推測はもう不要：分散学習における検証可能な勾配反転攻撃

要旨: 勾配反転攻撃は、クライアントが共有した勾配から学習サンプルを再構成することで、連合学習におけるクライアントのプライバシーを脅かします。勾配は複数の記録からの寄与を集約しており、既存の攻撃ではそれらをうまく切り分けられない可能性があり、その結果、成功を本質的に保証する手段のないまま誤った再構成が生じます。視覚と言語の分野では、攻撃者は再構成のもっともらしさを判断するために人手による検査へと後退することがありますが、数値の表形式データではそれがはるかに現実的でないため、表データはより脆弱性が低いという印象が生まれています。
本研究では、この認識に異議を唱え、再構成されたサンプルに対する正しさの明示的な証明（証明書）を提供する検証可能な勾配反転攻撃（VGIA）を提案します。提案手法では、ReLUリーク（漏えい）を幾何学的に捉える視点を採用します。すなわち、全結合層の活性化境界は入力空間における超平面を定義します。VGIAは、代数的で部分空間ベースの検証テストを導入し、超平面で区切られた領域にちょうど1つの記録が含まれていることを検出します。この分離が証明できた後、VGIAは対応する特徴ベクトルを解析的に復元し、軽量な最適化ステップによりターゲットを再構成します。
バッチサイズが大きい条件での表形式ベンチマークに対する実験では、既存の最先端攻撃が失敗するか、あるいは再構成の忠実度を評価できない領域において、記録およびターゲットの完全な回復が示されました。従来の幾何学的アプローチと比べて、VGIAは超平面へのクエリをより効率的に割り当てるため、攻撃ラウンド数を少なくしつつ、より高速に再構成できます。