Syntetisk data beskytter ikke pålitelig personvern, hevder forskere

En ny forskningssamarbeid mellom Frankrike og Storbritannia kaster tvil på den voksende industrikonfidensen om at syntetisk data kan løse personvern-, kvalitets- og tilgjengelighetsproblemer (blant andre problemer) som truer fremgangen i maskinlæringssektoren.

Blant flere nøkkelpunkter som blir behandlet, hevder forfatterne at syntetisk data modellert fra ekte data beholder nok av den ekte informasjonen til å gi ingen pålitelig beskyttelse mot inferens- og medlemskapsangrep, som søker å deanonymisere data og gjenassosiere den med faktiske personer.

VIDERE er personer som er mest utsatt for slike angrep, inkludert de med kritiske medisinske tilstander eller høye sykehusregninger (i tilfelle medisinske journaler), gjennom ‘outlier’-naturen til deres tilstand, mest sannsynlig å bli gjenidentifisert av disse teknikkene.

Rapporten observerer:

‘Gitt tilgang til en syntetisk datasett, kan en strategisk motstander slutte, med høy konfidens, tilstedeværelsen av en målpost i den opprinnelige data.’

Rapporten påpeker også at differensialt privat syntetisk data, som skjuler signalet til enkeltrekorder, faktisk beskytter personers personvern, men bare ved å signifikant svekke nyttigheten av informasjonsgjenfinningsystemene som bruker det.

Hvis noe, observerer forskerne, differensialt private tilnærminger – som bruker ‘ekte’ informasjon ‘på ett avstand’ via syntetisk data – gjør sikkerhetsscenariet verre enn det ville ha vært ellers:

‘[Syntetiske] datasett gir ingen transparens om denne avveiningen. Det er umulig å forutsi hva dataegenskaper som vil bli bevart og hva mønster som vil bli undertrykt.’

Den nye rapporten, tittelen Syntetisk Data – Anonymisering Groundhog Day, kommer fra to forskere ved École Polytechnique Fédérale de Lausanne (EPFL) i Paris og en forsker fra University College London (UCL).

Forskerne utførte tester av eksisterende private generative modelltrening-algoritmer og fant at visse implementeringsbeslutninger krenker de formelle personvernsgarantiene som er gitt i rammeverkene, og etterlater diverse rekorder åpne for inferensangrep.

Forfatterne tilbyr en revidert versjon av hver algoritme som potensielt kan mildne disse eksponeringene, og gjør koden tilgjengelig som en åpen kildebibliotek. De hevder at dette vil hjelpe forskere til å evaluere personverngevinstene av syntetisk data og nyttig sammenligne populære anonymiseringsmetoder. Det nye rammeverket inkorporerer to pertinente personvernangrepsmetoder som kan brukes på noen generative modelltrening-algoritmer.

Syntetisk Data

Syntetisk data brukes til å trene maskinlæringsmodeller i ulike scenarier, inkludert tilfeller hvor en mangel på omfattende informasjon potensielt kan fylles inn med erstattende data. Et eksempel på dette er muligheten til å bruke CGI-genererte ansikter til å gi ‘vanskelige’ eller sjeldne ansiktsbilder for bilde-syntesedatasett, hvor profilbilder, skarpe vinkler eller uvanlige uttrykk ofte sjelden sees i kilde materialet.

Andre typer CGI-bilder har blitt brukt til å fylle datasett som til slutt vil bli kjørt på ikke-syntetisk data, som datasett som inneholder hender og møbler.

I forhold til personvernbeskyttelse kan syntetisk data genereres fra ekte data ved hjelp av Generative Adversarial Network (GAN)-systemer som trekker ut egenskaper fra den ekte dataen og skaper lignende, fiktive rekorder som sannsynligvis vil generalisere godt til senere (usette, ekte) data, men som er ment å skjule detaljer om faktiske personer i kilde dataen.

Metodologi

For formålet med den nye forskningen, evaluerte forfatterne personverngevinstene over fem generative modelltrening-algoritmer. Tre av modellene tilbyr ingen eksplisitt personvernbeskyttelse, mens de to andre kommer med differensialt privat garanti. Disse tabellmodellene ble valgt for å representere en bred rekke arkitekturer.

Modellene som ble angrepet var BayNet, PrivBay (en avledning av PrivBayes/BayNet), CTGAN, PATEGAN og IndHist.

Evalueringrammeverket for modellene ble implementert som en Python-bibliotek med to kjerneklasser – GenerativeModels og PrivacyAttacks. Den siste inneholder to aspekter – en medlemskapsinferensmotstander og en medlemskapsangrepsmetode. Rammeverket er også i stand til å evaluere personvernfordelene med ‘sanitized’ (dvs. anonymisert) data og syntetisk data.

De to datasettene som ble brukt i testene var Adult Data Set fra UCI Machine Learning Repository og Hospital Discharge Data Public Use Data File fra Texas Department of State Health Services. Texas-datasettversjonen som forskerne brukte inneholder 50 000 rekorder sampet fra pasientrekorder for året 2013.

Angrep og Funnet

Det generelle målet med forskningen er å etablere ‘linkability’ (gjenassosiering av ekte data med syntetisk data som ble inspirert av det). Angrepsmodellene som ble brukt i studien inkluderer Logistic Regression, Random Forests og K-Nearest Neighbors klassifiseringsmodeller.

Forfatterne valgte to målgrupper bestående av fem tilfeldig valgte rekorder for ‘minoritets’ kategorier av befolkningen, siden disse er mest sannsynlig å være utsatt for en koblingsangrep. De valgte også rekorder med ‘sjeldne kategoriske attributverdier’ utenfor attributtets 95% kvantil. Eksempler inkluderer rekorder relatert til høy risiko for død, høye totale sykehusregninger og sykdomsalvor.

Selv om rapporten ikke går nærmere inn på dette aspektet, fra synspunktet til sannsynlige virkelige angripere, er disse nettopp de type ‘dyre’ eller ‘høyrisk’ pasienter som mest sannsynlig vil bli mål for medlemskapsinferens og andre typer eksfiltreringsmetoder for pasientrekorder.

Flere angrepsmodeller ble trent mot offentlig referanseinformasjon for å utvikle ‘skygge-modeller’ over ti mål. Resultatene over en rekke eksperimenter (som beskrevet tidligere) indikerer at en rekke rekorder var ‘høyt sårbare’ for koblingsangrep rettet mot dem av forskerne. Resultatene fant også at 20% av alle mål i forsøkene fikk en personverngevinst på null fra syntetisk data produsert av GAN-metoder.

Forskerne påpeker at resultatene varierte, avhengig av metoden som ble brukt til å generere syntetisk data, angrepsvektoren og egenskapene til måldatasettet. Rapporten finner at i mange tilfeller, effektiv identitetssuppresjon gjennom syntetisk data-tilnærminger senker nyttigheten av de resulterende systemene. Effektivt, kan slike systemers nyttighet og nøyaktighet i mange tilfeller være en direkte indeks av hvor sårbare de er for gjenidentifikasjonsangrep.

Forskerne konkluderer:

‘Hvis en syntetisk datasett beholder egenskapene til den opprinnelige dataen med høy nøyaktighet, og dermed beholder dataens nytte for brukstilfellene det er annonsert for, gjør det samtidig mulig for motstandere å trekke ut følsom informasjon om enkeltpersoner.

‘En høy gevinst i personvern gjennom noen av anonymiseringsmekanismene vi evaluerte kan bare oppnås hvis den publiserte syntetiske eller sanerte versjonen av den opprinnelige dataen ikke bærer igjen signalet til enkeltrekorder i rådata og i virkeligheten undertrykker deres rekord.’