Privacy Preserving Machine Learning Workflow: from Anonymization to Personalized Differential Privacy Budgets in Federated Learning

기술 요약: 프라이버시 보호 머신러닝 워크플로우

문제 제기
의료와 같은 민감한 분야에서 인공지능의 급속한 발전은 일반 데이터 보호 규정 (GDPR) 과 같은 엄격한 프라이버시 규정을 준수하면서 대규모 데이터셋으로 모델을 학습해야 할 필요성을 야기합니다. 연방 학습 (FL) 은 중앙 집중식 데이터 학습에 대한 분산형 대안을 제공하지만, 특정 취약점을 도입합니다. 데이터 중앙 집중화가 없더라도 FL 아키텍처는 프라이버시 침해 (예: 재구성, 모델 추론, 멤버십 추론 공격) 와 무결성 위협 (예: 중독 공격 및 클라이언트 드리프트) 에 여전히 취약합니다. 또한, 기존 접근 방식은 종종 모든 클라이언트에 균일한 프라이버시 조치 (예: 고정된 글로벌 차등 프라이버시 예산) 를 적용하여, 서로 다른 로컬 데이터셋에 내재된 다양한 재식별 위험을 고려하지 못합니다.

방법론
본 논문은 민감한 표형 데이터에 대한 프라이버시 보호 머신러닝을 위한 포괄적인 워크플로우를 제안하며, 이는 네 가지 핵심 단계를 통합합니다:

1. 데이터 익명화: 연방 학습 전에 클라이언트는 로컬에서 표형 데이터에 $k$-익명성, $\ell$-다양성과 같은 익명화 기법을 적용합니다. 모델 학습의 호환성을 보장하기 위해 서버는 클라이언트 간에 적용된 변환 계층 구조를 교환하도록 조정하는 조화 과정을 조정합니다. 서버는 모든 클라이언트의 프라이버시 제약을 충족하는 데 필요한 최대 계층 수준을 결정하여, 모든 데이터셋이 잠재 공간 내에서 동일한 수준으로 일반화되도록 합니다.
2. 클라이언트 드리프트 감지: 중독 공격 (의도적이든 비의도적이든) 을 완화하기 위해, 저자들은 "클라이언트 드리프트"를 시스템에 대한 클라이언트 데이터 분포의 유의미한 변화로 공식적으로 정의합니다. 서버는 원시 데이터에 접근하는 대신, 프로베니우스 노름 (Equation 2) 기반의 대칭 지표를 사용하여 모델 가중치 간의 발산을 분석함으로써 드리프트를 감지합니다. 유의미한 발산을 보이는 클라이언트는 집계 과정에서 제외될 수 있습니다.
3. 개인화된 예산을 갖춘 차등 프라이버시 (DP): 핵심 기여는 개인화된 프라이버시 예산을 할당하는 방법론입니다.
   • 위험 지표: 저자들은 각 클라이언트의 익명화된 데이터를 기반으로 동등 클래스의 평균 재식별 위험 (ARIREC) 을 정의합니다.
   • 예산 할당: 글로벌 노이즈 승수 ($n_\epsilon$) 가 설정됩니다. 각 클라이언트 $i$에 대해, 클라이언트의 정규화된 ARIREC 지표 ($\tilde{A}_i$) 에 따라 글로벌 승수를 스케일링하여 개인화된 노이즈 승수 ($n_{\epsilon,i}$) 를 계산합니다.
   • 구현: 가우시안 노이즈는 집계 이전에 각 클라이언트의 로컬 모델 가중치에 추가되며, 노이즈 크기는 해당 클라이언트의 특정 재식별 위험에 비례합니다. 이는 집계된 가중치에만 노이즈를 추가하는 글로벌 DP(GDP) 와 대조됩니다.
4. 연방 집계: 이 워크플로우는 신뢰할 수 있는 서버를 사용하여 노이즈가 추가된 가중치 (FedAvg 사용) 를 집계하고 글로벌 모델을 업데이트합니다.

주요 기여

• 클라이언트 드리프트의 공식적 정의: 본 논문은 FL 에서의 클라이언트 드리프트에 대한 공식적 정의를 제공하며, 원시 데이터 접근 없이 가중치 발산에 기반한 프라이버시 보호 감지 메커니즘을 제안합니다.
• 개인화된 프라이버시 예산: 계산된 재식별 위험 지표 (ARIREC) 를 기반으로 개인화된 차등 프라이버시 예산을 할당하는 방법론을 도입하여, 각 클라이언트 데이터셋의 특정 취약성을 반영하는 적응형 노이즈 주입을 가능하게 합니다.
• 통합 워크플로우: 본 논문은 FL 아키텍처 내에서 익명화, 드리프트 감지, 개인화된 DP 를 결합한 완전하고 재현 가능한 파이프라인을 상세히 설명합니다.

실험 결과
이 방법론은 10 개 국가를 대표하는 10 개 클라이언트 간에 시뮬레이션된 암 중증도 예측을 위한 50,000 건의 의료 기록으로 구성된 합성 데이터셋을 사용하여 평가되었습니다. 연구는 세 가지 시나리오를 비교했습니다:

1. 바닐라 FL(프라이버시 없음).
2. 글로벌 DP 를 적용한 FL(집계된 가중치에 고정 예산 추가).
3. 개인화된 DP 를 적용한 FL(로컬 가중치에 맞춤형 예산 추가).

결과에 따르면 개인화된 DP 접근 방식이 글로벌 DP 접근 방식보다 더 나은 모델 성능을 달성했습니다. 구체적으로, 개인화된 DP 시나리오는 글로벌 DP 대비 평균 절대 오차 (MAE: 0.836 대 0.847) 와 평균 상대 오차 (MRE: 0.177 대 0.182) 가 낮았으며, 프라이버시 보호를 유지했습니다. 저자들은 두 DP 방법 모두 바닐라 FL 에 비해 성능을 저하시키지만, 개인화된 접근 방식은 위험 수준에 맞게 노이즈를 맞춤화함으로써 이러한 저하를 최소화한다고 지적합니다.

의의 및 주장
저자들은 이 작업을 모든 실제 시나리오에 대한 결정적 해결책이 아닌 방법론적 프레임워크로 위치시킵니다. 그들은 주요 의의가 연방 설정에서 재식별 위험 지표에서 파생된 개인화된 프라이버시 예산이 고정된 글로벌 예산에 비해 모델 유틸리티를 향상시킬 수 있음을 입증하는 데 있다고 주장합니다.

본 논문은 명시적으로 이 연구가 합성적이고 재현 가능한 사용 사례를 사용한 "초기"개념 증명임을 밝힙니다. 또한 한계를 인정하여, 현재 구현은 신뢰할 수 있는 서버를 전제로 하며 라운드 전반에 걸친 프라이버시 손실의 구성에 대한 엄격한 $\epsilon$ 및 $\delta$ 계정을 아직 제공하지 않는다고 명시합니다. 저자들은 향후 연구가 신뢰할 수 없는 서버 시나리오 (잠재적으로 동형 암호화 사용) 와 비-IID 클라이언트 분포로 이 워크플로우를 확장하는 데 초점을 맞출 것이라고 제안합니다.