REAEDP: Entropy-Calibrated Differentially Private Data Release with Formal Guarantees and Attack-Based Evaluation

1. Problema y Motivación

La publicación de datos sensibles (como registros de salud, trayectorias o logs de recomendación) expone a los usuarios a amenazas de privacidad en el lado de la salida, como la inferencia de membresía, la inferencia de atributos y el enlace de registros. Aunque se eliminan los identificadores directos, ataques basados en datos auxiliares o gradientes pueden reidentificar a los individuos.

Existe una necesidad práctica de mecanismos de liberación que ofrezcan:

1. Garantías formales de privacidad (Diferencial Privada - DP).
2. Utilidad medible, especialmente en la liberación de estadísticas basadas en histogramas.
3. Evaluación basada en ataques para verificar que las garantías teóricas se traducen en protección real.

El vacío técnico identificado es que, aunque la entropía (Shannon y Rényi) es una medida natural de incertidumbre y utilidad para histogramas, su sensibilidad (el cambio máximo ante un cambio en un registro) no había sido acotada explícitamente de una forma utilizable para la calibración de ruido en pipelines de liberación práctica. Además, la evaluación empírica a menudo se limita a métricas de utilidad, sin compararse directamente con ataques de inferencia estándar.

2. Metodología: El Marco REAEDP

Los autores proponen REAEDP, un marco de privacidad diferencial que integra tres componentes principales:

A. Calibración de Entropía para Histogramas

• Objetivo: Liberar estadísticas de histogramas con ruido controlado por la sensibilidad de la entropía.
• Aporte Teórico: Derivan un límite explícito de sensibilidad para la entropía de Shannon ($\Delta H$) bajo un modelo de adyacencia de reemplazo (dos conjuntos de datos del mismo tamaño que difieren en un registro).
• Resultado: El límite se expresa como $\Delta H \leq \frac{1}{n} (2 + \frac{1}{\ln 2} + 2 \log_2 n)$. Esto permite calcular la escala de ruido necesaria (Laplace o Gaussiana) para garantizar la DP mientras se preserva la utilidad de la distribución de entropía. También extienden este análisis a la Entropía de Rényi.

B. Mecanismo de Datos Sintéticos (F)

• Objetivo: Generar registros sintéticos que cumplan con garantías formales de DP.
• Enfoque: Utilizan un entorno de Núcleo de Wiener (espacio de Hilbert de funciones reproducibles, RKHS) y un mecanismo de prueba de privacidad.
• Mecanismo F:
  1. Se selecciona una "semilla" $s$ del conjunto de datos $D$.
  2. Se muestrea un candidato $y$ desde una distribución propuesta dependiente de la semilla.
  3. Se ejecuta una prueba de privacidad basada en particiones de datos y una variable aleatoria $L$.
  4. El candidato se acepta solo si pasa la prueba, lo que asegura una garantía $(\varepsilon, \delta)$-DP bajo condiciones específicas de parámetros ($k, t, \gamma, \varepsilon_0$).

C. Evaluación Basada en Ataques

El marco no solo se basa en la teoría, sino que incluye una evaluación empírica rigurosa contra:

• Ataques de Inferencia de Membresía (MIA): Determinar si un registro específico estaba en el conjunto de datos original.
• Ataques de Estilo de Enlace: Intentar vincular la salida liberada con registros auxiliares.

3. Contribuciones Clave

1. Límite de Sensibilidad de Entropía (Teorema 3): Derivación matemática de un límite superior para el cambio en la entropía de Shannon ante la modificación de un registro en un histograma. Esto permite la calibración precisa del ruido.
2. Garantía Formal para Datos Sintéticos (Teorema 4): Establecimiento de una garantía $(\varepsilon, \delta)$-DP para el mecanismo de datos sintéticos $F$ en un espacio funcional, definiendo las condiciones de los parámetros para que la privacidad se mantenga.
3. Evaluación Integral: Combinación de análisis teórico, comparación con baselines estándar (Laplace, Gaussiano) y evaluación mediante ataques reales en múltiples conjuntos de datos tabulares públicos.

4. Resultados Experimentales

Los experimentos se realizaron en varios conjuntos de datos tabulares públicos (Amazon Reviews, Google Locations, House Prices, Home Credit, etc.) y datos sintéticos:

• Validación del Límite Teórico: El cambio empírico de la entropía en los histogramas liberados permaneció consistentemente por debajo del límite teórico derivado en el Teorema 3 a través de diferentes tamaños de conjunto de datos ($n$) y números de bins.
• Comparación de Baselines: Los mecanismos estándar de Laplace y Gaussiano mostraron tendencias de utilidad comparables, validando que el enfoque de REAEDP es competitivo.
• Resistencia a Ataques:
  • A medida que el parámetro de privacidad $\varepsilon$ disminuye (mayor privacidad), el rendimiento de los ataques de inferencia de membresía y de enlace se degrada hacia el comportamiento de adivinanza aleatoria (precisión ~0.5).
  • Esto confirma que el mecanismo limita efectivamente la fuga de información sobre individuos específicos.
• Datos Sintéticos y Núcleo de Wiener: Se demostró que el parámetro de penalización $\rho$ en el núcleo de Wiener permite controlar la compensación entre privacidad y utilidad; valores más altos de $\rho$ reducen el ruido efectivo y mejoran la utilidad, manteniendo la garantía DP.

5. Significado e Impacto

El trabajo de REAEDP es significativo porque cierra la brecha entre la teoría de la privacidad diferencial y la práctica de la liberación de datos:

• Calibración Práctica: Proporciona una herramienta concreta (el límite de sensibilidad de la entropía) para que los custodios de datos calibren el ruido en histogramas sin depender de suposiciones heurísticas.
• Validación Dual: Demuestra que las garantías formales no son solo teóricas; se validan empíricamente mediante ataques reales, ofreciendo una visión más completa de la seguridad.
• Marco Unificado: Integra el análisis de histogramas, la generación de datos sintéticos y la evaluación de amenazas en un solo pipeline coherente.

Limitaciones y Futuro: El enfoque actual depende de la discretización (histogramas), lo que puede ser sensible a la elección de bins en dimensiones muy altas. Además, la evaluación de ataques de inferencia de atributos se incluye en el modelo de amenazas pero no se benchmarkea experimentalmente en esta versión. El trabajo futuro se dirige a validar el método en datos multimodales, secuenciales y federados, y a refinar la aproximación de la formulación de dimensión infinita en el núcleo de Wiener.

En resumen, REAEDP ofrece un pipeline de liberación de datos que es teóricamente sólido, empíricamente validado y prácticamente utilizable para proteger datos sensibles mientras se preserva la utilidad estadística.