Bounding Training Data Reconstruction in DP-SGD

要約

差分プライベート トレーニングは、通常、メンバーシップ推論攻撃に対する保証として解釈される保護を提供します。
プロキシによって、この保証は、完全なトレーニング例を抽出しようとする再構築攻撃などの他の脅威にまで及びます。
最近の研究では、メンバーシップ攻撃から保護する必要はなく、代わりにトレーニング データの再構築から保護したいだけの場合、これらのより野心的な攻撃から保護するために必要なノイズが少なくなるため、プライベート モデルの有用性を改善できるという証拠が提供されています。
プライベートディープラーニングの標準アルゴリズムである DP-SGD のコンテキストでこれをさらに調査し、DP-SGD に対する再構築攻撃の成功の上限を、私たちの限界の予測と経験的に一致する攻撃とともに提供します。
これら 2 つの結果は、再構築攻撃から保護するために実際に DP-SGD のプライバシー パラメータを設定する方法について、きめ細かい調査への扉を開きます。
最後に、私たちの方法を使用して、同じ DP 保証につながる DP-SGD パラメータの設定が異なると、再構築の成功率が大幅に異なる可能性があることを示します。
再建攻撃。

要約(オリジナル)

Differentially private training offers a protection which is usually interpreted as a guarantee against membership inference attacks. By proxy, this guarantee extends to other threats like reconstruction attacks attempting to extract complete training examples. Recent works provide evidence that if one does not need to protect against membership attacks but instead only wants to protect against training data reconstruction, then utility of private models can be improved because less noise is required to protect against these more ambitious attacks. We investigate this further in the context of DP-SGD, a standard algorithm for private deep learning, and provide an upper bound on the success of any reconstruction attack against DP-SGD together with an attack that empirically matches the predictions of our bound. Together, these two results open the door to fine-grained investigations on how to set the privacy parameters of DP-SGD in practice to protect against reconstruction attacks. Finally, we use our methods to demonstrate that different settings of the DP-SGD parameters leading to the same DP guarantees can result in significantly different success rates for reconstruction, indicating that the DP guarantee alone might not be a good proxy for controlling the protection against reconstruction attacks.

arxiv情報

提供元, 利用サービス

arxiv.jp, Google