Synthetische gegevens bieden geen betrouwbare bescherming van de privacy, claimen onderzoekers

Een nieuwe onderzoeks samenwerking tussen Frankrijk en het Verenigd Koninkrijk werpt twijfels op over de groeiende vertrouwen in de industrie dat synthetische gegevens de problemen met betrekking tot privacy, kwaliteit en beschikbaarheid (onder andere) die de vooruitgang in de machine learning-sector bedreigen, kunnen oplossen.

Onder de verschillende belangrijke punten die worden behandeld, beweren de auteurs dat synthetische gegevens die zijn gemodelleerd op basis van echte gegevens, voldoende van de echte informatie behouden om geen betrouwbare bescherming te bieden tegen inferentie- en lidmaatschapsaanvallen, die proberen om gegevens te deanonymiseren en opnieuw te koppelen aan echte personen.

Voorts zijn de personen die het meest risico lopen bij dergelijke aanvallen, waaronder mensen met kritieke medische aandoeningen of hoge ziekenhuisrekeningen (in het geval van anonieme medische dossiers), door de ‘outlier’-aard van hun aandoening, het meest waarschijnlijk om opnieuw geïdentificeerd te worden door deze technieken.

Het artikel stelt het volgende vast:

‘Gegeven toegang tot een synthetisch dataset, kan een strategische tegenstander met hoge zekerheid de aanwezigheid van een doelrecord in de oorspronkelijke gegevens afleiden.’

Het artikel merkt ook op dat differentially private synthetische gegevens, die de handtekening van individuele records verhullen, de privacy van individuen wel degelijk beschermen, maar alleen door de bruikbaarheid van de informatiesystemen die deze gegevens gebruiken, aanzienlijk te verminderen.

Als er al iets is, merken de onderzoekers op, differentially private benaderingen – die ‘echte’ informatie ‘op een afstand’ via synthetische gegevens gebruiken – het beveiligingsscenario erger maken dan het zou zijn geweest zonder deze benaderingen:

‘[Synthetische] datasets geven geen transparantie over deze afweging. Het is onmogelijk te voorspellen welke gegekenmerken behouden zullen worden en welke patronen onderdrukt zullen worden.’

Het nieuwe artikel, getiteld Synthetische gegevens – Anonimisatie Groundhog Day, komt van twee onderzoekers aan de École Polytechnique Fédérale de Lausanne (EPFL) in Parijs en een onderzoeker van de University College London (UCL).

De onderzoekers voerden tests uit met bestaande private generatieve modeltrainingsalgoritmen en vonden dat bepaalde implementatiebeslissingen de formele privacygaranties schenden die in de kaders zijn opgenomen, waardoor diverse records kwetsbaar zijn voor inferentieaanvallen.

De auteurs bieden een herziene versie van elk algoritme aan dat deze blootstelling potentieel kan mitigeren, en maken de code beschikbaar als een open source-bibliotheek. Zij claimen dat dit onderzoekers zal helpen om de privacyvoordelen van synthetische gegevens te evalueren en bruikbaar te vergelijken met populaire anonimisatiemethoden. Het nieuwe kader omvat twee pertinente privacyaanvalsmethoden die op elk generatief modeltrainingsalgoritme kunnen worden toegepast.

Synthetische gegevens

Synthetische gegevens worden gebruikt om machine learning-modellen te trainen in verschillende scenario’s, waaronder gevallen waarin een gebrek aan uitgebreide informatie potentieel kan worden aangevuld met nepgegevens. Een voorbeeld hiervan is de mogelijkheid om CGI-gegenereerde gezichten te gebruiken om ‘moeilijke’ of zeldzame gezichtsfoto’s voor beeldsynthesedatasets te bieden, waarbij profielfoto’s, scherpe hoeken of ongebruikelijke uitdrukkingen vaak zelden in bronmateriaal worden aangetroffen.

Andere soorten CGI-beelden zijn gebruikt om datasets te vullen die uiteindelijk op niet-synthetische gegevens zullen worden uitgevoerd, zoals datasets die handen en meubels bevatten.

Wat betreft de bescherming van de privacy, kunnen synthetische gegevens worden gegenereerd uit echte gegevens door Generative Adversarial Network (GAN)-systemen die functies uit de echte gegevens extraheren en soortgelijke, fictieve records creëren die waarschijnlijk goed zullen generaliseren naar later (onbekende, echte) gegevens, maar die zijn bedoeld om details van echte personen in de brongegevens te verhullen.

Methodologie

Voor de doeleinden van het nieuwe onderzoek, hebben de auteurs de privacywinsten over vijf generatieve modeltrainingsalgoritmen geëvalueerd. Drie van de modellen bieden geen expliciete privacybescherming, terwijl de andere twee differentiële privacygaranties bieden. Deze tabulaire modellen zijn gekozen om een breed scala aan architectuur te vertegenwoordigen.

De aangevallen modellen waren BayNet, PrivBay (een afgeleide van PrivBayes/BayNet), CTGAN, PATEGAN en IndHist.

Het evaluatiekader voor de modellen is geïmplementeerd als een Python-bibliotheek met twee kernklassen – GenerativeModels en PrivacyAttacks. De laatste heeft twee facetten – een lidmaatschapsinferentie-adversaar en een lidmaatschapsinferentieaanval. Het kader is ook in staat om de privacyvoordelen van ‘gesaniteerde’ (d.w.z. geanonimiseerde) gegevens en synthetische gegevens te evalueren.

De twee datasets die in de tests werden gebruikt, waren de Adult Data Set van de UCI Machine Learning Repository en de Hospital Discharge Data Public Use Data File van de Texas Department of State Health Services. De Texas-datasetversie die door de onderzoekers werd gebruikt, bevat 50.000 records die zijn bemonsterd uit patiëntrecords voor het jaar 2013.

Aanvallen en bevindingen

Het algemene doel van het onderzoek is om ‘linkability’ (de herassociatie van echte gegevens met synthetische gegevens die door deze zijn geïnspireerd) vast te stellen. Aanvalmodellen die in de studie worden gebruikt, zijn onder andere Logistic Regression, Random Forests en K-Nearest Neighbors-classificatoren.

De auteurs selecteerden twee doelgroepen bestaande uit vijf willekeurig geselecteerde records voor ‘mindereheidscategorieën’ van de bevolking, aangezien deze meest waarschijnlijk vatbaar zijn voor een linkeraanval. Zij selecteerden ook records met ‘zeldzame categorale attribuutwaarden’ buiten de 95% kwantielen van dat attribuut. Voorbeelden zijn records die verband houden met een hoog risico op sterfte, hoge totale ziekenhuisrekeningen en ziekte ernst.

Hoewel het artikel hier niet verder op ingaat, zijn dit, vanuit het oogpunt van waarschijnlijke echte aanvallers, precies het soort ‘dure’ of ‘hoge-risico’-patiënten die het meest waarschijnlijk worden aangevallen door lidmaatschapsinformatie en andere soorten exfiltratiebenaderingen voor patiëntrecords.

Meerdere aanvalmodellen werden getraind tegen openbare referentie-informatie om ‘schaduwmodellen’ over tien doelen te ontwikkelen. De resultaten over een reeks experimenten (zoals eerder beschreven) geven aan dat een aantal records ‘hoog kwetsbaar’ waren voor linkeraanvallen die door de onderzoekers op hen werden gericht. De resultaten toonden ook aan dat 20% van alle doelen in de proeven een privacywinst van nul kregen van synthetische gegevens die door GAN-methoden werden gegenereerd.

De onderzoekers merken op dat de resultaten varieerden, afhankelijk van de methode die werd gebruikt om synthetische gegevens te genereren, de aanvalsvector en de kenmerken van de doeldataset. Het rapport concludeert dat in veel gevallen, effectieve identiteitsonderdrukking door synthetische gegevensbenaderingen de bruikbaarheid van de resulterende systemen verlaagt. Effectief, de bruikbaarheid en nauwkeurigheid van dergelijke systemen kunnen in veel gevallen een directe index zijn van hoe kwetsbaar ze zijn voor heridentificatieaanvallen.

De onderzoekers concluderen:

‘Als een synthetisch dataset de kenmerken van de oorspronkelijke gegevens met hoge nauwkeurigheid behoudt en dus de gegevensbruikbaarheid voor de use cases waarvoor het wordt geadverteerd, biedt het tegelijkertijd aanvallers de mogelijkheid om gevoelige informatie over individuen te extraheren.

‘Een hoge winst in privacy door een van de anonimisatiemechanismen die wij hebben geëvalueerd, kan alleen worden behaald als de gepubliceerde synthetische of gesaniteerde versie van de oorspronkelijke gegevens de signalen van individuele records in de ruwe gegevens niet doorgeeft en in feite hun record onderdrukt.’