連合学習の仕組みとプライバシー保護の限界

連合学習では、各参加者が学習データを手元に保ちながら共通モデルの学習に参加できます。ただし、交換する更新情報から情報が漏れる可能性があります。この構成だけで匿名性やGDPRへの適合が保証されるわけではありません。

分散学習にも脅威モデルが必要

一般的な構成では、調整役がモデルを配布し、参加者がローカルで学習した後、調整役が更新を集約します。攻撃者は更新や完成したモデルから情報を推測する可能性があります。悪意ある参加者による学習の汚染も考慮が必要です。中央の調整役は、障害や侵害が集中する箇所として残ることがあります。

保護手法ごとに保証を評価する

セキュア集約は、プロトコルの前提条件の下で個別の更新を調整役から隠せます。準同型暗号は暗号化された値に対する一部の計算を可能にします。差分プライバシーは、仕組み、保護対象の単位、プライバシー予算を定めた場合に定量的な保証を提供します。いずれもコストと制約があり、端末の安全性や法的評価を代替しません。

選択前の確認事項

• 攻撃者を定義し、推論、共謀、学習汚染のリスクを検討する。
• モデルの有用性、プライバシー、通信量、計算コストを併せて測る。
• 目的、責任、保存期間、実際に導入する保護策を文書化する。

出典と適用範囲

• NIST · Privacy Attacks in Federated Learning · 2024
• NIST · Protecting Model Updates in Privacy-Preserving Federated Learning · 2024
• NIST SP 800-226 · 2025
• NIST AI 100-2e2025 · § 2.3.4
• NIST · BIT-FL · 2024

編集確認日：2026年10月31日。