連合学習セキュリティ2026/9/9arXiv:2609.09659

連合学習におけるLT符号に着想を得たピーリングによる勾配逆転の連鎖

Cascading Gradient Inversion via LT-Code Inspired Peeling in Federated Learning

連合学習の勾配逆転攻撃を消失訂正符号の理論と結びつけ、単一ラウンドでバッチを完全復元する新手法を提案し、従来の限界を大幅に超えることを示した。

詳しい要約

1. どんなもの？

本論文は、Federated Learning (FL) における勾配逆転攻撃 (gradient inversion) に関する研究である。FedSGD の単一ラウンドで共有されるモデル更新から、クライアントの訓練データを復元する攻撃を提案している。従来の解析的再構成攻撃はバッチサイズが大きくなると性能が劣化し、バッチサイズ 100 でも約半分しか復元できなかった。これに対し、本手法はバッチを正確に復元し、各サンプルのラベルも同時に取得できる。さらに、真のデータなしで復元を証明 (certify) する機能も持つ。8 つの画像・表形式ベンチマークで評価し、受動的攻撃者でも ImageNet のバッチサイズ 128 までで 94–100% を復元、能動的設定ではバッチサイズ数百でも 90% 以上を復元する。FL のプライバシー漏洩が過小評価されていたことを示す。

2. 先行研究と比べてどこがすごい？

従来の単一ラウンド攻撃は、バッチサイズ 100 で約半分しか復元できず、既知の上限界が存在した。本手法は、勾配逆転と消失訂正符号 (erasure-correcting codes) の理論的関連を確立し、その上限を超える攻撃を構築した。受動的攻撃者でも ImageNet で 94–100% の復元を達成し、これは従来の単一ラウンド攻撃が能動的にモデルを操作しても達成できなかった性能である。能動的設定ではバッチサイズ数百でも 90% 以上を復元する。

3. 技術・手法の肝は？

勾配逆転と消失訂正符号の理論的関連を利用し、LT-Code に着想を得た peeling 手法を構築。これにより、単一の FedSGD ラウンドからバッチを正確に復元し、各サンプルのラベルも同時に取得する。さらに、真のデータなしで復元を証明する仕組みを備える。具体的なアルゴリズムの詳細は要旨からは不明。

4. どうやって有効だと検証した？

8 つの画像および表形式ベンチマークで評価。受動的攻撃者 (正直に訓練されたネットワークを観察するのみ) が ImageNet のバッチサイズ 128 までで 94–100% を復元。能動的設定ではバッチサイズ数百で 90% 以上を復元。従来の単一ラウンド攻撃と比較して大幅に優れることを示した。

5. 議論はある？

本結果は、Federated Learning のプライバシー漏洩がこれまで過小評価されていたことを示唆する。ただし、具体的な議論や限界については要旨からは不明。

6. 次に読むべき論文は？

要旨で参照/比較されている研究として、従来の単一ラウンド解析的再構成攻撃 (analytic reconstruction attacks) が挙げられる。また、理論的関連が示された消失訂正符号 (erasure-correcting codes) および LT-Code が関連手法として挙げられる。その他の具体的な論文名は要旨からは不明。

※ AIが要旨から生成した要約です。正確性は原文をご確認ください。

著者: Saeed Shariati, Mohsen Alambardar Meybodi

分類: cs.LG, cs.AI, cs.CR

原文アブストラクト

Federated learning shares model updates rather than raw data, yet these updates can be inverted to reconstruct the clients' training data. Analytic reconstruction attacks, which invert a gradient in closed form, degrade as the batch grows: prior single-round attacks recover only about half of a batch of size $100$ even when the attacker fully controls the network parameters, and known upper bounds limit what any such method can recover. We establish a connection between gradient inversion and the theory of erasure-correcting codes, and use it to construct attacks that exceed these bounds. Our attacks recover batches exactly, together with every sample's label, from a single FedSGD round, and certify each recovery without ground-truth data. On eight image and tabular benchmarks they outperform prior single-round attacks by a wide margin. Even a passive attacker who only observes an honestly trained network recovers $94$--$100\%$ of ImageNet batches at sizes up to $128$, more than prior single-round attacks achieve even with active manipulation of the model, and in the active setting more than $90\%$ is recovered at batch sizes of several hundred. These results show that the privacy leakage of federated learning has been underestimated.

arXivで原文を読む →arXiv概要ページ

← 論文一覧