はじめに
ディープラーニングの応用が広がる中、Machine Learning as a Service、MLaaSが注目されています。一方、クライアントとサーバーで推論する仕組みでは、プライバシーが重要な課題になります。サーバーがユーザー端末の元データを処理する場面では、特に大きな問題です。
DEEPINGSOURCEは、この課題に対してクライアント端末へ難読化関数の_obfuscator_を直接組み込む方法を提案しました。プライバシーを強化しながら、データを効率的に処理することを目指します。
複数のデータセットで既存手法と比較し、精度、計算効率、メモリ使用量、情報漏えいと復元攻撃への耐性を評価しました。その結果、提案手法は比較対象を一貫して上回りました。
性能を損なわずにクライアントがデータを保護する、プライバシー保護型の機械学習へ進むための結果です。
敵対的な脅威に対応し、エッジ端末のプライバシーを守る
攻撃者がCCTVカメラやIoT端末などのエッジ端末を制御していると仮定します。端末は_obfuscator_モデルを保持し、送信前に元データを変換します。攻撃者は元の入力と難読化された表現の組み合わせから独自のデータセットを作り、敵対モデルを学習できます。さらに、攻撃者が元の学習データセットとサービス提供者のモデル構造も知っていると仮定します。サービス提供者にとってプライバシー保護が難しい強い脅威モデルです。本研究は、このような条件でも提案手法がプライバシーを保護することを示します。
この環境では、攻撃者がエッジ端末の難読化モデルを利用し、元の入力と難読化表現の組み合わせで敵対モデルを学習できます。元の学習データとモデル構造まで知られているという想定が、プライバシー保護の難度を高めます。
プライバシーを守るデータ送信の仕組み
図1. 上は提案手法の学習構成、下は敵対的な攻撃が想定される推論環境です。
一般的な畳み込みニューラルネットワーク、CNNを二つに分けます。前半の層はクライアント側のエンコーダーとして、後半の層はサーバーでタスクを実行するモデルとして利用します。
クライアント側のエンコーダーが入力データを処理し、単純化した表現を生成します。そこへランダムノイズを加えます。信号へ小さな雑音を加えるような処理で、送信データを傍受した人が内容を理解しにくくします。
変換後の表現だけをクライアントからサーバーへ送信します。元データのプライバシーを保護しながら、サーバーは必要なタスクを実行できます。
視覚的な復元評価で確認したプライバシー防御
図2. 提案手法とMaxEnt以外の手法は、復元攻撃の防御に失敗しました。Image NoiseやNo Noise（RN18_4）など一部の手法は人物の正確な身元が露出することを防ぎましたが、性別というセンシティブな属性を消せませんでした。
図2は、復元攻撃を受けた複数の手法を視覚的に評価した結果です。
DeepObfs.、DISCO、Image Noiseの復元結果では、元画像と比べて身元がわずかに変わった一方、性別などのセンシティブな属性は判別できました。
No Noiseは身元と背景の文脈を効果的に消したように見えましたが、性別を判別できる痕跡は残りました。
提案手法とMaxEntだけが復元攻撃を効果的に防ぎ、身元とセンシティブな属性の両方を保護しました。
ユーザー調査で見る人の知覚とプライバシー保護
図3. 復元画像に関するユーザー調査の結果です。
復元攻撃に対する提案手法の堅牢性を人の知覚から確認するため、ユーザー調査も実施しました。
図3の各難読化手法で画像を隠した後、攻撃を適用しました。30人の参加者に、画像の人物が笑っているかを判断するSmilingの有用性タスクと、性別を判断するGenderのプライバシータスクへ取り組んでもらいました。
提案手法は、従来手法よりセンシティブな情報を人から効果的に隠しました。人の視覚と知覚の基準でもプライバシー保護の効果を確認できました。
まとめ
敵対的な攻撃環境でセンシティブな情報を保護する方法を、複数の評価とユーザー調査から検証しました。
提案手法は攻撃に対して堅牢で、人の知覚による結果とも一致しました。復元攻撃を受けた後も、人がセンシティブな属性を判別しにくい状態を実現しました。
理論的なベンチマークと実際のユーザー調査の両方で、従来手法を上回りました。この方法により、組織は高いプライバシー基準を維持しながら機械学習を導入できます。
