連合学習プライバシー保護（レンゴウガクシュウプライバシーホゴ）
連合学習プライバシー保護とは、差分プライバシー（Differential Privacy）・セキュアアグリゲーション・準同型暗号などの暗号学的手法を組み合わせ、連合学習における勾配情報からの訓練データ漏洩を防止する技術群である。
連合学習プライバシー保護（Privacy in Federated Learning）
連合学習プライバシー保護とは、連合学習の各段階（ローカル学習・通信・アグリゲーション・推論）で参加者の訓練データが漏洩するリスクに対し、数学的に保証されたプライバシー手法を適用する技術体系である。生データを共有しない連合学習であっても、勾配情報からの逆推定攻撃は現実的な脅威であり、追加の保護層が必須となっている。
主な脅威モデル
連合学習に対する代表的な攻撃手法:
- 勾配反転攻撃（Gradient Inversion Attack）: 共有された勾配から元の訓練データ（テキスト・画像）を復元する攻撃。Zhu et al.（2020）のDLG、Geiping et al.（2020）のInverting Gradientsが代表的。LLMでは個々のプロンプト文を部分復元可能
- メンバーシップ推論攻撃: 特定のデータサンプルが訓練に使用されたかを判定。医療データでは「患者Aのカルテが学習に含まれているか」の推定が倫理的に重大
- モデル反転攻撃: モデルの出力から訓練データの統計的特徴を復元
- 属性推論攻撃: 参加者の訓練データの属性（性別分布、疾患種類等）を勾配パターンから推定
差分プライバシー（DP）
差分プライバシーは、データベースの個々のレコードの有無がクエリ結果に与える影響を数学的に制限する枠組みである。
定義: メカニズム M が (ε, δ)-差分プライバシーを満たすとは、隣接データセット D, D'（1レコードの差）に対して: Pr[M(D) ∈ S] ≤ e^ε × Pr[M(D') ∈ S] + δ
連合学習での適用（DP-SGD）:
- 各クライアントの勾配をクリッピング（ノルム上限 C = 1.0〜10.0）
- クリップされた勾配にガウスノイズ N(0, σ²C²I) を付加
- ノイズ付き勾配をサーバーに送信
プライバシー予算の目安:
| ε値 | プライバシー強度 | 精度影響 | 法的準拠性 |
|---|---|---|---|
| ε ≤ 1 | 非常に強い | 5〜15%低下 | GDPR/HIPAA完全準拠 |
| 1 < ε ≤ 3 | 強い | 2〜8%低下 | GDPR準拠（一般的推奨） |
| 3 < ε ≤ 10 | 中程度 | 1〜3%低下 | ケースバイケース |
| ε > 10 | 弱い | 軽微 | 不十分とみなされる可能性 |
セキュアアグリゲーション
セキュアアグリゲーションは、中央サーバーが個々のクライアント更新を知ることなく集約結果のみを取得する暗号プロトコルである。
- Bonawitz et al.（2017）のプロトコル: ペアワイズマスキングにより、サーバーは集約後の合計のみ復号可能。Google Gboardで実運用済み。通信オーバーヘッドは O(n²) だがクロスサイロ型では許容範囲
- 準同型暗号（HE）ベース: Paillier暗号やBFV/CKKSスキームを使用。暗号化状態で加算が可能。計算コストが100〜1000倍と高いが、セキュリティ保証は最も強い
- Trusted Execution Environment（TEE）: Intel SGX / AMD SEV / ARM TrustZone内でアグリゲーションを実行。ハードウェア信頼に依存するがオーバーヘッドが最小（5〜10%）
実用的な保護戦略
2026年のベストプラクティスは「Defense in Depth」（多層防御）アプローチ:
- 第1層: ローカルDP-SGD（ε=3, δ=1e-5）で個々のサンプル保護
- 第2層: セキュアアグリゲーション（ペアワイズマスキング）でサーバーからの保護
- 第3層: 通信暗号化（TLS 1.3）で盗聴からの保護
- 第4層: 監査ログとアクセス制御で運用面での保護
NVIDIA FLARE 2.5 のプライバシー機能
NVIDIA FLARE 2.5は以下のプライバシー機能を統合:
- DP-SGD（Opacus統合、自動ε計算）
- セキュアアグリゲーション（Shamir秘密分散）
- Homomorphic Encryption（TenSEAL統合）
- Privacy Accountant（累積プライバシー予算追跡）
設定例: privacy_config.json で "dp_epsilon": 3.0, "secure_aggregation": true と指定するだけで多層防御が有効化される。
よくある質問（FAQ）
Q1: 差分プライバシーとセキュアアグリゲーションの違いは？ A: 差分プライバシーは「勾配に含まれる個人情報をノイズで隠す」手法で、セキュアアグリゲーションは「個々の勾配をサーバーに見せずに集約する」手法。前者は情報理論的保証、後者は暗号学的保証を提供する。両方を併用することで最強の保護を実現する。
Q2: ε=3でLLMの精度はどの程度低下しますか？ A: タスクとモデルサイズに依存するが、7Bモデルのファインチューニングでε=3の場合、一般的に2〜5%の精度低下。LoRAのrank増加（16→32）で一部を補償可能。Llama-3-8BでのSQuAD F1スコアでは非DP比89.2%に対しDP（ε=3）で86.7%と報告されている。
Q3: 準同型暗号は実用段階にありますか？ A: 2026年時点では計算コストが高く（通常の100〜1000倍）、LLM規模では非実用的。ただし部分準同型暗号（Paillier）による加算のみの集約は、小規模モデル（100Mパラメータ以下）で商用利用が始まっている。CKKS方式のGPUアクセラレーションにより、2027年までにLLM規模への適用が期待されている。
まとめ
- 連合学習でも勾配反転攻撃など現実的なプライバシーリスクが存在
- DP-SGD（ε≤3）が法規制準拠の基準で、LLM精度低下は2〜5%に抑制可能
- セキュアアグリゲーションとDPの併用が2026年のベストプラクティス
- NVIDIA FLARE 2.5で設定ベースの多層防御が実現