关键词：边云视频分析
论文信息
ACM TOIT26， 香港理工大学、武汉大学、香港科技大学
关注概念
- 基于GAN和像素级的方法[49, 50]做原始图像转换？（直接变换）➡️ 基于策略的图像转换（更轻量，实时确定图像变换方法）
文章的key insights
- 边侧-云端系统需要解决的三个平衡：隐私、效用和延迟三者紧密耦合
- 当前的边-云分析系统多采用分割推理：边侧计算神经网络的早期层，同时将大部分剩余层放到云端以减轻工作负担，从而共同完成完整的实时分析。属性推理攻击（获得关键属性）和重建攻击（重建原始帧）威胁了分割推理期间暴露的中间表示
- 这篇文章的方法是在分割推理之前保护隐私。不在中间表示已经产生后直接扰动它们，而是在边侧转换每个输入帧。转换后的帧有望保留视频分析的任务相关语义，同时抑制可以从中间表示中重建或推断的隐私敏感视觉提示
- 测量隐私泄露的指标：多尺度结构相似性（MSSIM）指标[58]和峰值信噪比（PSNR）
- 攻击模型：
- 重建模型：基于线性的[8]、基于GAN的[64]等。偏差由MSSIM[58]测量。许多工作表明，RA可以实现高达96%的高攻击精度[8]。
- 属性攻击：[16-19]
文章结构
一、现有工作的不足
- TEE和基于加密[27, 50]的方法带来大量计算开销并且难以部署在资源存在限制的端侧/边侧设备上
- 基于学习的方法通过将噪声注入中间结果[24,36,57]或通过将任务模型重新设计为隐私保护架构[25]来保护隐私。但是由于早期层太过接近于输出以至保存大量视觉信息 ，噪声注入损失了效用；而定制的隐私保护模型通常会降低与广泛使用的backbone和部署管道的兼容性
- Shredder训练目标分割层的噪声分布，并将这样的噪声层添加到CNN模型中进行模型推理，以便CNN模型可以产生噪声层对抗RAs的中间结果。（但其实几乎对抗不了，因为早期层信息太多了）
- 通过替换或模糊来直接保护特定的敏感对象或属性，如人脸或车牌[51,56]。这种方法在预先知道敏感目标时很有用，但不太适合通用视频分析，因为其中的隐私泄露可能来自更广泛的视觉内容和模型内部表示，而不是来自一组固定的对象。
二、文章的工作
大体框架：一个保护隐私的边云视频分析系统Preva
首先，为了使帧变换对于边缘执行来说足够轻量级，Preva将变换表示为一系列简单的图像操作（调整对比度、亮度、极性、清晰度或其他轻量级视觉属性），称为PrevaPolicy，减轻边侧负担；其次，为了在各类边侧资源和延迟预算下生成合适的转换策略，Preva设计了PrevaNetv2，给定输入帧、当前资源预算和延迟限制，PrevaNetv2生成一个策略，该策略可以保持分析准确性，同时减少隐私泄露；第三，为了将基于策略的保护从单个帧扩展到连续视频流，Preva引入了两个运行时优化组件：相似帧过滤器和动态选择分层。
Contributions：
- 发现了RAs和AIA下边-云视频分析中中间表示的隐私泄露问题，并分析了为什么现有的保护机制不足以进行一般、resource-constrained和实时部署（第2节）。
- 设计并实现了Preva，这是一个保护隐私的边缘云视频分析系统，它结合了基于策略的帧转换、资源感知策略生成、视频流的策略重用和基于强盗的分层选择，以共同平衡隐私、准确性和效率（第3节）。
- 在外部和内部威胁模型下针对RAs和AIA开发了Preva的正式隐私分析（第4节）。
- 在多个视频分析应用程序上评估Preva，并表明它优于状态-分析准确性和隐私保护的SOTAbaseline（第5节）。
Preva Designs：
- 视频帧的转换：设计了一种可调节层深度的自适应NN: PrevaNetv2，搭配资源感知算法PrevaPolicyGeneration（PPGen），输出了在当前资源限制下最合适的PrevaPolicy去定义每一帧的转换
- 视频流的转换：为了应对资源有限的挑战，使用了PrevaPolicy Reuse（PPReuse）来确定可以重用PrevaPolicy的帧
- 确定分割推理点：选择分割点来生成新的PrevaPolicy是边缘计算资源和推理精度之间的权衡，伪控制最佳化问题。使用Bandit-based Splitting (BBSplit) 算法解决
看完后总结出来的不足
- Preva系统的隐私定义比较窄，其主要目标是防止攻击者（属性推理和重建攻击）对图像进行重构，然而其保护结果仍然可能通过人眼或者大模型识别后推断出一定量的隐私信息，比如性别、种族甚至年龄和身份
- Preva针对每一帧研究出来的变换策略也可能会泄露信息，因为变换的策略是根据输入内容和资源约束动态生成，所以变换本身可能会暴露场景或者暗示目标出现，攻击者可能通过观察策略的采用和更新来推断视频内容。同时PPReuse虽然通过采用复用策略降低了开销，但是事件相关性和新画面产生导致的策略变化本身就带来了信息
- Preva的固定变换策略库动作比较有限，可能适用性和保护能力不足