Quelleninferenzangriffe im föderierten Lernen

Föderiertes Lernen (FL) hat sich als ein vielversprechendes datenschutzbewusstes Paradigma etabliert, das mehreren Klienten ermöglicht, gemeinsam ein Modell zu trainieren, ohne ihre privaten Daten zu teilen. Jüngste Studien haben gezeigt, dass FL anfällig für Mitgliedschaftsinferenzangriffe (MIAs) ist, die die Trainingsmitglieder des gegebenen Modells von den Nichtmitgliedern unterscheiden können. Allerdings ignorieren bestehende MIAs die Quelle eines Trainingsmitglieds, d.h. die Information darüber, welcher Klient das Trainingsmitglied besitzt, während es entscheidend ist, die Quellprivatsphäre in FL über die Mitgliedschaftsprivatsphäre von Beispielen aller Klienten hinaus zu erkunden. Das Leck von Quelleninformationen kann zu schweren Datenschutzproblemen führen. Zum Beispiel kann die Identifizierung des Krankenhauses, das zum Training eines FL-Modells für die COVID-19-Pandemie beiträgt, den Besitzer eines Datensatzes aus diesem Krankenhaus diskriminierbarer machen, wenn sich das Krankenhaus in einer Hochrisikoregion befindet. In diesem Papier schlagen wir einen neuen Inferenzangriff namens Quelleninferenzangriff (SIA) vor, der eine optimale Schätzung der Quelle eines Trainingsmitglieds ableiten kann. Insbesondere wenden wir innovativ die bayesianische Perspektive an, um zu zeigen, dass ein ehrlicher, aber neugieriger Server einen SIA durchführen kann, um nicht-triviale Quelleninformationen der Trainingsmitglieder zu stehlen, ohne das FL-Protokoll zu verletzen. Der Server nutzt den Vorhersageverlust lokaler Modelle auf den Trainingsmitgliedern, um den Angriff effektiv und nicht-invasive durchzuführen. Wir führen umfangreiche Experimente an einem synthetischen und fünf realen Datensätzen durch, um die Schlüsselfaktoren in einem SIA zu bewerten, und die Ergebnisse zeigen die Wirksamkeit des vorgeschlagenen Quelleninferenzangriffs.