Towards Explainable Privacy Preservation in Federated Learning via Shapley Value-Guided Noise Injection

1. Probleemstelling

Federated Learning (FL) staat meerdere deelnemers toe om gezamenlijk machine learning-modellen te trainen zonder lokale data te delen. Hoewel dit de risico's op directe data-expositie vermindert, zijn FL-systemen kwetsbaar voor geavanceerde privacy-aanvallen, zoals model-inversie en lidmaatschapsinferentie. Adversairs kunnen gevoelige informatie reconstrueren uit de gedeelde modelupdates.

Om dit tegen te gaan, wordt Differentiële Privacy (DP) vaak gebruikt door ruis (noise) toe te voegen aan de updates. Echter, bestaande DP-methoden in FL hebben twee belangrijke tekortkomingen:

1. Gebrek aan uitlegbaarheid: De hoeveelheid toe te voegen ruis wordt vaak bepaald door heuristieken of indirecte factoren (zoals trainingsvoortgang of tijdschema's), zonder een duidelijke link naar de daadwerkelijke privacybijdrage van de onderliggende data.
2. Suboptimale afweging: Dit leidt vaak tot een slechte afweging tussen privacy en bruikbaarheid (utility). Of er wordt te veel ruis toegevoegd (wat de modelnauwkeurigheid verlaagt), of te weinig (wat onvoldoende bescherming biedt).

Het paper stelt dat er een behoefte is aan een uitlegbare (explainable) methode waarbij de ruisinjectie dynamisch en principieel wordt afgestemd op de specifieke privacyrisico's van de data.

2. Methodologie: FedSVA

De auteurs introduceren FedSVA, een nieuw mechanisme dat Differentiële Privacy combineert met Shapley-waarden (uit de coöperatieve speltheorie) om de ruisinjectie te sturen. Het systeem werkt als volgt:

• Architectuur: Het systeem bestaat uit een centrale server en meerdere clients. Elke client verdeelt zijn lokale dataset in subsets op basis van attributen (bijv. privé- versus niet-privé attributen).
• Privacy Schatting (PE) Module:
  • Elke client berekent de bijdrage van specifieke "privé-attributen" aan het trainingsproces.
  • Hiervoor worden Shapley-waarden gebruikt. De client traint submodellen met verschillende combinaties van attributen en evalueert hun prestatie.
  • De Shapley-waarde ($\psi$) kwantificeert hoe belangrijk een attribuut is voor de modelnauwkeurigheid.
  • Op basis hiervan wordt een privé-bijdrage ratio ($R^p_i$) berekend. Een hogere ratio betekent dat de privé-data een grotere invloed heeft op het model en dus een hoger privacyrisico vormt.
• Ruisinjectie (NI) Module:
  • De berekende ratio $R^p_i$ wordt direct vertaald naar de schaal van de Gaussische ruis ($\sigma_i$).
  • De formule voor de ruisstandaardafwijking is: $\sigma_i = \frac{2C\sqrt{\max(T^p_i, \beta_i)}}{\epsilon |D_i|}$, waarbij $T^p_i$ een risicotolerantie is die afhangt van $R^p_i$.
  • Dynamische aanpassing: Als de privé-data weinig bijdraagt aan het model, wordt minder ruis toegevoegd (behoud van utility). Als de data cruciaal is, wordt strengere ruis toegevoegd (sterkere privacy).
• Theoretische Basis:
  • Het paper bewijst dat FedSVA formele $(\epsilon, \delta')$-DP garanties biedt.
  • Er wordt een convergentieanalyse uitgevoerd die aantoont dat het algoritme convergeert onder standaard aannames, waarbij de foutgrens kwadratisch afhankelijk is van het aantal geselecteerde clients en de hoeveelheid toegevoegde ruis.

3. Belangrijkste Bijdragen

1. Eerste uitlegbare DP-mechanisme: FedSVA is het eerste FL-mechanisme dat Shapley-waarden integreert met DP om een transparante strategie voor ruisinjectie te bieden.
2. Rigoureuze theoretische analyse: Het paper levert formele bewijzen voor privacygaranties en convergentie van het federale optimalisatieproces.
3. Superieure prestaties: Experimenten tonen aan dat FedSVA een betere privacy-utility trade-off bereikt dan bestaande state-of-the-art methoden, terwijl het effectief beschermt tegen reconstructie-aanvallen.

4. Resultaten en Evaluatie

De auteurs hebben FedSVA getest op twee benchmarks: CIFAR-10 (met ResNet-18) en FEMNIST (met CNN), vergeleken met vier bestaande DP-methoden (NbAFL, TV DP, Sens DP, DPA DP).

• Privacy-Utility Trade-off:
  • FedSVA behaalde consistent de hoogste testnauwkeurigheid over alle privacy-budgetten ($\epsilon$).
  • Bijvoorbeeld, op CIFAR-10 met $\epsilon = 0.2$ bereikte FedSVA een nauwkeurigheid van 75,98% (gemiddeld over de laatste 5 rondes), terwijl de beste concurrent (DPA DP) slechts 65,21% haalde.
  • Dit bewijst dat de gerichte ruisinjectie onnodige ruisverliezen voorkomt.
• Ruisanalyse:
  • FedSVA injecteert aanzienlijk minder totale ruis dan statische methoden en een meer gepreciseerd schema dan andere dynamische methoden.
  • Het verbruikt een kleiner cumulatief privacy-budget, wat wijst op een efficiënter gebruik van het privacy-budget.
• Verdediging tegen Aanvallen:
  • Tegen reconstructie-aanvallen (via ACGAN) presteerde FedSVA uitstekend. Hoewel er minder ruis werd toegevoegd dan bij andere methoden, waren de gereconstrueerde beelden van slechte kwaliteit (hoge FID-scores), wat aantoont dat de privacyeffectief werd beschermd.
• Efficiëntie:
  • De berekening van Shapley-waarden is lokaal en voegt geen communicatie-overhead toe.
  • Een binaire verdeling van attributen ($N=2$) bleek de beste balans tussen nauwkeurigheid en rekentijd te bieden.

5. Betekenis en Conclusie

FedSVA markeert een belangrijke stap voorwaarts in de privacybescherming van Federated Learning. Door de link te leggen tussen de daadwerkelijke invloed van data op het model en de benodigde privacybescherming, lost het mechanisme het probleem van "blind" ruisinjectie op.

De belangrijkste implicaties zijn:

• Transparantie: Stakeholders kunnen nu begrijpen waarom een bepaald niveau van ruis wordt toegevoegd (gebaseerd op de data-bijdrage).
• Efficiëntie: Het maximaliseert de modelkwaliteit door ruis alleen te verhogen waar het echt nodig is.
• Toekomst: De auteurs plannen om de complexiteit van de Shapley-berekening te benaderen om de methode schaalbaarder te maken voor grootschalige implementaties met fijne granulariteit.

Kortom, FedSVA biedt een robuust, wiskundig onderbouwd en uitlegbaar framework dat privacy en bruikbaarheid in FL effectiever in evenwicht brengt dan eerdere benaderingen.