기술 요약: 다양성 내의 검출성: 한 번의 실행으로 프라이버시 감사를 위한 개선된 캐리 제작

문제 정의

프라이버시 감사는 기계 학습 모델의 프라이버시 유출을 경험적으로 평가하여, 종종 차등 프라이버시 (DP) 매개변수에 대한 하한을 도출하는 것을 목표로 합니다. 이는 일반적으로 멤버십 추론 공격 (MIA) 을 통해 달성되는데, 여기서 적대자는 특정 데이터 포인트가 모델의 학습 세트에 포함되었는지 여부를 판단하려고 시도합니다.

표준 감사 접근법은 통계적으로 신뢰할 수 있는 추정을 얻기 위해 다양한 캐리 포함을 가진 수천 개의 독립적인 모델을 학습시켜야 하므로 계산적으로 불가능합니다. 이를 해결하기 위해, 각 캐리가 독립적으로 1/2 의 확률로 포함되는 데이터셋에 단일 모델을 학습시키는 "한 번의 실행" 감사가 제안되었습니다. 그런 다음 적대자는 이 단일 모델로부터 모든 캐리의 포함 상태를 추론합니다.

그러나 이론적 프라이버시 상한 (계산 방법에 의해 제공됨) 과 한 번의 실행 감사로 추정된 경험적 하한 사이에는 상당한 격차가 존재합니다. 최근 문헌은 이 격차를 캐리 간의 간섭에 기인합니다. 즉, 한 캐리 $z'$의 포함 또는 배제는 다른 캐리 $z$의 MIA 신뢰도 점수를 변경할 수 있으며, 특히 캐리들이 표현 공간에서 유사할 때 그렇습니다. 이러한 간섭은 적대자가 멤버와 비멤버를 구분하는 능력을 저하시켜, 다중 실행 방법보다 약한 유출 추정으로 이어집니다. 기존 캐리 제작 방법은 이러한 간섭을 완화하기 위해 다양성을 명시적으로 강제하지 않습니다.

방법론

저자들은 IBIS(간섭 억제를 위한 영향-이중 레벨 캐리 제작) 를 제안합니다. 이는 높은 검출 가능성 (강한 암기) 과 높은 다양성 (최소한의 간섭) 을 모두 갖춘 캐리를 제작하도록 설계된 2 단계 파이프라인입니다.

1. 영향 함수를 통한 탐욕적 초기화

첫 번째 단계는 데이터 샘플의 가중치를 높이는 것이 모델에 미치는 영향을 측정하는 영향 함수를 사용하여 학습 데이터에서 초기 캐리 집합을 선택합니다.

• 자기 영향 ($I_s(z, z)$): 암기 가능성의 대리 지표입니다. 높은 자기 영향은 해당 점이 모델에 의해 강하게 암기되었음을 나타냅니다.
• 교차 영향 ($I_s(z, z')$): 간섭의 대리 지표입니다. 높은 교차 영향은 $z'$의 존재가 $z$의 점수에 상당한 영향을 미친다는 것을 나타냅니다.
• 선택 전략: 알고리즘은 다른 선택된 캐리들로부터의 최대 교차 영향에 대한 자기 영향의 비율을 최대화하는 $m$개의 캐리 집합을 탐욕적으로 선택합니다. 이는 탐욕적 휴리스틱을 통해 해결되는 조합 최적화 문제로 공식화됩니다. 이 단계는 낮은 계산 비용으로 낮은 쌍별 간섭을 가진 강력한 초기화를 제공합니다.

2. 다양성 정규화를 통한 이중 레벨 최적화

두 번째 단계는 그라디언트 기반 최적화를 사용하여 선택된 캐리를 정제합니다. 이전 연구는 캐리 부분집합마다 모델을 재학습해야 했기 때문에 (계산적으로 불가능함) 와 달리, 저자들은 처리 가능한 이중 레벨 최적화 문제를 공식화했습니다.

• 목적: 모델 매개변수가 경험적 위험을 최소화한다는 제약 하에, 포함된 캐리와 배제된 캐리 간의 점수 차이를 최대화하는 구별 가능성 목적 함수를 최소화합니다.
• 다양성 정규화자: 간섭을 명시적으로 억제하기 위해, 캐리들의 표현 공간 (임베딩) 에서 직교성을 장려하는 정규화자 $R(C)$가 추가됩니다:
  $$R_{\theta^*}(C) = \lambda \sum_{z, z' \in C, z \neq z'} \langle \phi_{\theta^*}(z), \phi_{\theta^*}(z') \rangle^2$$
  여기서 $\phi_{\theta^*}$는 기본 모델 $\theta^*$ 하에서 샘플을 해당 임베딩으로 매핑합니다.
• 효율적 솔버 (SOBA): 저자들은 SOBA 알고리즘을 적응시킨 근사적 암시적 미분 (AID) 접근법을 사용합니다. 이는 모델 매개변수 ($\theta$), 영향 벡터 ($v$), 그리고 캐리 입력 ($C_x$) 에 대한 결합 변수를 유지합니다. 결정적으로, 모델은 각 단계에서 처음부터 재학습되는 대신 캐리와 함께 점진적으로 업데이트되어 하이퍼그라디언트의 효율적인 계산을 가능하게 합니다.

주요 기여

1. 탐욕적 영향 기반 선택: 높은 암기 가능성과 낮은 상호 간섭을 가진 학습 포인트를 식별하는 저비용 알고리즘으로, 추가 최적화를 위한 강력한 초기화를 제공합니다.
2. 이중 레벨 최적화 공식화: 표현 공간에서 직교성을 강제하기 위한 명시적 다양성 정규화자를 통합한 새로운 공식화입니다. 이 공식화는 모델을 점진적으로 업데이트함으로써 캐리 부분집합마다 재학습하는 prohibitive 한 비용을 피하고 효율적인 이중 레벨 알고리즘을 가능하게 합니다.
3. IBIS 파이프라인: 위의 구성 요소를 결합한 통합 프레임워크입니다. 기존 방법보다 강력한 프라이버시 유출 추정을 달성하면서도 훨씬 낮은 계산 자원을 요구합니다.

실험 결과

이 방법은 CIFAR-10 데이터셋을 사용하여 WideResNet(WRN16-4) 및 CNN 아키텍처에서 평가되었습니다.

• 애블레이션 연구: 영향 기반 사전 선택은 이중 레벨 최적화 이전에도 무작위 선택보다 우수한 성능을 보였습니다. 비프라이버시 설정에서 다양성 정규화자는 성능을 더욱 향상시켰습니다.
• 멤버십 추론 (MIA): 감사된 모델과 동일한 아키텍처 (WRN16-4) 를 사용하여 캐리를 제작했을 때, 정규화된 IBIS 는 0.05 의 거짓 양성률 (FPR) 에서 거의 완벽한 참 양성률 (TPR) 을 달성하여 무작위 기준을 크게 능가했고, Boglioni 등 [6] 의 최첨단 방법과 동등하거나 더 나은 성능을 보였습니다.
• DP 감사: 이 방법은 기존 접근법과 비교하여 프라이버시 매개변수 $\epsilon$에 대해 경쟁력 있는 하한을 제공했습니다. 추정치는 높은 분산을 보였는데 (DP 감사 설정의 난이도와 일치함), IBIS 는 이전 연구의 성능과 일치했습니다.
• 계산 효율성: 제안된 방법은 훨씬 더 효율적입니다. 1000 개의 캐리를 생성하는 데 NVIDIA A100 에서 약 2.5 GPU 시간이 소요된 반면, Boglioni 등 [6] 의 재학습 기반 접근법에서는 90~120 시간이 소요된 것으로 보고되었습니다. 이 효율성 향상은 전체 재학습이 아닌 점진적 모델 업데이트에서 비롯됩니다.

중요성 및 주장

이 논문은 기존 한 번의 실행 감사 접근법의 주요 한계가 캐리 간의 간섭이라고 주장합니다. 영향 기반 선택과 다양성을 촉진하는 이중 레벨 최적화를 통해 이를 명시적으로 해결함으로써, 저자들은 한 번의 실행과 다중 실행 감사 성능 사이의 격차를 좁힐 수 있음을 보여줍니다.

이 연구의 중요성은 한 번의 실행 프라이버시 감사를 계산적으로 실현 가능하게 하고 통계적으로 더 강력하게 만드는 데 있습니다. 감사 강도를 유지하거나 향상시키면서 계산 비용을 한 자릿수 이상 줄임으로써, 이 방법은 감사 대상 모델의 특정 아키텍처를 캐리 생성에 사용할 수 있게 하여, 저자들이 보여주듯이 성능을 크게 향상시킵니다. 저자들은 이를 다중 실행 감사가 불가능한 대규모 모델의 경우 특히 실용적인 진전으로 위치시킵니다.