技術的サマリー：多様性における検出可能性：プライバシー監査のためのワンランニングにおける改良されたカナリー作成

問題定義

プライバシー監査は、機械学習モデルにおけるプライバシー漏洩を実証的に評価し、しばしば差分プライバシー（DP）パラメータの下限を導出することを目的としている。これは通常、Membership Inference Attacks（MIA）を通じて達成される。MIA では、攻撃者が特定のデータポイントがモデルのトレーニングセットに含まれていたかどうかを判定しようとする。

標準的な監査アプローチは、統計的に信頼性の高い推定値を得るために、異なるカナリーを含む数千の独立したモデルをトレーニングすることを必要とするが、これは計算量的に実行不可能である。これを解決するため、「ワンランニング」監査が提案された。これは、複数のカナリーをそれぞれ独立して確率 1/2 で含むデータセット上で単一のモデルをトレーニングするものである。攻撃者は、この単一のモデルからすべてのカナリーの包含状態を推論する。

しかし、理論的なプライバシー上限（会計手法によって提供される）と、ワンランニング監査によって推定される実証的な下限の間には、大きなギャップが存在する。最近の文献は、このギャップをカナリー間の干渉に起因するとしている。すなわち、あるカナリー $z'$ の包含または非包含が、特にカナリーが表現空間で類似している場合、別のカナリー $z$ の MIA 信頼度スコアを変化させる。この干渉は、攻撃者がメンバーと非メンバーを区別する能力を低下させ、マルチランニング手法と比較して漏洩推定値が弱くなる原因となる。既存のカナリー作成手法は、この干渉を緩和するために多様性を明示的に強制していない。

手法

著者は、IBIS（Influence-Bilevel canary crafting with Interference Suppression：干渉抑制を伴う影響ベースの二階層カナリー作成）を提案する。これは、検出可能性が高く（強く記憶され）、かつ多様性が高く（干渉が最小限である）カナリーを作成するように設計された 2 段階のパイプラインである。

1. 影響関数による貪欲な初期化

第一段階では、トレーニングデータから影響関数を用いてカナリーの初期セットを選択する。影響関数は、データサンプルの重み付けを増加させることがモデルに与える効果を測定する。

• 自己影響（Self-Influence, $I_s(z, z)$）： 記憶可能性の代理指標。高い自己影響は、その点がモデルによって強く記憶されていることを示す。
• 交差影響（Cross-Influence, $I_s(z, z')$）： 干渉の代理指標。高い交差影響は、$z'$ の存在が $z$ のスコアに顕著な影響を与えることを示す。
• 選択戦略： アルゴリズムは、選択された他のカナリーからの最大交差影響に対する自己影響の比率を最大化するように、$m$ 個のカナリーのセットを貪欲に選択する。これは、貪欲ヒューリスティックによって解かれる組み合わせ最適化問題として定式化される。このステップは、低計算コストで低ペア干渉を持つ強力な初期化を提供する。

2. 多様性正則化を伴う二階層最適化

第二段階では、勾配ベースの最適化を用いて選択されたカナリーを洗練させる。カナリーの各部分集合に対してモデルを再トレーニングする必要がある先行研究（計算的に非現実的）とは異なり、著者は実行可能な二階層最適化問題を定式化する。

• 目的関数： モデルパラメータが経験的リスクを最小化するという制約の下で、含まれるカナリーと含まれないカナリーの間のスコア差を最大化する識別可能性目的関数を最小化する。
• 多様性正則化項： 干渉を明示的に抑制するため、正則化項 $R(C)$ を追加し、カナリーの表現空間（埋め込み）における直交性を促進する：
  $$R_{\theta^*}(C) = \lambda \sum_{z, z' \in C, z \neq z'} \langle \phi_{\theta^*}(z), \phi_{\theta^*}(z') \rangle^2$$
  ここで、$\phi_{\theta^*}$ はサンプルをベースモデル $\theta^*$ 下での埋め込みへ写像する。
• 効率的ソルバー（SOBA）： 著者は、近似陰微分（AID）アプローチを採用し、SOBA アルゴリズムを適応させる。これにより、モデルパラメータ（$\theta$）、影響ベクトル（$v$）、およびカナリー入力（$C_x$）の結合変数を維持する。重要なのは、モデルを各ステップで最初から再トレーニングするのではなく、カナリーとともに漸進的に更新することであり、これによりハイパー勾配の効率的な計算が可能となる。

主要な貢献

1. 貪欲な影響ベース選択： 高い記憶可能性と低い相互干渉を持つトレーニングポイントを特定する低コストアルゴリズム。これは、さらなる最適化のための堅牢な初期化として機能する。
2. 二階層最適化定式化： 表現空間における直交性を強制するための明示的な多様性正則化項を組み込んだ新規定式化。この定式化により、モデルを漸進的に更新することで効率的な二階層アルゴリズムが可能となり、カナリーの各部分集合に対する再トレーニングという禁止的なコストを回避できる。
3. IBIS パイプライン： 上記のコンポーネントを統合した統一フレームワーク。既存の手法よりも強力なプライバシー漏洩推定値を実現しつつ、計算リソースを大幅に低減する。

実験結果

この手法は、CIFAR-10 データセットを用いて、WideResNet（WRN16-4）および CNN アーキテクチャで評価された。

• アブレーション研究： 影響ベースの事前選択は、二階層最適化の前であっても、ランダム選択を上回った。非プライバシー設定では、多様性正則化項がさらに性能を向上させた。
• メンバーシップ推論（MIA）： 監査対象モデルと同じアーキテクチャ（WRN16-4）を使用してカナリーを作成した場合、正則化された IBIS は、0.05 の偽陽性率（FPR）においてほぼ完璧な真陽性率（TPR）を達成し、ランダムなベースラインを大幅に上回り、Boglioni ら [6] の最先端手法の性能と同等かそれ以上であった。
• DP 監査： この手法は、既存のアプローチと比較して、プライバシーパラメータ $\epsilon$ について競争力のある下限を提供した。推定値は高い分散を示したが（これは DP 監査設定の難しさと一致する）、IBIS は先行研究の性能と一致した。
• 計算効率： 提案手法は著しく効率的である。1000 個のカナリーを生成するために必要な時間は、NVIDIA A100 上で約2.5 GPU 時間であり、Boglioni ら [6] の再トレーニングベースのアプローチで報告されている90〜120 時間と比較して大幅に短縮された。この効率性の向上は、完全な再トレーニングではなく漸進的なモデル更新に起因する。

意義と主張

本論文は、既存のワンランニング監査アプローチの主な限界がカナリー間の干渉にあると主張している。影響ベースの選択と多様性を促進する二階層最適化を通じてこれを明示的に解決することで、著者はワンランニングとマルチランニング監査の性能間のギャップを埋めることが可能であることを実証している。

この研究の意義は、ワンランニングプライバシー監査を計算的に実行可能かつ統計的に強力にすることにある。計算コストを 1 桁減少させながら監査強度を維持または向上させることで、この手法は監査者がカナリー生成に監査対象モデルの特定のアーキテクチャを使用することを可能にする。著者は、これが性能を大幅に向上させることを示している。著者はこれを、特にマルチランニング監査が実行不可能な大規模モデルにおける実証的プライバシー評価のための実用的な進展として位置づけている。