Privacy-Preserving Explainable AIoT Application via SHAP Entropy Regularization

Probleemstelling

De integratie van Artificial Intelligence of Things (AIoT) in slimme huishoudens heeft de vraag naar transparante en interpreteerbare machine learning-modellen vergroot. Om vertrouwen te wekken en te voldoen aan regelgeving (zoals de EU AI Act), worden methoden voor Explainable AI (XAI), zoals SHAP (SHapley Additive exPlanations) en LIME, veel gebruikt.

Echter, recente studies tonen aan dat deze uitlegmethode onbedoeld privacyrisico's introduceert. Hoewel de ruwe invoergegevens niet direct worden gedeeld, kunnen de SHAP-waarden (die aangeven welke functies bijdragen aan een voorspelling) gevoelige informatie onthullen over gebruikersgedrag, zoals bezettingspatronen, slaappatronen, kooktijden en het gebruik van specifieke apparaten. Dit maakt systemen kwetsbaar voor inference-aanvallen, waarbij een aanvaller gevoelige informatie kan afleiden uit de uitleggen, zelfs zonder toegang tot de trainingsdata. Bestaande privacytechnieken zoals Differentiële Privacy (DP) focussen vaak op het beschermen van de data of modelparameters, maar adresseren niet de privacyrisico's die specifiek voortvloeien uit de uitlegoutput zelf.

Methodologie

De auteurs stellen een nieuwe aanpak voor: SHAP Entropy Regularization. Het doel is om privacy te beschermen tijdens het trainen van het model door de verdeling van de SHAP-toewijzingen te beïnvloeden.

1. Kernconcept:

   • De methode straalt een "straf" (penalty) uit op SHAP-verdelingen met lage entropie.
   • Lage entropie betekent dat het model sterk afhankelijk is van slechts een paar dominante functies (bijv. alleen de ketel of de koelkast), wat vaak leidt tot overfitting en het onthullen van specifieke gebruikerspatronen.
   • Door de entropie te maximaliseren, wordt het model gedwongen om de attributie over meer functies te verspreiden, waardoor de uitleg minder voorspelbaar en minder gerelateerd aan specifieke individuen wordt.

2. Model Architectuur:

   • Er wordt een LSTM (Long Short-Term Memory) regressiemodel gebruikt, geschikt voor tijdreeksdata van energieverbruik.
   • De totale verliesfunctie ($L_{total}$) tijdens het trainen bestaat uit twee delen:
     $$L_{total} = L_{mse} + \lambda \cdot (\alpha - H_{SHAP}(x))^2$$
     • $L_{mse}$: De Mean Squared Error (voorspellingsnauwkeurigheid).
     • $\lambda$: Een hyperparameter die de sterkte van de regularisatie bepaalt.
     • $H_{SHAP}(x)$: De Shannon-entropie van de genormaliseerde SHAP-waarden.
     • $\alpha$: Een doelwaarde voor de entropie (doel is een hoge, uniforme verdeling).

3. Bedreigingsmodel en Aanvalsset:

   • De auteurs nemen een gray-box scenario aan, waarbij een aanvaller toegang heeft tot de SHAP-waarden maar niet tot de modelparameters of trainingsdata.
   • Ze ontwikkelen een suite van vijf specifieke SHAP-gebaseerde privacy-aanvallen om de kwetsbaarheid te testen:
     1. SHAP Entropy Attack: Zoekt naar lage entropie als teken van memorisatie van trainingsdata.
     2. SHAP Similarity Attack: Gebruikt cosinus-achtigheid om te zien of een steekproef lijkt op trainingsdata.
     3. SHAP Divergence Attack: Meet statistische verschillen (Jensen-Shannon Divergentie) tussen SHAP-verdelingen.
     4. SHAP Rank Correlation Attack: Analyseert de correlatie in de rangorde van functiewaarden.
     5. SHAP Rank Consistency Attack: Meet de ordinale consistentie (Kendall's Tau) in functierangordes.

Belangrijkste Bijdragen

• Nieuwe Regularisatiemethode: De eerste toepassing van SHAP-entropie regularisatie om lidmaatschapsinference-aanvallen (membership inference attacks) op SHAP-waarden in AIoT-toepassingen te mitigeren.
• Geavanceerde Aanvalsset: Een uitgebreide reeks van vijf verschillende aanvallen specifiek ontworpen om privacylekken in uitlegmogelijkheden te detecteren.
• Implementatie: Een effectieve implementatie van deze methode in een LSTM-model voor slimme energievoorspelling.
• Empirische Validatie: Uitgebreide experimenten die aantonen dat deze methode superieur is aan zowel standaardmodellen als modellen met Differentiële Privacy (DP).

Resultaten

De methode werd getest op het REFIT-dataset (elektrisch verbruik van 20 huishoudens in het VK), met focus op drie huishoudens. De resultaten werden vergeleken met een Baseline LSTM (zonder verdediging) en een DP-LSTM (met Differentiële Privacy).

• Privacybescherming: Het SHAP-geregulariseerde model presteerde consistent beter dan beide baselines op alle privacy-metrics.
  • Het vertoonde hogere SHAP-entropie (meer uniforme verdeling).
  • Het vertoonde lagere similariteit, divergentie en rangcorrelatie met de trainingsdata, wat betekent dat het voor een aanvaller veel moeilijker is om te bepalen of een specifiek huishouden deel uitmaakte van de trainingsset of om specifieke gedragingen af te leiden.
  • In vergelijking met DP-LSTM: Hoewel DP ook privacy biedt, resulteerde het soms in SHAP-waarden die "te glad" of dicht bij nul waren, wat de bruikbaarheid van de uitleg kan verminderen. De SHAP-regularisatie behield een betere balans tussen privacy en de kwaliteit van de uitleg.
• Nuttigheid (Utility): De voorspellingsnauwkeurigheid (gemeten via MAE - Mean Absolute Error) bleef hoog. Er was slechts een zeer kleine toename in foutmarge ten opzichte van de baseline, wat aangeeft dat de privacywinst niet ten koste gaat van de prestaties.
• Visuele Analyse: Warmtekaarten van SHAP-waarden toonden aan dat het geregulariseerde model minder geconcentreerde patronen toonde voor specifieke apparaten (zoals de ketel of koelkast) in vergelijking met de baseline, waardoor gedragspatronen moeilijker te traceren zijn.

Betekenis en Conclusie

Dit werk is significant omdat het een van de eerste studies is die zich specifiek richt op de privacy van de uitleg (explanation-level privacy) in plaats van alleen op de data of het model.

• Het biedt een praktische oplossing voor de compliance met privacywetgeving (zoals GDPR) in AIoT-systemen, waar transparantie vereist is maar privacy niet mag worden opgeofferd.
• Het bewijst dat het mogelijk is om "vertrouwelijke uitleg" te genereren die transparant is voor de gebruiker, maar niet kwetsbaar is voor inferentie-aanvallen door derden.
• De auteurs suggereren toekomstig werk gericht op adaptieve mechanismen (die de regularisatie dynamisch aanpassen aan de context) en uitbreiding naar multimodale AIoT-gegevens.

Kortom, de paper introduceert een robuust framework dat de balans vindt tussen de noodzaak van interpreteerbare AI en de bescherming van de privacy van gebruikers in slimme huishoudens.