ข้อมูลสังเคราะห์ไม่ได้รับการคุ้มครองความเป็นส่วนตัวอย่างน่าเชื่อถือตามคำกล่าวของนักวิจัย

การวิจัยร่วมใหม่ระหว่างฝรั่งเศสและสหราชอาณาจักรทำให้เกิดความสงสัยเกี่ยวกับความมั่นใจที่เพิ่มขึ้นในอุตสาหกรรมที่ข้อมูลสังเคราะห์สามารถแก้ไขปัญหาความเป็นส่วนตัว คุณภาพ และความพร้อมใช้งาน (รวมถึงปัญหาอื่นๆ) ที่คุกคามความก้าวหน้าในภาคแมชชีนเลิร์นนิง

ในบรรดาจุดสำคัญที่กล่าวถึง ผู้เขียนยืนยันว่าข้อมูลสังเคราะห์ที่สร้างขึ้นจากข้อมูลจริงยังคงมีข้อมูลที่แท้จริงเพียงพอในการให้การคุ้มครองความเป็นส่วนตัวที่ไม่น่าเชื่อถือจากการโจมตีแบบอินเฟอร์เรนซ์และการโจมตีแบบสมาชิกซึ่งพยายามที่จะทำให้ข้อมูลไม่มีการ 匿อัตลักษณ์และทำให้ข้อมูลเชื่อมโยงกับบุคคลจริง

นอกจากนี้ บุคคลที่มีความเสี่ยงสูงสุดจากการโจมตีดังกล่าว รวมถึงผู้ที่มีโรคทางการแพทย์ที่รุนแรงหรือค่าใช้จ่ายในโรงพยาบาลสูง (ในกรณีของการทำให้บันทึกทางการแพทย์ไม่มีการ 匿อัตลักษณ์) มีแนวโน้มที่จะถูกระบุได้อีกครั้งโดยใช้เทคนิคเหล่านี้เนื่องจากลักษณะ “ผิดปกติ” ของโรคของพวกเขา

รายงานระบุว่า:

‘เมื่อมีการเข้าถึงข้อมูลสังเคราะห์ ผู้โจมตีที่มีกลยุทธ์สามารถอนุมานได้ด้วยความมั่นใจสูงว่าบันทึกเป้าหมายอยู่ในข้อมูลดั้งเดิม’

รายงานยังระบุด้วยว่า ข้อมูลสังเคราะห์ที่มีการคุ้มครองความเป็นส่วนตัวแบบดิฟเฟอเรนเชียล ซึ่งทำให้การ 匿อัตลักษณ์ของบันทึกแต่ละรายการไม่ชัดเจน จริงๆ แล้วสามารถคุ้มครองความเป็นส่วนตัวของบุคคลได้ แต่เพียงแต่โดยการทำให้ระบบการค้นหาข้อมูลที่ใช้ข้อมูลสังเคราะห์เหล่านี้ไม่มีประโยชน์ใช้งาน

หากมีอะไรผิดปกติ ผู้วิจัยสังเกตเห็นว่าแนวทางที่มีการคุ้มครองความเป็นส่วนตัว – ซึ่งใช้ “ข้อมูลจริง” ‘ที่ระยะหนึ่ง’ ผ่านข้อมูลสังเคราะห์ – ทำให้สถานการณ์ด้านความปลอดภัย แย่ลง มากกว่าที่จะเป็นไปได้:

‘ชุดข้อมูลสังเคราะห์ไม่ได้ให้ความโปร่งใสเกี่ยวกับการแลกเปลี่ยนนี้ ไม่สามารถคาดการณ์ได้ว่าลักษณะข้อมูลใดจะถูกเก็บไว้และรูปแบบใดจะถูกยับยั้ง’

รายงานใหม่ รายงาน ซึ่งมีชื่อว่า ข้อมูลสังเคราะห์ – วัน 匿อัตลักษณ์ มาจากนักวิจัยสองคนจาก École Polytechnique Fédérale de Lausanne (EPFL) ในปารีส และนักวิจัยหนึ่งคนจาก University College London (UCL)

ผู้วิจัยได้ทำการทดสอบอัลกอริทึมการฝึกอบรมแบบสังเคราะห์ที่มีการคุ้มครองความเป็นส่วนตัวที่มีอยู่ และพบว่าการตัดสินใจในการใช้งานบางอย่างละเมิดการรับประกันความเป็นส่วนตัวที่เป็นทางการในเฟรมเวิร์ก ทำให้บันทึกที่หลากหลายเสี่ยงต่อการโจมตีแบบอินเฟอร์เรนซ์

ผู้เขียนเสนออัลกอริทึมที่ได้รับการแก้ไขซึ่งอาจช่วยลดการเปิดเผยข้อมูลเหล่านี้ และกำลังเผยแพร่โค้ด เป็นไลบรารีแบบเปิด พวกเขาอ้างว่าสิ่งนี้จะช่วยให้นักวิจัยสามารถประเมินผลประโยชน์ด้านความเป็นส่วนตัวของข้อมูลสังเคราะห์และเปรียบเทียบวิธีการ 匿อัตลักษณ์ที่ได้รับความนิยมได้อย่างมีประโยชน์ เฟรมเวิร์กใหม่นี้รวมถึงสองวิธีการโจมตีด้านความเป็นส่วนตัวที่สามารถใช้กับอัลกอริทึมการฝึกอบรมแบบสังเคราะห์ที่มีการคุ้มครองความเป็นส่วนตัวใดๆ

ข้อมูลสังเคราะห์

ข้อมูลสังเคราะห์ถูกใช้ในการฝึกอบรมแบบแมชชีนเลิร์นนิงในหลายสถานการณ์ รวมถึงกรณีที่ข้อมูลที่สมบูรณ์ไม่เพียงพออาจถูกเติมด้วยข้อมูลสังเคราะห์ ตัวอย่างเช่น การใช้ภาพใบหน้าที่สร้างขึ้นโดย CGI เพื่อใช้ในการสังเคราะห์ภาพใบหน้าสำหรับชุดข้อมูลสังเคราะห์ภาพใบหน้า ซึ่งภาพใบหน้าแบบโปรไฟล์ มุมเฉียบพลัน หรือน้ำเสียงที่ไม่ธรรมดามักจะพบได้น้อยในข้อมูลต้นฉบับ

ภาพ CGI อื่นๆ ถูกใช้เพื่อเติมชุดข้อมูลที่จะถูกใช้กับข้อมูลที่ไม่ใช่สังเคราะห์ เช่น ชุดข้อมูลที่มี มือ และ เฟอร์นิเจอร์

ในแง่ของการคุ้มครองความเป็นส่วนตัว ข้อมูลสังเคราะห์สามารถสร้างขึ้นจากข้อมูลจริงโดยระบบ GAN ที่ดึงคุณลักษณะจากข้อมูลจริงและสร้างบันทึกที่คล้ายกันแต่ไม่มีการ 匿อัตลักษณ์ที่มีแนวโน้มที่จะทั่วไปได้ดีกับข้อมูลที่ไม่เคยเห็นมาก่อน (ข้อมูลจริง) แต่ถูกตั้งใจให้ทำให้ข้อมูลของบุคคลจริงในข้อมูลต้นฉบับไม่ชัดเจน

วิธีการ

สำหรับวัตถุประสงค์ของการวิจัยใหม่นี้ ผู้เขียนประเมินผลประโยชน์ด้านความเป็นส่วนตัวที่มีผลกระทบต่ออัลกอริทึมการฝึกอบรมแบบสังเคราะห์ห้าแบบ สามในนั้นไม่มีการคุ้มครองความเป็นส่วนตัวที่ชัดเจน ในขณะที่สองแบบที่เหลือมีการรับประกันความเป็นส่วนตัวแบบดิฟเฟอเรนเชียล โมเดลเหล่านี้ถูกเลือกให้แสดงถึงโครงสร้างที่หลากหลาย

โมเดลที่ถูกโจมตี ได้แก่ BayNet, PrivBay (การปรับเปลี่ยนของ PrivBayes/BayNet), CTGAN, PATEGAN และ IndHist

เฟรมเวิร์กสำหรับการประเมินโมเดลเหล่านี้ถูกนำไปใช้โดยใช้ไลบรารี Python ที่มีคลาสหลักสองคลาส ได้แก่ GenerativeModels และ PrivacyAttacks ส่วนหลังประกอบด้วยสองด้าน ได้แก่ ผู้โจมตีแบบอินเฟอร์เรนซ์และการโจมตีแบบอินเฟอร์เรนซ์ เฟรมเวิร์กนี้ยังสามารถประเมินผลประโยชน์ด้านความเป็นส่วนตัวของข้อมูลที่ “ทำให้สะอาด” (เช่น 匿อัตลักษณ์) และข้อมูลสังเคราะห์ได้

ชุดข้อมูลที่ใช้ในการทดสอบคือ Adult Data Set จาก UCI Machine Learning Repository และ Hospital Discharge Data Public Use Data File จาก Texas Department of State Health Services ชุดข้อมูลของเท็กซัสที่นักวิจัยใช้ประกอบด้วย 50,000 บันทึกที่สุ่มจากบันทึกผู้ป่วยในปี 2013

การโจมตีและการค้นพบ

วัตถุประสงค์ทั่วไปของการวิจัยคือการสร้าง “ความสามารถในการเชื่อมโยง” (การเชื่อมโยงระหว่างข้อมูลจริงและข้อมูลสังเคราะห์ที่ได้รับแรงบันดาลใจจากข้อมูลจริง) โมเดลการโจมตีที่ใช้ในการศึกษานี้รวมถึง Logistic Regression, Random Forests และ K-Nearest Neighbors classifiers

ผู้เขียนเลือกสองกลุ่มเป้าหมายที่ประกอบด้วยบันทึกห้ารายการแบบสุ่มสำหรับหมวดหมู่ “ชนกลุ่มน้อย” ของประชากร เนื่องจากกลุ่มเหล่านี้ มีแนวโน้ม ที่จะเสี่ยงต่อการโจมตีแบบเชื่อมโยง พวกเขายังเลือกบันทึกที่มีค่าของคุณลักษณะประเภทที่ไม่ธรรมดานอกเหนือจากค่าควอนไทล์ 95% ของคุณลักษณะนั้น ตัวอย่างเช่น บันทึกที่เกี่ยวข้องกับความเสี่ยงต่อการเสียชีวิตสูง ค่าใช้จ่ายในโรงพยาบาลสูง และความรุนแรงของโรค

แม้ว่ารายงานจะไม่ได้กล่าวถึงประเด็นนี้ แต่จากมุมมองของผู้โจมตีในโลกแห่งความเป็นจริง บุคคลเหล่านี้เป็นเป้าหมายที่น่าจะถูกโจมตีโดยการโจมตีแบบอินเฟอร์เรนซ์และการโจมตีแบบอื่นๆ ที่มุ่งเป้าไปที่บันทึกผู้ป่วย

หลายโมเดลการโจมตีถูกฝึกอบรมกับข้อมูลอ้างอิงสาธารณะเพื่อพัฒนา “โมเดลเงา” มากกว่า 10 เป้าหมาย ผลลัพธ์จากการทดลองหลายครั้ง (ตามที่อธิบายไว้ก่อนหน้านี้) ระบุว่าบันทึกหลายรายการ “มีความเสี่ยงสูง” ต่อการโจมตีแบบเชื่อมโยงที่มุ่งเป้าไปที่พวกเขาโดยนักวิจัย ผลลัพธ์ยังพบว่า 20% ของเป้าหมายทั้งหมดในการทดลองได้รับผลประโยชน์ด้านความเป็นส่วนตัว “ศูนย์” จากข้อมูลสังเคราะห์ที่สร้างขึ้นโดยวิธีการ GAN

นักวิจัยสังเกตว่าผลลัพธ์แตกต่างกันขึ้นอยู่กับวิธีการสร้างข้อมูลสังเคราะห์ เวกเตอร์การโจมตี และคุณลักษณะของชุดข้อมูลที่มุ่งเป้าหมาย รายงานพบว่าในหลายกรณี การยับยั้งอัตลักษณ์แบบมีประสิทธิภาพผ่านแนวทางข้อมูลสังเคราะห์ทำให้ระบบที่ใช้ข้อมูลเหล่านี้มีประโยชน์ใช้งานลดลง ในความเป็นจริง ระบบเหล่านี้มีประโยชน์ใช้งานและความแม่นยำลดลงในหลายกรณี ซึ่งเป็นดัชนีโดยตรงของความเสี่ยงต่อการระบุตัวตนซ้ำ

นักวิจัยสรุปว่า:

‘หากชุดข้อมูลสังเคราะห์เก็บคุณลักษณะของข้อมูลดั้งเดิมไว้ด้วยความแม่นยำสูง และด้วยเหตุนี้จึงรักษาความสามารถในการใช้งานสำหรับกรณีการใช้งานที่โฆษณาไว้ จะทำให้ศัตรูสามารถดึงข้อมูลที่ละเอียดอ่อนเกี่ยวกับบุคคลออกมาได้ ‘

‘การได้รับผลประโยชน์ด้านความเป็นส่วนตัวที่สูงผ่านกลไก 匿อัตลักษณ์ใดๆ ที่เราประเมินสามารถทำได้เฉพาะในกรณีที่ชุดข้อมูลสังเคราะห์หรือชุดข้อมูลที่ทำให้สะอาดที่เผยแพร่ไม่ได้ถ่ายทอดสัญญาณของบันทึกแต่ละรายการในข้อมูลดั้งเดิมและด้วยเหตุนี้จึงยับยั้งบันทึกของพวกเขา’