Private Prediction via PAC Privacy

Este artículo propone un marco de privacidad PAC para la predicción de aprendizaje automático privado que aprovecha la estabilidad empírica basada en instancias y un nuevo teorema de composición adversarial adaptativa para lograr una acumulación de información mutua lineal, permitiendo el servicio de modelos de alta utilidad y la posterior destilación de modelos privada con garantías de privacidad significativamente más fuertes que la privacidad diferencial tradicional.

Lo esencial

El gran problema: La "casa de cristal" de la IA

Imagina que una empresa entrena un modelo de IA superinteligente con una lista secreta de datos privados (como registros médicos o transacciones bancarias). Quieren permitir que la gente haga preguntas a la IA (por ejemplo, "¿Es esta transacción sospechosa?") sin revelar la lista secreta.

El problema es que, si la IA es demasiado perfecta, un hacker astuto puede engañarla para que revele la lista secreta. Pueden hacer miles de preguntas, analizar las respuestas y, eventualmente, averiguar exactamente qué personas estaban en los datos de entrenamiento. Esto se llama un Ataque de Inferencia de Membresía.

La solución antigua: El "guardián con los ojos vendados" (Privacidad Diferencial)

Durante años, la solución estándar ha sido la Privacidad Diferencial (DP). Piensa en esto como un guardián que responde a cada pregunta pero añade una "niebla" o ruido aleatorio a la respuesta para ocultar la verdad.

• El fallo: Para estar seguro, el guardián asume el peor de los escenarios. Asume que la IA es increíblemente inestable y que un pequeño cambio en los datos secretos podría cambiar completamente la respuesta. Por lo tanto, añade una enorme cantidad de niebla.
• El resultado: Las respuestas se vuelven tan borrosas que la IA deja de ser útil. Es como intentar leer un mapa a través de una espesa tormenta de nieve. Además, si haces demasiadas preguntas, la niebla se vuelve demasiado densa y el guardián tiene que dejar de responder.

La nueva idea: La "bola de cristal estable" (Privacidad PAC)

Este artículo propone un nuevo enfoque llamado Privacidad PAC. En lugar de asumir lo peor, observa qué tan estable es la IA en realidad.

• La analogía: Imagina que la IA es una bola de cristal. Si agitas un poco los datos secretos (cambias a una persona en la lista de entrenamiento), ¿cambia la predicción de la bola de cristal de forma drástica?
  • En la realidad: Para muchos modelos de IA, la respuesta es no. La predicción se mantiene casi igual. La IA es "estable".
  • La innovación: La Privacidad PAC mide esta estabilidad. Si la IA es estable, el sistema sabe que solo necesita un mínimo de niebla para ocultar el secreto. Si la IA es inestable, añade más niebla.
• El beneficio: Debido a que la IA suele ser muy estable, el sistema añade casi nada de niebla. Las respuestas permanecen cristalinas y la privacidad sigue estando garantizada matemáticamente.

La parte difícil: El "adversario adaptativo"

Había un inconveniente. Los métodos anteriores funcionaban bien si las preguntas eran aleatorias. Pero, ¿qué pasa si el atacante es inteligente? ¿Qué pasa si observa la respuesta a la Pregunta #1 y luego usa eso para diseñar una Pregunta #2 truculenta, y así sucesivamente? Esto se llama un Adversario Adaptativo.

• El fallo anterior: Los métodos previos no podían manejar esto. Si un atacante hacía preguntas de forma adaptativa, el presupuesto de "niebla" se agotaba instantáneamente o las matemáticas fallaban.
• El avance del artículo: Los autores crearon una nueva regla matemática (un "teorema de composición") que maneja a los atacantes inteligentes.
  • Cómo funciona: El sistema mantiene un "estado de creencia". Actualiza constantemente su comprensión de lo que el atacante sabe basándose en el historial de preguntas. Si el atacante aprende algo, el sistema ajusta instantáneamente el ruido para mantenerse un paso por delante.
  • La magia: Incluso con un atacante inteligente y adaptativo, el "costo de privacidad" solo crece de forma lineal (lentamente), no exponencialmente. Esto significa que el sistema puede responder millones de preguntas manteniendo el secreto a salvo.

Los resultados: Respuestas claras, secretos seguros

Los autores probaron esto con datos del mundo real (como imágenes de gatos y perros, o registros bancarios).

1. Alta precisión: Incluso con configuraciones de privacidad extremadamente estrictas (tan estrictas que las matemáticas dicen que el atacante tiene casi cero posibilidades de adivinar), la IA todavía acertó el 87.79% de las respuestas en una prueba estándar.
2. Millones de consultas: Demostraron que podías hacer un millón de preguntas y la probabilidad de que el atacante adivinara si una persona específica estaba en los datos de entrenamiento seguiría siendo apenas mejor que lanzar una moneda (51.08%).
3. Comparación: Para obtener el mismo nivel de privacidad con el antiguo "Guardián con los ojos vendados" (Privacidad Diferencial), la IA tendría que responder al azar, obteniendo casi un 0% de precisión.

La función "Bonus": El "estudiante destilado"

El artículo también muestra un truco ingenioso para obtener respuestas ilimitadas.

• La configuración: El sistema utiliza su "Bola de Cristal Privada" para etiquetar una enorme pila de datos públicos (datos que no son secretos).
• El filtro: Debido a que el sistema sabe exactamente cuánta "niebla" añadió, puede comprobar matemáticamente: "¿Es esta respuesta lo suficientemente confiable para ser confiada?". Si es así, conserva la etiqueta; si no, la desecha.
• El resultado: Entrena un nuevo modelo "Estudiante", más pequeño, utilizando estas etiquetas privadas de alta calidad. Este modelo Estudiante puede entonces ser lanzado al público para siempre, sin límites de presupuesto de privacidad, porque aprendió de los datos privados sin haberlos visto directamente.

Resumen

Este artículo introduce una forma de permitir que la IA responda preguntas de forma privada sin que las respuestas sean inútiles.

• Forma antigua: Añadir un ruido enorme a todo porque tienes miedo. (Resultado: IA inútil).
• Nueva forma: Medir qué tan estable es la IA, añadir solo la niebla necesaria para estar seguro y usar un sistema de seguimiento inteligente para manejar a los atacantes truculentos. (Resultado: IA inteligente que mantiene el secreto).

Los autores demuestran que, al confiar en la estabilidad de la IA, podemos obtener lo mejor de ambos mundos: alta utilidad y una fuerte privacidad.

Resumen técnico

Resumen Técnico: Predicción Privada mediante Privacidad PAC

Planteamiento del Problema
Los modelos de aprendizaje automático se despliegan cada vez más como servicios de caja negra a través de APIs, donde solo se exponen las predicciones a los usuarios en lugar de los pesos del modelo. Este patrón de despliegue motiva la predicción privada: privatizar las salidas del modelo en lugar de los parámetros. Aunque la Privacidad Diferencial (DP) es el estándar para la privacidad, presenta dificultades en este contexto. La DP calibra el ruido basándose en la sensibilidad del peor de los casos (el cambio máximo en la salida entre conjuntos de datos adyacentes). Para modelos no convexos (por ejemplo, redes neuronales profundas), calcular límites de sensibilidad ajustados es intratable. En consecuencia, la predicción privada basada en DP suele recurrir a métodos de "muestreo y agregación" (como PATE) o vuelve al ruido independiente de la entrada, lo que conduce a un severo compromiso entre privacidad y utilidad, donde la utilidad colapsa bajo altos volúmenes de consultas o presupuestos estrictos.

Además, los marcos de privacidad existentes para lanzamientos secuenciales suelen fallar ante consultas adaptativas y adversarias. En escenarios realistas, los usuarios no confiables pueden elegir futuras consultas basadas en el historial de salidas previas para maximizar la filtración de información. Los teoremas de composición estándar o bien fallan ante la adaptividad, o crecen cuadráticamente con el número de consultas, o bien revierten al ruido de estilo DP independiente de la entrada, descartando las ventajas de estabilidad del predictor específico.

Metodología
El artículo propone un marco para la Predicción Privada mediante Privacidad PAC (Probablemente Aproximadamente Correcta), abordando la brecha en la composición eficiente y adaptativa.

1. Marco de Privacidad PAC: A diferencia de la DP, la privacidad PAC se basa en instancias. Mide la estabilidad de una función de procesamiento de datos mediante simulaciones de caja negra bajo una distribución de entrada específica ($P_S$). Controla la filtración de privacidad limitando la Información Mutua (MI) entre el secreto $S$ y la salida $R$. Una función estable requiere significativamente menos ruido para privatizarse.
2. Composición Adversaria Consciente de la Posterior: La principal contribución teórica es un nuevo teorema de composición que maneja consultas adaptativas y adversarias con un secreto persistente (el mismo conjunto de entrenamiento $S$ se utiliza para todas las consultas).
   • Calibración de Ruido Adaptativa: El curador mantiene un "estado de creencia"—la distribución posterior del secreto $S$ dada la interacción histórica.
   • Mecanismo: En cada paso $t$, al recibir una consulta adaptativa $M_t$, el curador calcula la covarianza de ruido $\Sigma_t$ necesaria para satisfacer un presupuesto de MI por paso $b_t$ condicionado a la creencia posterior actual $P_{t-1}$.
   • Actualización Bayesiana: Tras el lanzamiento de la respuesta ruidosa $R_t$, el curador actualiza la creencia posterior utilizando la regla de Bayes.
   • Teorema: Los autores demuestran que, bajo este mecanismo, la filtración total de MI se acumula de forma lineal ($I(S; R_{1:T} \le \sum b_t$) incluso bajo adaptividad adversaria. Esto preserva la utilidad basada en instancias de la privacidad PAC mientras proporciona límites de composición lineales rigurosos.
3. Instanciación Concreta para ML:
   • Distribución de Entrada: El secreto $S$ es un subconjunto aleatorio del universo $U$, muestreado de tal manera que cada punto tiene una probabilidad del 50% de inclusión. Para hacer la computación tratable, el soporte se restringe a una colección finita de $m=128$ subconjuntos.
   • Preprocesamiento Offline: Para evitar el reentrenamiento por cada consulta, se entrenan $m$ modelos fuera de línea sobre los $m$ subconjuntos. Las consultas en línea implican ejecutar la inferencia en estos $m$ modelos, agregar las predicciones y añadir ruido calibrado.
   • Estabilización de la Salida: El sistema privatiza predicciones duras (etiquetas one-hot) en lugar de probabilidades suaves. Las predicciones duras son más estables a través de diferentes subconjuntos de entrenamiento, lo que resulta en una menor varianza de la salida y requiere menos ruido.
4. Destilación de Modelos Privada: Para permitir consultas ilimitadas después de que se agote un presupuesto de privacidad finito, el artículo propone destilar un modelo "estudiante" a partir de las predicciones privadas de PAC.
   • Filtrado de Confianza: Se aplica una prueba estadística a las predicciones ruidosas para filtrar muestras de baja confianza (potencialmente mal etiquetadas) antes de entrenar al estudiante. Esto asegura que el modelo destilado sea entrenado solo con etiquetas de alta calidad, limitando la probabilidad de retener datos mal etiquetados.

Resultos Clave
Experimentos a través de modalidades tabulares, de visión (CIFAR-10, CIFAR-100) y de texto (IMDb, AG News) demuestran la eficacia del enfoque:

• Alta Utilidad con Presupuestos Estrictos: En CIFAR-10, el método logra una precisión del 87.79% con un presupuesto de MI por consulta de $2^{-32}$. Esto permite servir un millón de consultas mientras se bound de forma demostrable el éxito del ataque de inferencia de membresía (MIA) al 51.08%. Esta garantía es comparable a $(0.04, 10^{-5})$-DP.
• Escalabilidad: El sistema soporta aproximadamente 477 millones de consultas antes de alcanzar la garantía de MIA de $(1, 10^{-5})$-DP. En contraste, la predicción privada basada en DP se degrada hasta el azar conforme aumenta el número de consultas debido a las restricciones de sensibilidad independientes de la entrada.
• Desempeño de la Destilación: Utilizando 210,000 predicciones privadas de un profesor de CIFAR-10 para etiquetar un subconjunto público de ImageNet (CINIC-10), el modelo estudiante destilado logra una precisión del 91.86% en CIFAR-10. Esto supera al profesor privado y iguala la garantía de MIA de $(0.02, 10^{-5})$-DP, requiriendo además ningún dato público etiquetado para el proceso de destilación.
• Robustez: El método mantiene una fuerte utilidad incluso cuando el presupuesto de MI por paso se reduce a valores ínfimos ($2^{-32}$), un fenómeno atribuido a la estabilidad inherente de las predicciones del modelo a través de diferentes subconjuntos de entrenamiento.

Significación y Reivindicaciones
El artículo afirma cerrar una brecha crítica en el aprendizaje automático privado al permitir una predicción privada que es tanto preservadora de la privacidad como altamente útil bajo condiciones adaptativas y adversarias.

• Avance Teórico: Proporciona el primer teorema de composición adversaria para la privacidad PAC con un secreto persistente, demostrando que la MI se acumula linealmente bajo consultas adaptativas. Esto contrasta con trabajos previos que o bien fallaban ante la adaptividad o requerían ruido independiente de la entrada.
• Viabilidad Práctica: Demuestra que la estabilidad de la predicción puede aprovecharse para privatizar las salidas con un ruido mínimo, ofreciendo un escenario de "ganar-ganar" donde el aprendizaje robusto (baja varianza) conduce naturalmente a mejores compromisos entre privacidad y utilidad.
• Alternativa al Entrenamiento DP: El trabajo sugiere un camino para liberar modelos que preserven la privacidad mediante la predicción privada y la destilación, ofreciendo un perfil de utilidad más favorable que el DP-SGD para servicios de inferencia, particularmente cuando el modelo de amenaza se alinea con la entrega de predicciones vía API en lugar de la entrega de pesos del modelo.
• Limitaciones: Los autores reconocen que el enfoque depende de una distribución de entrada específica (submuestreo) y que el costo computacional implica el preentrenamiento de $m$ modelos. También señalan que las garantías teóricas asumen un adversario computacionalmente ilimitado con conocimiento total de la distribución del sistema, aunque argumentan que esto se extiende naturalmente a entornos realistas.

En resumen, el artículo sostiene que al cambiar el enfoque de la privacidad de los parámetros a la privacidad de la salida y utilizar la estabilidad basada en instancias mediante la privacidad PAC, es posible servir millones de consultas con garantías de privacidad rigurosas y demostrables que los métodos basados en DP no pueden alcanzar sin sacrificar la utilidad.