LDS-FL: Loss Differential Strategy Based Federated Learning for Privacy Preserving

LDS-FL: Loss Differential Strategy Based Federated Learning for Privacy Preserving¹

一、背景介绍

1.1联邦学习(FL)存在的问题

1.尽管 FL 可以防止攻击者直接获取本地隐私数据，但研究人员还指出了 FL 中更深层次的隐私泄露：共享模型的泄露。由于过度拟合问题，ML 模型对所学数据总是具有更好的预测精度。因此，攻击者可以利用这种准确性差距，利用其共享模型逆向分析用户的隐私数据。
2.在实际场景中，当我们应用FL框架时，每个用户拥有的私有数据通常是Non-IID的，与IID相比，这种分布由于数据不平衡更容易发生隐私攻击，相关隐私攻击大致可以分为两类，分别是成员推理攻击和模型反演攻击
成员推理攻击(MIA)，攻击者试图确定一个特定的数据点是否在ML模型的训练集中使用过。Shroki等人提出了对ML模型的第一个MIA，利用阴影模型攻击来减轻先验的知识。
模型反演攻击，攻击者试图重建训练集的代表性样本，用于训练良好的ML模型。Fredrikson等人正式化了模型反演攻击，专门针对图像分类任务。攻击者生成带有随机噪声的虚假样本，查询模型获取样本属于目标类的概率，并使用梯度下降来优化更大的概率。

1.2联邦学习的隐私保护机制

1.安全多方计算（SMC）:
旨在允许多个参与者在不泄露各自私有输入的情况下进行计算。在SMC中，参与者共同执行一个计算任务，但每个参与者只能看到计算结果，而无法获知其他参与者的个别输入。

如图假设是求某一公司员工的平均工资，如果直接问员工工资的话，他们大概是不会告诉你，因此使用SMC，首先生成一个随机数r，让第一个员工将自己的工资和r相加等到r+x1，再传给第二个员工得到r+x1+x2，以此类推，最终得到的总数减去r的结果就是员工们的总工资，再除以n即得到平均工资，而这过程不泄露员工的工资信息。
不足：在计算资源上仍然会产生很大的开销，并且没有考虑到对手可以通过查询训练好的模型来发起黑盒统计攻击的场景，从而导致隐私泄露。
2.差分隐私（DP）:
DP通过向私有数据集添加一些噪音，使其与之前相比有所不同，然后在加密后的数据集上训练模型。
不足： DP存在选择隐私预算（即噪音的大小）的限制。很少有研究在将DP与FL结合训练深度学习模型时提供全局模型收敛保证的工作。

1.3隐私攻击

1.黑盒攻击模式：黑盒模式表明攻击者无法访问目标模型的内部结构，只能从目标模型中获取输出结果进行推理攻击。根据攻击模式，它们可以进一步分为基于决策的攻击和基于模型的攻击。
a.基于决策的攻击者基于训练数据集（提前获得