[发明专利]一种面向深度学习的数据敏感属性脱敏系统及方法

说明书

本发明公开了一种面向深度学习的数据敏感属性脱敏系统及方法，系统包括特征提取器和隐私对抗训练模块；特征提取器的输入端连接训练数据集，输出端连有隐私对抗训练模块；特征提取器由卷积神经网络组成，是训练的核心模块，由数据中心训练，训练完成后分发给个人用户用于后续的本地端数据预处理；隐私对抗训练模块包含代理攻击分类器。本方案提出隐私对抗训练在特征空间中将隐私属性置于决策超平面，使得攻击者无法推断，提出条件重构模块保障除隐私属性以外的其他信息被保留下来，能够有效应用于下游任务，同时提出联合优化策略，对数据隐私和数据可用性进行权衡，使得二者能够同时达到最优效果。

技术领域

本发明涉及人工智能（AI）数据隐私安全领域，具体地说，是一种面向深度学习的数据敏感属性脱敏系统及方法。

背景技术

近年来，深度学习在许多领域表现出了卓越的性能，如图像分类、语音识别、自然语言处理等。深度学习的成功可以部分归因于大规模的训练数据，许多的服务提供商从他们的用户手中收集数据用于训练更加精确的模型。然而，这些被收集的训练数据往往包含大量的隐私信息，如种族、性别、年龄等，这些信息可以轻易的被预训练模型获取，并且这种隐私可能被进一步的用于定向广告甚至其他的恶意行为。为了解决数据收集中产生的隐私泄露问题，研究者提出了许多的隐私保护技术。传统的方法，如k-匿名技术，通常是基于句法匿名的方式保护隐私属性。近期被广泛研究的差分隐私技术通过添加噪声的方式能够提供可证明的隐私保护保障。然而，这些方法通常在原始数据产生不可忽视的扰动，导致训练出来的深度学习模型精度下降。为解决以上缺陷，一些研究者提出为每个用户的原始数据提取特征并且只上传这些被提取的特征到数据收集方用于训练需求，这种方法相较于传统的匿名与扰动技术能较好的均衡隐私与可用性需求。但这种基于特征的方法在深度学习的推断攻击下仍然会产生隐私泄露，攻击者能通过公开数据集上训练的模型从上传的特征中推断出原始数据中的隐私信息，同时需要预先定义下游任务难以泛化到实际的应用场景，即服务提供商期望收集到的数据与原始数据有类似的可用性而不是仅仅针对某一特定任务有效，因此需要提出一种有效的隐私保护方式来抵御推断攻击同时保障数据在后续任务上可用性。

发明内容

本发明就是针对现有技术的不足，提供一种面向深度学习的数据敏感属性脱敏系统及方法，有效防御来自恶意攻击者的推断攻击，同时保障数据在模型训练中的可用性。

为了实现本发明的目的，本发明是通过以下技术方法实现的：

本发明公开了一种面向深度学习的数据敏感属性脱敏系统，系统包括特征提取器和隐私对抗训练模块；特征提取器的输入端连接训练数据集，输出端连有隐私对抗训练模块；特征提取器由卷积神经网络组成，是训练的核心模块，由数据中心训练，训练完成后分发给个人用户用于后续的本地端数据预处理；隐私对抗训练模块包含代理攻击分类器，由卷积神经网络及全连接神经网络组成，用于优化特征提取器，使其产生有效的隐私保护能力。

作为进一步地改进，本发明所述的系统还包含条件重构模块，条件重构模块包含隐私编码模型和条件重构网络，条件重构网络由反卷积神经网络组成，条件重构网络分别与特征提取器与隐私编码模型的输出端相连，条件重构网络用于优化特征提取器，使其产生的特征数据保持与原始数据类似的可用性，隐私编码模型由卷积神经网络组成，用于参与条件重构优化流程。

作为进一步地改进，本发明所述的隐私编码模型由隐私编码器与辅助预测模型构成，辅助预测模型与隐私编码器的输出端相连，用于监督隐私编码器的效果，隐私对抗训练模块包括代理攻击分类器。

本发明还公开了一种使用面向深度学习的数据敏感属性脱敏方法，包括如下步骤：用户预先定义其敏感属性信息，由数据中心训练一个用于脱敏的特征提取器，用户共享数据之前，利用的特征提取器在本地端将原始数据转换为脱敏后的特征向量，并将脱敏后的特征向量上传，恶意攻击者即使能访问到该特征向量无法从中获取到任何用户方的隐私信息，训练一个用于脱敏的特征提取器的训练方法如下：