기술 요약: FLRSP – 무작위 선택된 모델 파라미터를 활용한 프라이버시 보호 연방 학습

1. 문제 제기

고품질의 심층 신경망 (DNN) 을 학습하려면 대량의 데이터가 필요한데, 이 데이터에는 종종 민감하거나 개인적인 정보가 포함되어 있습니다. 연방 학습 (FL) 은 여러 클라이언트가 원시 데이터를 공유하지 않고도 협력하여 모델을 학습할 수 있게 하지만, 여전히 프라이버시 공격에 취약합니다. 구체적으로 공격자들은 Attention PRIvacy Leakage (APRIL) 공격 (Vision Transformers, ViT 용) 이나 적대적 최적화 공격 (Convolutional Neural Networks, CNN 용) 과 같은 기법을 사용하여 공유된 모델 업데이트 (그래디언트 또는 가중치) 에서 원래 학습 데이터를 재구성할 수 있습니다.

기존의 보안 강화 방법들은 다음과 같은 중대한 한계에 직면해 있습니다:

• 차분 프라이버시 (DP): 공격을 견디기 위해 업데이트에 노이즈를 추가하지만, 필연적으로 모델 정확도를 저하시킵니다.
• 고정 위치 방법: ViT 에서는 위치 임베딩 업데이트를 0 으로 설정함으로써 효과적이지만, 처음부터 모델을 학습할 경우 (모든 레이어의 업데이트가 필요함) 실패하며 CNN 에는 적용할 수 없습니다.
• 이전의 무작위 선택 개념: 무작위로 선택된 그래디언트에 대한 이전 연구는 ViT 아키텍처와 Federated Stochastic Gradient Descent (FedSGD) 알고리즘으로 제한되었습니다.

핵심적인 과제는 분류 정확도를 희생하지 않으면서 다양한 아키텍처 (ViT 및 CNN) 와 알고리즘 (FedSGD 및 FedAvg) 에서 최신 이미지 복원 공격에 강인한 프라이버시 보호 FL 방법을 개발하는 것입니다.

2. 방법론: FLRSP

저자들은 **무작위 선택된 모델 파라미터를 활용한 연방 학습 (FLRSP)**을 제안합니다. 이 프레임워크에서 각 클라이언트는 중앙 서버와 공유할 모델 파라미터 (FedSGD 의 경우 그래디언트 또는 FedAvg 의 경우 가중치) 의 부분 집합을 무작위로 선택하고, 선택되지 않은 파라미터는 0 값으로 대체합니다.

핵심 메커니즘

1. 무작위 선택: 전송 전에 각 클라이언트는 모델 파라미터 $\theta_{n,k,i}^l$ (또는 가중치 $W_{n,k,i}^m$) 에 이진 무작위 시퀀스 $B_{n,k,i}^l \in \{0, 1\}$를 적용합니다.
   • $B=1$인 경우, 해당 파라미터는 공유됩니다.
   • $B=0$인 경우, 해당 파라미터는 0 으로 설정됩니다.
   • 0 이 발생할 확률은 $R$로 표시됩니다.
2. 서버 집계: 중앙 서버는 수신된 업데이트를 집계합니다. 중요한 점은 집합 공식이 무작위 선택으로 인한 희소성을 고려한다는 것입니다. FedSGD 의 경우, 글로벌 모델 업데이트 $w_{k,i}^{l+1}$는 다음과 같이 계산됩니다:
   $$w_{k,i}^{l+1} = w_{k,i}^l - \eta \frac{\sum_{n=1}^N \bar{\theta}_{n,k,i}^l}{\sum_{n=1}^N B_{n,k,i}^l}$$
   (분모가 0 인 경우, 파라미터는 변경되지 않습니다). 이는 글로벌 모델이 0 이 아닌 그래디언트만을 사용하여 업데이트되도록 보장하며, 참여하는 파라미터 수에 기반하여 학습률을 효과적으로 정규화합니다.
3. 동적 시퀀스: 특정 레이어를 영구적으로 제외하는 "고정 가중치" 접근법과 달리, FLRSP 는 각 에포크 (FedAvg 의 경우) 또는 배치 (FedSGD 의 경우) 에 대해 서로 다른 무작위 시퀀스를 사용합니다. 이는 시간이 지남에 따라 모든 파라미터가 최종적으로 업데이트되도록 보장하여 영구적인 정보 손실을 방지합니다.

이론적 근거

이 논문은 FLRSP 가 표준 FL 과 유사한 안정적인 수렴 특성을 유지함을 보여주는 수렴 분석을 제공합니다. 유효 학습률은 $N$을 클라이언트 수라고 할 때 $(1 - RN)$ 인자로 조정됩니다. 학습률이 양수로 유지되므로, 이 방법은 수학적으로 수렴함이 증명되었습니다.

3. 주요 기여

이 논문은 세 가지 주요 기여를 제시합니다:

1. 새로운 FL 방법: 로컬 서버에서 계산된 글로벌 모델 파라미터를 무작위로 선택하여 공격자를 방어하는 새로운 접근법으로, ViT 와 CNN 아키텍처 모두에 적용 가능합니다.
2. 일반화: 이전에는 ViT 와 FedSGD 로 제한되었던 무작위 선택 개념을 FedAvg 와 ResNet 아키텍처를 포함하도록 확장했습니다.
3. 실증적 검증: FLRSP 가 공격에 대한 강인성과 분류 정확도 측면에서 차분 프라이버시 및 고정 위치 방법과 같은 최신 방법들보다 우수함을 보여주는 포괄적인 실험을 수행했습니다.

4. 실험 결과

실험은 **ViT (vit_small_patch16_224)**와 ResNet34를 FedSGD 및 FedAvg 프로토콜 하에서 CIFAR-10 데이터셋을 사용하여 수행되었습니다.

분류 정확도

• ViT: FLRSP 는 미세 조정된 사전 학습 모델과 처음부터 학습된 모델 모두에서 표준 FL 과 비교할 수 있는 정확도를 유지했습니다. 반면, 고정 위치 방법은 위치 임베딩 레이어의 업데이트를 방지하기 때문에 처음부터 학습할 때 정확도가 크게 저하되었습니다.
• ResNet: FLRSP 는 다양한 $R$값 (0.2, 0.5, 0.8) 에서 높은 정확도를 달성했습니다. 차분 프라이버시 (DP) 는 프라이버시 강도 ($\epsilon$) 가 증가함에 따라 정확도가 저하되는 반면, FLRSP 는 베이스라인과 가까운 성능을 유지했습니다.
• 비동일 분포 (Non-I.I.D.) 데이터: 이질적인 데이터 분포 (디리클레 분포, $\alpha=0.1$) 하에서 FLRSP 는 DP 보다 높은 정확도를 유지했습니다.

공격에 대한 강인성

이 연구는 원본 이미지와 복원된 이미지 간의 구조적 유사성 지수 (SSIM) 를 사용하여 두 가지 최신 공격에 대한 저항성을 평가했습니다:

• APRIL (ViT): 표준 FL 은 완전한 시각적 재구성을 허용했습니다. FLRSP 는 ($R=0.2$일지라도) 재구성을 효과적으로 방지하여 고정 위치 방법과 동등한 강인성을 달성했습니다.
• 적대적 최적화 (CNN): 표준 FL 과 DP (낮은 $\epsilon$일지라도) 는 상당한 이미지 복원을 허용했습니다 (SSIM 값이 종종 0.6 초과). FLRSP 는 SSIM 값을 급격히 감소시켜 (종종 0.1 미만) 시각적 재구성을 거의 불가능하게 만들었습니다.
• 비교: FLRSP 는 더 높은 분류 정확도를 유지하면서도 DP 보다 일관되게 낮은 SSIM 값 (더 나은 프라이버시를 의미) 을 달성했습니다.

5. 중요성 및 주장

이 논문은 FLRSP 가 연방 학습에서 프라이버시와 유용성 사이의 트레이드오프를 성공적으로 해결한다고 주장합니다. 파라미터를 무작위로 선택함으로써, 이 방법은 그래디언트 기반 이미지 복원 공격에 필요한 수학적 방정식 (특히 적대적 최적화에서의 코사인 유사성 파괴 및 APRIL 의 폐쇄형 방정식) 을 무효화합니다.

저자들은 FLRSP 가 임의의 모델 (ViT 및 ResNet 포함) 과 알고리즘 (FedSGD 및 FedAvg) 에 적용 가능한 일반화 가능한 솔루션이라고 강조합니다. 정확도를 저하시키는 방법 (DP) 이나 아키텍처에 특화된 방법 (고정 위치) 과는 달리, FLRSP 는 모델 성능을 유지하는 강력한 방어 메커니즘을 제공합니다. 이 연구는 FLRSP 가 실제 연방 학습 시나리오를 위한 실현 가능하고 효과적인 보안 강화 방법임을 결론지었습니다.