🤖 machine learning

End-to-End Differential Privacy in Training Deep Neural Network Classifiers

Dit artikel stelt een end-to-end framework voor voor differentiële privacy-training dat alleen gevoelige inputs privatiseert terwijl labels publiek blijven door het Dirichlet-mechanisme toe te passen op softmax-outputs en gebruik te maken van Rényi differentiële privacy voor nauwe grenzen, waarmee een state-of-the-art nauwkeurigheid wordt bereikt op meerdere datasets over diverse privacybudgetten heen.

Oorspronkelijke auteurs: Huaiyuan Rao, Calvin Hawkins, Alexander Benvenuti, Matthew Hale

Gepubliceerd 2026-07-23

📖 8 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Huaiyuan Rao, Calvin Hawkins, Alexander Benvenuti, Matthew Hale

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een robot leert om verschillende soorten dieren te herkennen. Je laat de robot duizenden foto's van katten en honden zien, en voor elke foto vertel je de robot: "Dit is een kat" of "Dit is een hond." De robot leert door naar de foto's te kijken en zijn interne instellingen aan te passen om de labels juist te krijgen. Dit is hoe moderne kunstmatige intelligentie leert. Maar wat als die foto's gevoelige geheimen bevatten? Misschien zijn de foto's medische scans van patiënten, of privéfamiliemomenten. Als iemand de uiteindelijke "hersenen" van de robot (het getrainde model) steelt, zou diegene de originele foto's kunnen terugbrengen naar hun oorsprong en die geheimen kunnen zien. Om dit te stoppen, gebruiken wetenschappers een wiskundig schild genaamd Differential Privacy. Denk bij dit schild aan het toevoegen van een beetje "statische ruis" of "ruis" aan het leerproces, zoals het volume van een radio net genoeg omhoog draaien om een fluistering te verbergen, zodat niemand precies kan zien welke specifieke foto de robot heeft gezien, terwijl de robot nog steeds de algemene indruk begrijpt van hoe een kat eruitziet.

Meestal, wanneer wetenschappers dit privacy-schild toevoegen, vervormen ze alles: de foto en het label. Maar soms is het label geen geheim. Als je een robot traint om pneumonie (longontsteking) te herkennen op röntgenfoto's, dan is de röntgenfoto zelf een privémedisch dossier, maar de diagnose van de arts ("Pneumonie" of "Geen Pneumonie") is misschien publieke kennis of al bekend. De grote vraag die dit artikel stelt is: Kunnen we de geheime foto beschermen terwijl we het publieke label ongemoeid laten, en de robot nog steeds heel goed onderwijzen? De auteurs, een team van Georgia Tech, zeggen van wel. Ze hebben een nieuwe trainingsmethode gebouwd die de "gokken" van de robot over de foto vervormt met een speciaal wiskundig hulpmiddel genaamd het Dirichlet-mechanisme. In plaats van alleen maar willekeurige ruis toe te voegen zoals bij een radio vol statische ruis, gebruiken ze dit hulpmiddel om de waarschijnlijkheids-gokken van de robot op een zachte manier te sturen, op een manier die de originele afbeelding verbergt maar het leertraject helder houdt. Ze hebben dit getest op beroemde beelddatasets zoals CIFAR10 (een verzameling kleine kleurenfoto's) en ontdekten dat hun methode veel slimmer is dan eerdere pogingen. Waar oudere methoden moeite hadden om te leren wanneer het privacy-schild sterk was, hield hun aanpak de nauwkeurigheid van de robot hoog, zelfs wanneer de privacy-instellingen strak werden afgesteld.

Het Verhaal van de Geheime Foto en het Publieke Label

Laten we in het avontuur van dit artikel duiken. De auteurs, Huaiyuan Rao, Calvin Hawkins, Alexander Benvenuti en Matthew Hale, pakken een lastig probleem aan in de wereld van machine learning. Ze willen diepe neurale netwerken trainen — die chique computerbreinen die gezichten herkennen, ziekten diagnosticeren of auto's besturen — zonder de privégeheimen die in de trainingsdata verborgen zitten te lekken.

Het Probleem met de Oude Manier
Stel je voor dat je een student probeert te leren verschillende vruchten te identificeren. Je laat hem een appel zien en zegt: "Dit is een appel." Als je de herinnering van de student aan die specifieke appel wilt beschermen (misschien is het een zeldzame, bedreigde vrucht), kun je hem vertellen de exacte tint rood of het kleine krasje op de schil te vergeten. In de wereld van AI gebeurt dit door ruis toe te voegen. De meest voorkomende methode, genaamd DP-SGD, is als het leggen van een dikke, pluizige deken over de hele klas. Het vervormt zowel de foto van de vrucht als het label "appel". Hoewel dit erg veilig is, is het ook erg onhandig. De pluizige deken maakt het moeilijk voor de student om iets duidelijk te zien, waardoor hij langzaam leert en veel fouten maakt. De nauwkeurigheid van de AI daalt aanzienlijk omdat de "ruis" zo zwaar is.

Het Nieuwe Idee: Een Gericht Schild
De auteurs realiseerden zich dat in veel echte situaties het "label" eigenlijk geen geheim is. Als je een AI traint om creditcardfraude te detecteren, kan het transactiebedrag gevoelig zijn, maar de categorie "Fraude" of "Veilig" is vaak een standaard, publieke definitie. Als je het publieke label als een geheim behandelt, voeg je onnodige ruis toe, zoals het dragen van een winterjas in de zomer.

Daarom stelden ze een nieuw kader voor: End-to-End Differential Privacy. In plaats van de hele foto te vervormen, vervormen ze alleen het deel dat ertoe doet: de invoerafbeelding. Ze laten het label (het antwoordformulier) volledig helder.

Hoe de Magische Truk Werkt
Hier wordt het verhaal leuk. De auteurs gebruiken een slimme truc waarbij de softmax-laag wordt gebruikt. Je kunt een neuraal netwerk zien als een detective die naar een foto kijkt en vervolgens een lijst met gokken maakt: "Ik weet voor 80% zeker dat het een kat is, 15% zeker dat het een hond is, en 5% zeker dat het een vogel is." Deze lijst met percentages wordt een waarschijnlijkheidsvector genoemd, en deze leeft op een vorm die een "unit simplex" wordt genoemd (een chique geometrische term voor een driehoek waar alle hoeken samen 100% optellen).

In de oude methoden zouden ze gewoon willekeurige ruis op deze gokken gooien, wat vaak de wiskunde verstoorde. Maar de auteurs gebruikten een speciaal hulpmiddel genaamd het Dirichlet-mechanisme. Stel je voor dat de lijst met gokken van de detective een kom met gekleurd zand is. Het Dirichlet-mechanisme gooit niet zomaar vuil in de kom; het mengt het zand op een zeer specifieke, wiskundig perfecte manier. Het neemt de oorspronkelijke gok van de detective en voegt er een klein beetje "privacy-zand" aan toe, waardoor een nieuwe, iets andere lijst met gokken ontstaat.

Deze nieuwe lijst is nog steeds een geldige set waarschijnlijkheden (het telt nog steeds op tot 100%), maar het is nu "privé". De robot gebruikt deze iets wazige lijst om zijn fouten te berekenen en te leren, maar door de manier waarop het Dirichlet-mechanisme werkt, is het onmogelijk om precies te achterhalen wat de oorspronkelijke foto was.

De Resultaten: Slimmer en Sneller
Het team testte deze nieuwe methode op verschillende beroemde datasets, waaronder CIFAR10 (10 soorten kleine afbeeldingen), MNIST (handgeschreven cijfers) en zelfs MedMNIST (medische afbeeldingen). Ze vergeleken hun methode met de oude "pluizige deken"-aanpak (DP-SGD) en een andere recente methode die probeerde inputs te beschermen maar een ander soort ruis gebruikte.

De resultaten waren indrukwekkend. Wanneer het privacybudget werd ingesteld op een strikt niveau (waarbij $\epsilon = 4$ ), behaalde de oude beste methode (Monir en Ghinita, 2024) ongeveer 78,37% nauwkeurigheid op CIFAR10. De nieuwe methode van de auteurs sprong omhoog naar 88,17%. Dat is een enorme sprong! Zelfs toen de privacy extreem strikt werd ingesteld ( $\epsilon = 1$ ), behaalde hun methode nog steeds 82,96% nauwkeurigheid, terwijl de oude methoden moeite hadden om boven de 56% uit te komen.

Waarom was het zo veel beter?

Minder Ruis: Omdat ze alleen de inputs beschermden en niet de labels, hoefden ze niet zoveel "statische ruis" toe te voegen aan het leerproces.
Slimmere Ruis: Het Dirichlet-mechanisme is beter geschikt voor waarschijnlijkheidsgokken dan de willekeurige ruis die in andere methoden wordt gebruikt. Het behoudt de richting van het leertraject, wat betekent dat de robot nog steeds weet welke kant hij op moet, hij zet alleen iets kleinere stappen.
Geen Clipping: De oude methoden moesten de leerstappen voor elke individuele afbeelding "clippen" (afknippen) om ze veilig te houden, wat traag en rommelig was. De methode van de auteurs had dit niet nodig, wat het trainingsproces sneller maakte.

Wat Ze Niet Hebben Gedaan
De auteurs merken er zorgvuldig bij op dat hun methode bedoeld is voor situaties waarin de labels publiek of veilig zijn. Als de labels ook geheim zijn (zoals een privé medische diagnose die niemand mag weten), is deze methode niet het juiste instrument. In die gevallen is de oude "pluizige deken" (DP-SGD) nog steeds noodzakelijk omdat deze alles beschermt.

De Kern van het Verhaal
Dit artikel laat zien dat we niet hoeven te kiezen tussen privacy en prestaties. Door slimmer te zijn over wat we beschermen, kunnen we AI-modellen bouwen die zowel veilig als ongelooflijk nauwkeurig zijn. De auteurs hebben aangetoond dat door het Dirichlet-mechanisme te gebruiken om alleen de inputs te privatiseren, zij diepe neurale netwerken konden trainen die de huidige stand van de techniek overtroffen in bijna elke test die ze uitvoerden. Het is een herinnering aan het feit dat, in de wereld van AI, de beste manier om een geheim te beschermen soms is om te stoppen met het verbergen van de dingen die al publiek zijn.

Technische Samenvatting: End-to-End Differentieel Privé in het Trainen van Deep Neural Network Classificaties

Probleemstelling
Bestaande frameworks voor differentieel privé (DP) machine learning, zoals Differentially Private Stochastic Gradient Descent (DP-SGD), privatiseren doorgaans zowel de trainingsinputs als de bijbehorende labels. Echter, in veel real-world scenario's zijn de privacyrisico's geassocieerd met inputs en labels asymmetrisch. Bijvoorbeeld, in medische beeldvorming is de biometrische patiëntdata (inputs) zeer gevoelig, terwijl diagnostische labels (outputs) publiek of toegankelijk kunnen zijn via gezondheidsregisters. Similair aan financiële toepassingen is de transactiegeschiedenis gevoelig, maar de risicocategorieën zijn vaak publiekelijk gedefinieerd. Huidige methoden die zowel inputs als labels privatiseren, introduceren een aanzienlijke privacy-utiliteit-tradeoff, wat vaak resulteert in substantiële degradatie van de nauwkeurigheid, zelfs bij een gematigd privacybudget. De auteurs adresseren de specifieke uitdaging van het trainen van deep neural network classificaties waarbij trainingsinputs gevoelig zijn maar labels publiek zijn, met als doel differentieel privé te bieden voor de inputs terwijl de hoge modelnauwkeurigheid behouden blijft.

Methodologie
Het paper stelt een nieuw privaat trainingsframework voor dat gekalibreerde willekeur direct injecteert in de softmax output-laag van een neuraal netwerk, in plaats van gradiënten of intermediaire feature-lagen te verstoren. De kerncomponenten van de methodologie omvatten:

Dirichlet Mechanisme: In plaats van Gaussische ruis toe te voegen aan gradiënten (zoals bij DP-SGD) of features, samplet het framework een private waarschijnlijkheidsvector uit een Dirichlet-distributie. Specifiek, voor een model dat logits $z$ produceert, wordt de softmax output $s(z)$ verstoord door te samplen $\tilde{p} \sim \text{Dir}(r s(z) + \alpha \mathbf{1}_d)$ , waarbij $r$ en $\alpha$ respectievelijk schaal- en offsetparameters zijn. Deze verstoorde vector $\tilde{p}$ wordt vervolgens gebruikt om de Negative Log-Likelihood (NLL) loss te berekenen tegen het ware publieke label $y$ .
Privacy Analyse via RDP en Subsampling: Omdat trainingsdata over meerdere epochs wordt hergebruikt, gebruiken de auteurs Rényi Differential Privacy (RDP) om nauwe grenzen te formuleren op de geaccumuleerde privacyverlies. Ze maken gebruik van Poisson subsampling (random minibatch selectie) om de privacygaranties te versterken (amplification). Het paper leidt een formele grens af (Theorem 10) die de $(\epsilon, \delta)$ -differentieel privé van het gehele trainingsproces karakteriseert, rekening houdend met de compositie van het Dirichlet mechanisme over $T$ trainingsstappen.
Gradiëntgedrag en Learning Rate Kalibratie: De auteurs analyseren de statistische eigenschappen van de verstoorde loss. Ze demonstreren (Theorem 11) dat de verwachte gradiënt van de private loss de richting van de niet-private cross-entropy gradiënt behoudt, maar geschaald wordt door een datagevoelige attenuatiefactor $\kappa(z; r, \alpha)$ . Dit inzicht maakt het mogelijk om de learning rate te kalibreren om de magnitude-schaling veroorzaakt door het privacy-mechanisme tegen te werken, wat zorgt voor stabiele training.
Parameter Selectie: Het framework bevat een procedure om de Dirichlet parameters ( $\alpha$ en $r$ ) te selecteren om een target privacybudget $(\epsilon, \delta)$ te voldoen. De parameter $r$ wordt bepaald via root-finding om de schalingfactor te maximaliseren terwijl binnen de privacyrestricties wordt gebleven.

Belangrijkste Bijdragen

Nieuw Framework: Het voorstel van een trainingspipeline die inputs privatiseert terwijl labels publiek houdt, door gebruik te maken van het Dirichlet mechanisme op de softmax laag om differentieel privé af te dwingen.
Formele Privacy Garanties: De afleiding van een nauwe privacy-grens met behulp van RDP en subsampling amplification voor het Dirichlet mechanisme, een combinatie die voorheen niet geanalyseerd is in de literatuur.
Theoretisch Inzicht: Het bewijs dat het Dirichlet mechanisme de richting van gradiënten behoudt terwijl het hun magnitude herschaalt, wat een theoretische basis biedt voor de selectie van de learning rate.
Empirische Superieuriteit: Uitgebreide evaluatie die aantoont dat de voorgestelde methode de bestaande state-of-the-art benaderingen overtreft op meerdere datasets en privacybudgets.

Experimentele Resultaten
De auteurs evalueerden het framework op vijf benchmark datasets: CIFAR10, MNIST, DermaMNIST, FashionMNIST, en SVHN. Belangrijkste bevindingen zijn:

CIFAR10: Bij een privacybudget van $\epsilon = 4$ (met $\delta = 10^{-5}$ ) behaalde de methode een nauwkeurigheid van 88,17%, wat een significante verbetering is ten opzichte van de eerdere state-of-the-art (Monir en Ghinita, 2024) die 78,37% behaalde bij hetzelfde budget. Zelfs bij het strikte budget van $\epsilon = 1$ behaalde de methode 82,96% nauwkeurigheid, waarmee de prestaties van het eerdere werk bij $\epsilon = 4,46$ overtrof.
MNIST: De methode behaalde bijna niet-private nauwkeurigheidsniveaus (bijv. 99,44% bij $\epsilon = 4$ ) met een vereenvoudigd Inception model, waarbij het DP-SGD en andere private learning baselines overtreft.
DermaMNIST: Op medische beeldvormingsdata behaalde de methode 74,32% nauwkeurigheid bij $\epsilon = 1$ , waarmee het DP-SGD (68,34%) versloeg en een gat van minder dan 5% behield ten opzichte van de niet-private baseline.
Efficiëntie: Het framework elimineert de noodzaak voor per-sample gradient clipping, wat computationeel duur is in DP-SGD. Bij consequentie is het trainingsproces aanzienlijk sneller (bijv. ~30 seconden per epoch op CIFAR10 versus ~60 seconden voor DP-SGD).

Betekenis en Claims
Het paper claimt dat deze aanpak een complementaire oplossing biedt voor DP-SGD, specifiek afgestemd op scenario's waar inputs gevoelig zijn maar labels niet. Door de privatisering van labels en het gebruik van per-sample gradient clipping te vermijden, bereikt de methode een nieuwe state-of-the-art nauwkeurigheid over alle geëvalueerde privacybudgets. De auteurs benadrukken dat het Dirichlet mechanisme willekeur introduceert met een lagere variantie dan de Gaussische mechanismen die worden gebruikt in eerdere input-privacy werken (zoals Monir en Ghinita, 2024), en dat de variantie schaalt met het aantal klassen in plaats van de laagbreedte, wat het geschikter maakt voor deep networks. Het werk demonstreert dat high-utility modellen getraind kunnen worden met sterke privacygaranties voor gevoelige inputs zonder de zware nauwkeurigheidspenaliteiten die gepaard gaan met volledig private training.

Het Verhaal van de Geheime Foto en het Publieke Label

Technische Samenvatting: End-to-End Differentieel Privé in het Trainen van Deep Neural Network Classificaties

Meer zoals dit