Differential Privacy of Gaussian Process Posterior Sampling

기술 요약: 가우시안 프로세스 사후 샘플링의 차분 프라이버시

문제 정의
본 논문은 공변량($X$)과 반응값($y$) 모두가 비공개인 전체 학습 데이터셋으로부터 가우시안 프로세스(GP)의 사후 샘플 경로(posterior sample paths)를 공개할 때 발생하는 프라이버시 위험을 다룬다. 결정론적 출력(예: 사후 평균)에 외부 노이즈를 주입하는 표준적인 차분 프라이버시(DP) 메커니즘과 달리, 본 연구는 베이지안 사후 샘플링 메커니즘 자체에 내재된 무작위성(randomness)이 제공하는 "내재적(intrinsic)" 프라이버시를 조사한다. 적대자는 GP 모델 구조, 도메인, 데이터셋 크기를 알고 있는 상태에서 하나 이상의 공개된 함수 값 샘플 경로 $f_D \sim \Pi_D$를 관찰하는 것으로 모델링된다. 목표는 외부 노이즈를 추가하지 않고 이 메커니즘의 프라이버시 누출을 정량화하고, 정규화(regularisation)와 커널 파라미터가 이러한 누출에 어떻게 영향을 미치는지 이해하는 것이다.

방법론
저자들은 메커니즘 $M: D \mapsto f_D$를 분석하며, 여기서 $f_D$는 GP 사후 분포 $\Pi_D = \mathcal{GP}(\mu_D, \sigma^2 k_D)$로부터 추출된 단일 표본이다. 저자들은 명시적인 $(\epsilon, \delta)$-DP 보증을 도출하기 위해 레니 차분 프라이버시(Rényi Differential Privacy, RDP)를 채택한다.

1. 이론적 도출: 핵심적인 이론적 기여는 임의의 유한한 테스트 세트에 대한 사후 샘플 경로 공개에 대한 RDP 상한을 제공하는 정리 3.1이다. 이 상한은 누출을 두 가지 별개의 구성 요소로 분리한다:

   • 사후 평균 누출(Posterior Mean Leakage): 데이터셋의 변화에 대한 사후 평균 $\mu_D$의 민감도에 의해 결정되며, 커널 스케일 $\sigma$에 의해 스케일링된다.
   • 사후 공분산 누출(Posterior Covariance Leakage): 데이터 의존적인 사후 공분산 $k_D$에 의해 결정된다. 결정적으로, 저자들은 평균이 완벽하게 정규화되거나($\sigma \to \infty$) 하더라도 공분산 항 $k_D$가 여전히 학습 데이터에 대한 정보를 누출할 수 있음을 보여준다.
   • 주요 파라미터: 상한은 유효 리지(effective ridge) $r$(노이즈 대 신호 비율과 관련됨) 및 사후 분산 스케일 $V_n(r)$에 의존한다. 분석 결과, 의미 있는 프라이버시를 위해서는 단순히 큰 커널 스케일뿐만 아니라 공분산 누출을 억제하기 위한 충분한 정규화(큰 $r$)가 필요함을 입증하였다.

2. 노이즈를 통한 강화: 또한 본 논문은 공개되는 샘플 경로에 독립적인 가우시안 노이즈 $g \sim \mathcal{GP}(0, \eta^2 k)$를 추가하는 메커니즘(식 5)을 제안한다. 이는 유틸리티와 더 강력한 보증 사이의 트레이드오프를 조절할 수 있는 명시적인 "프라이버시 노브(privacy knob)"를 제공한다.

3. 실증적 검증:

   • 멤버십 추론 공격(Membership Inference Attacks, MIA): 저자들은 이론적 예측을 테스트하기 위해 LiRA 스타일의 공격을 구현한다. 이들은 다양한 정규화 수준($r$)과 커널 스케일($\sigma$)에 따른 공격 성공률(고정된 허위 양성률에서의 진양성률)을 측정한다.
   • 프라이버시-유틸리티 트레이드오프: 합성 데이터 및 실제 데이터(Greater London 주택 가격)를 사용하여 공개된 경로의 다운스트림 작업, 특히 "엑스커션 세트 추정(excursion set estimation)"(잠재 필드가 특정 임계값을 초과하는 영역 식별)에 대한 유틸리티를 평가한다. 이들은 제약 없는 하이퍼파라미터 선택과 프라이버시 예산($\epsilon < 10$)에 의해 제약된 선택을 비교한다.

핵심 기여

1. GP 사후 샘플링에 대한 최초의 명시적 DP 상한 도출: 본 논문은 전체 학습 데이터셋이 비공개인 경우의 GP 사후 샘플 경로 공개에 대한 최초의 명시적 RDP 상한을 도출하였다. 기존 연구들은 공변량이 공개되어 있다고 가정하거나, (경계가 없는 잠재 함수로 인해 GP가 충족하지 못하는) 유계된 로그 가능도(bounded log-likelihoods)를 가정하거나, 표준 GP 회귀에 직접 적용되지 않는 일반적인 베이지안 프레임워크에 의존했다.
2. 누출 원인의 분리: 이론적 상한은 데이터 의존적 변화에 민감한 사후 평균으로부터의 누출과 사후 공분산(데이터 의존적 불확실성)에 내재된 누출을 명시적으로 분리한다. 이는 내재적 프라이버시가 자동적인 것이 아니며, 공분산 누출을 제어하기 위해 유효한 리지 정규화에 크게 의존함을 드러낸다.
3. 이론의 실증적 확인: 실험은 멤버십 추론 공격의 성공률이 예측된 정규화 의존성을 추적함을 확인한다. 구체적으로, 정규화($r$)를 높이면 공격 성능이 무작위 추측 수준으로 급격히 떨어지는 반면, 커널 스케일($\sigma$)만 높이는 것은 잔류 멤버십 신호를 남긴다.
4. 노이즈 영역에서의 유틸리티 보존: 유틸리티 실험은 높은 관측 노이즈(정규화가 자연스럽게 높은 경우) 환경에서 프라이버시 호환적인 정규화가 유용한 다운스트림 결정(엑스커션 세트 추정)을 적절한 유틸리티 손실만으로 보존함을 보여준다. 저노이즈 환경에서는 프라이버시의 비용이 더 높다.

결과

• MIA 성능: 공격 성공률은 도출된 $\epsilon$ 상한과 강하게 상관관계가 있다. 정규화가 낮을 때는 큰 $\sigma$를 사용하더라도 공격이 성공한다. 정규화($r$)가 증가함에 따라 공격 성능은 무작위 추측으로 수렴하며, 이는 이론적 상한을 검증한다.
• 결합(Composition): 본 논문은 $L$개의 독립적인 사후 표본을 공개할 때의 효과를 분석한다. RDP 항은 가산적으로 결합되지만, 이를 근사 DP로 변환하면 최종 $\epsilon$ 상한은 $L$에 대해 아선형(sub-linear) 성장을 보인다.
• 유틸리티 vs 프라이비시: 합성 1D 및 2D 엑스커션 세트 실험에서, 저자들은 노이즈가 많은 관측치(높은 Noise-to-Signal Ratio)의 경우 제약 없는 유틸리티 최적값이 이미 고도로 정규화되어 있음을 발견했다. 결과적으로, 프라이버시 제약($\epsilon < 10$)을 부과하더라도 유틸리티 저하가 매우 적다(예: 상대적 IoU 차이 < 10%). 저노이즈 환경에서는 제약 없는 최적값이 데이터를 밀접하게 피팅하므로, 프라이버시를 강제하기 위해 상당한 정규화가 필요하며 이는 높은 유틸리티 비용을 초래한다.
• 실제 적용: 런던 주택 가격 데이터에 적용했을 때, 프라이빗 사후 표본은 지배적인 고가격 지역을 성공적으로 복구하지만, 작고 고립된 고가격 섬들을 매끄럽게 처리(smooth out)하여 프라이버시 유도 무작위성과 세밀한 디테일 사이의 트레이드오프를 보여준다.

의의 및 주장
본 논문은 가우시안 프로세스의 사후 무작위성이 "진정한 프라이버시 자원" 역할을 할 수 있다고 주장하지만, 이는 무조건적인 것은 아니다. 저자들은 유용한 내재적 프라이버시를 위해서는 사후 평균 및 사후 공분산 누출을 모두 제어하기 위한 충분한 정규화가 필수적임을 강조한다.

본 연구는 GP 사후 샘플링이 (프라이버시 맥락에서 결정론적 대리물로 간주되곤 하지만) 실제로 정량화 및 제어가 가능한 내재적 DP 특성을 가지고 있음을 보여줌으로써 베이지안 학습의 프라이버시에 대한 이해를 확장한다. 저자들은 하이퍼파라미터가 고정되어 있다고 가정하며, 만약 하이퍼파라미터가 비공개 데이터를 사용하여 선택된다면 추가적인 프라이버시 계산이 필요하다고 언급한다. 또한, 그들의 상한이 유계된 반응값(bounded responses)에 의존하며, 상한의 실제 강도는 민감도 항 $\Delta_n(r)$을 얼마나 엄격하게 제어할 수 있는지에 달려 있음을 인정한다.

결론적으로, 내재적 프라이버시는 강력하지만, 정규화가 자연스럽게 높은 노이즈가 많은 환경에서 가장 효과적이며, 이를 통해 명시적인 외부 노이즈 주입 없이도 유용한 사후 샘플을 공개할 수 있다. 더 강력한 프라이버시 요구사항이나 저노이즈 환경을 위해서는, 보정된 GP 노이즈를 추가하는 것이 보증을 날카롭게 만드는 메커니즘을 제공한다.