किया और पाया:
- यह एक मास्टर चोर है: Fed-Listing इन अनुपातों का अनुमान लगाने में पिछले तरीकों की तुलना में बहुत बेहतर है। यह तब भी काम करता है जब डेटा अव्यवस्थित या असंतुलित हो (उदाहरण के लिए, जब एक क्लाइंट के पास केवल एक प्रकार का डेटा हो)।
- यह अदृश्य है: सर्वर को प्रशिक्षण प्रक्रिया को बदलने या कोड को हैक करने की आवश्यकता नहीं है। यह केवल पहले से ही साझा किए जा रहे मानक नोट्स को सुनकर काम करता है।
- बचाव के उपाय काम नहीं करते: पेपर ने तीन सामान्य सुरक्षा ढालों (शोर जोड़ना, विवरण छिपाना, या डेटा को एन्क्रिप्ट करना) का परीक्षण किया।
- यदि ढालें कमजोर हैं, तो हमला अभी भी पूरी तरह से काम करता है।
- यदि ढालें हमले को रोकने के लिए पर्याप्त मजबूत हैं, तो वे "मास्टर कुकबुक" को भी बेकार कर देती हैं। यह एक "हार-हार" (lose-lose) वाली स्थिति है।
मुख्य निष्कर्ष
पेपर का दावा है कि वर्तमान फेडरेटेड ग्राफ लर्निंग सेटअप में, डेटा के अनुपातों के संबंध में गोपनीयता एक भ्रम है। भले ही आप कच्चे डेटा को छिपा दें, ग्राफ संरचना से मॉडल जिस तरह से सीखता है, वह आपके डेटा की संरचना का एक "फिंगरप्रिंट" लीक करता है। लेखक चेतावनी देते हैं कि हमें न केवल डेटा की सुरक्षा करने के लिए, बल्कि उस डेटा के सांख्यिकी (statistics) की रक्षा करने के लिए भी नए तरीकों की आवश्यकता है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।