Towards Explainable Privacy Preservation in Federated Learning via Shapley Value-Guided Noise Injection

1. 연구 배경 및 문제 정의 (Problem)

• 연방 학습 (Federated Learning, FL) 의 취약점: FL 은 데이터를 서버로 전송하지 않고 로컬에서 학습하여 모델 업데이트만 공유하므로 프라이버시 보호에 유리하다고 여겨집니다. 그러나 최근 연구에 따르면, 공유된 모델 업데이트를 통해 학습 데이터를 재구성하거나 (Model Inversion), 특정 데이터의 포함 여부를 추론하는 (Membership Inference) 공격이 가능함이 밝혀졌습니다.
• 기존 차분 프라이버시 (Differential Privacy, DP) 의 한계: FL 에서 프라이버시를 보호하기 위해 DP 가 널리 사용되지만, 기존 방법들은 주로 학습 진행 상황이나 시간 기반 스케줄링과 같은 휴리스틱 (heuristic) 이나 간접적인 요소에 기반하여 노이즈 규모를 결정합니다.
  • 설명 불가능성 (Lack of Explainability): 특정 노이즈 수준이 왜 필요한지에 대한 명확한 근거가 부족합니다.
  • 비효율성: 과도한 노이즈는 모델 성능 (Utility) 을 저하시키고, 부족한 노이즈는 프라이버시 보호를 불충분하게 만듭니다. 즉, 데이터의 실제 프라이버시 기여도와 노이즈 양 간의 정밀한 연결이 부족합니다.

2. 제안 방법: FedSVA (Methodology)

저자들은 FedSVA라는 새로운 DP 기반 프라이버시 보호 메커니즘을 제안했습니다. 이는 **샤플리 값 (Shapley Values)**을 활용하여 각 속성 (attribute) 이 모델 학습에 기여하는 정도를 정량화하고, 이를 바탕으로 노이즈 주입을 동적으로 조정하는 설명 가능한 (Explainable) 접근법입니다.

핵심 구성 요소

1. 프라이버시 추정 모듈 (Privacy Estimation, PE):
   • 클라이언트는 로컬 데이터를 프라이버시 속성 ($D^p_i$) 과 비프라이버시 속성 ($D^a_i$) 으로 분할합니다.
   • **샤플리 값 (Shapley Values)**을 계산하여 각 속성이 모델 성능에 미치는 기여도를 정량화합니다. 협력 게임 이론에서 유래한 이 개념은 각 속성이 포함된 모든 가능한 조합에 대한 모델 성능 변화를 평균하여 기여도 ($\psi$) 를 산출합니다.
   • 프라이버시 속성의 기여도 비율 ($R^p_i$) 을 계산합니다.
2. 노이즈 주입 모듈 (Noise Injection, NI):
   • 계산된 기여도 비율 ($R^p_i$) 을 기반으로 가우시안 노이즈의 표준편차 ($\sigma_i$) 를 동적으로 조정합니다.
   • 프라이버시 기여도가 높을수록 (즉, 민감한 데이터가 모델에 더 큰 영향을 미칠 때) 더 많은 노이즈를 주입하여 엄격한 프라이버시 보장을 제공합니다.
   • 기여도가 낮을 때는 불필요한 노이즈를 줄여 모델의 유용성 (Utility) 을 보존합니다.

작동 흐름

1. 서버가 글로벌 모델을 클라이언트에 배포.
2. 클라이언트는 로컬 데이터를 분할하고 샤플리 값을 통해 프라이버시 기여도 ($R^p_i$) 를 추정.
3. 추정된 기여도에 비례하여 노이즈 규모 ($\sigma_i$) 를 결정하고 노이즈를 주입.
4. 노이즈가 추가된 모델 업데이트를 서버로 전송.
5. 서버가 FedAvg 등을 통해 모델 집계.

3. 주요 기여 (Key Contributions)

1. 최초의 설명 가능한 FL 프라이버시 메커니즘: 샤플리 값과 차분 프라이버시를 통합하여, 노이즈 주입 전략의 근거를 데이터 속성의 기여도로 명확히 설명할 수 있는 첫 번째 FL 메커니즘을 제안했습니다.
2. 엄격한 이론적 분석:
   • FedSVA 가 단일 라운드 및 $T$라운드 전체에서 $(\epsilon, \delta')$-DP 보장을 제공함을 증명했습니다.
   • 노이즈가 제한된 조건에서 연방 최적화 과정의 수렴성 (Convergence) 을 수학적으로 분석했습니다.
3. 실증적 우수성: CIFAR-10 및 FEMNIST 데이터셋을 통한 실험을 통해 기존 최첨단 (SOTA) 방법들보다 뛰어난 프라이버시 - 유용성 (Privacy-Utility) 트레이드오프를 달성하고, 실제 재구성 공격 (Reconstruction Attacks) 에 대해 강력하게 방어함을 입증했습니다.

4. 실험 결과 (Results)

• 실험 환경: CIFAR-10 (ResNet-18) 및 FEMNIST (CNN) 데이터셋 사용. 100 개 클라이언트 중 10 개를 Honest-but-Curious (HBC) 공격자로 설정하여 ACGAN 기반 재구성 공격을 수행.
• 성능 비교 (정확도):
  • 다양한 프라이버시 예산 ($\epsilon$) 하에서 FedSVA 는 NbAFL, TV DP, Sens DP, DPA DP 등 기존 방법보다 일관되게 높은 정확도를 기록했습니다.
  • 예시: CIFAR-10 에서 $\epsilon=0.2$일 때, FedSVA 는 최종 5 라운드 평균 정확도 **75.98%**를 기록하여 차기 최상위 방법 (DPA DP, 65.21%) 보다 약 10%p 이상 우위를 점했습니다.
• 노이즈 및 프라이버시 예산 분석:
  • FedSVA 는 정적 노이즈를 사용하는 방법보다 훨씬 적은 양의 노이즈를 주입하면서도 동적 방법들보다 더 정밀한 스케줄링을 수행했습니다.
  • 누적 프라이버시 예산 (Cumulative Privacy Budget) 이 다른 방법들보다 적게 소모되어, 동일한 보호 수준을 유지하면서 더 효율적인 예산 사용을 가능하게 했습니다.
• 재구성 공격 방어:
  • 공격자가 생성한 이미지의 품질을 평가하는 FID (Fréchet Inception Distance) 점수에서, FedSVA 는 노이즈 양을 줄임에도 불구하고 기존 DP 방법들과 유사한 수준의 방어 효과 (FedAvg 대비 FID 약 149% 증가) 를 보였습니다. 이는 불필요한 노이즈 없이도 민감 정보를 효과적으로 은폐함을 의미합니다.
• 속성 분할粒度 (Granularity) 분석:
  • 이진 분할 ($N=2$, 프라이버시/비프라이버시) 이 정확도와 실행 시간 (Runtime) 측면에서 가장 균형을 이루는 것으로 나타났습니다. 분할을 더 세분화하면 정확도 향상은 미미한 반면, 샤플리 값 계산 비용이 기하급수적으로 증가합니다.

5. 의의 및 결론 (Significance & Conclusion)

• 해석 가능성 (Explainability) 의 제고: 기존 DP 방법의 '블랙박스'적인 노이즈 결정 방식을 넘어, 데이터 속성의 실제 기여도에 기반하여 노이즈 양을 결정함으로써 프라이버시 보호의 논리를 명확히 설명할 수 있게 되었습니다.
• 효율성과 보안의 균형: 불필요한 노이즈 주입을 최소화하여 모델 성능을 유지하면서, 민감한 데이터가 영향을 미치는 구간에서는 강력한 보호를 제공하는 지능형 노이즈 조정을 실현했습니다.
• 미래 전망: 샤플리 값 계산의 높은 계산 복잡도를 해결하기 위한 근사화 기법 개발을 통해, 대규모 실전 배포 시 확장성을 확보하는 것을 향후 과제로 제시했습니다.

요약하자면, FedSVA는 연방 학습 환경에서 프라이버시 보호의 투명성과 효율성을 동시에 해결하기 위해 샤플리 값을 도입한 혁신적인 접근법으로, 높은 보안 수준을 유지하면서도 모델의 실용성을 극대화하는 새로운 표준을 제시합니다.