Resumen Técnico: Garantías Óptimas para la Auditoría del Aprendizaje Automático con Privacidad Diferencial de Rényi

1. Planteamiento del Problema

A medida que los sistemas de aprendizaje automático con privacidad diferencial (DP) transitan de la teoría a la práctica, persiste un desafío crítico: cómo verificar de manera fiable, utilizando observaciones empíricas finitas, que un algoritmo de aprendizaje cumple realmente con sus garantías de privacidad declaradas. Si bien existe una extensa literatura sobre la auditoría de la DP pura y aproximada $(\epsilon, \delta)$, los fundamentos teóricos para la auditoría de la Privacidad Diferencial de Rényi (RDP) permanecen incompletos.

Los métodos existentes de auditoría de caja negra a menudo dependen de construcciones de ataque específicas (por ejemplo, inferencia de membresía, envenenamiento de datos) o aproximaciones asintóticas. Estos enfoques carecen frecuentemente de garantías de muestra finita que separen limpiamente el error de estimación estadística de la fuga algorítmica de privacidad. En consecuencia, no está claro con qué precisión pueden estimarse los parámetros de RDP a partir de muestras finitas, si los métodos existentes son óptimos y cómo escala el error de auditoría con la complejidad del modelo. Este artículo aborda la brecha en la provisión de garantías rigurosas, no asintóticas y óptimas desde el punto de vista de la teoría de la información para la auditoría de RDP en un entorno de caja negra.

2. Metodología

Los autores proponen un nuevo marco de auditoría basado en pruebas de hipótesis que estima directamente la divergencia de Rényi entre ejecuciones vecinas de un algoritmo de aprendizaje automático.

2.1 Marco Central: Divergencia Variacional de Rényi

El método utiliza la representación variacional de Donsker–Varadhan (DV) de la divergencia de Rényi. En lugar de depender de ataques específicos, los autores plantean la auditoría de privacidad como un problema de estimación estadística:

• Objetivo: Estimar (o certificar un límite inferior sobre) la divergencia de Rényi $D_\alpha(P \| Q)$ entre las distribuciones de salida $P$ y $Q$ de un mecanismo evaluado en conjuntos de datos vecinos.
• Estimador: Los autores emplean un estimador variacional basado en redes neuronales. Definen una clase de funciones (críticos) $\Gamma_\Theta$ parametrizada por una red neuronal $T_\theta$. El estimador maximiza el objetivo variacional:
  $$R_\Theta^\alpha(Q \| P) = \sup_{\theta \in \Theta} \left\{ \frac{1}{\alpha-1} \log \mathbb{E}_Q[e^{(\alpha-1)T_\theta}] - \frac{1}{\alpha} \log \mathbb{E}_P[e^{\alpha T_\theta}] \right\}$$
• Implementación: La estimación se realiza mediante descenso de gradiente estocástico con mini-lotes y una Media Móvil Exponencial (EMA) para garantizar la estabilidad numérica, particularmente para órdenes más altos de $\alpha$.

2.2 Protocolo de Auditoría de Caja Negra

En el entorno de caja negra, un adversario solo puede insertar un "canario" de entrada y observar el modelo entrenado final. El procedimiento de auditoría (Algoritmo 3) implica:

1. Inicialización del Peor Caso: Siguiendo a [31], los autores elaboran parámetros de modelo iniciales del peor caso (mediante pre-entrenamiento) para maximizar la sensibilidad del proceso de entrenamiento a la presencia del canario.
2. Entrenamiento: El modelo se entrena dos veces utilizando DP-SGD: una vez con el canario ($D'$) y una vez sin él ($D$).
3. Observación: El auditor recopila valores de pérdida (u otras salidas) para el canario de ambos modelos entrenados.
4. Estimación: El estimador DV calcula la divergencia de Rényi entre las distribuciones de pérdida de los dos modelos.

2.3 Garantías Estadísticas

El artículo deriva intervalos de confianza explícitos y no asintóticos para el estimador basado en DV sobre clases de críticos restringidas. Al tratar la auditoría como una prueba de hipótesis, el método convierte la evidencia empírica en certificados de violación de privacidad con un error Tipo-I controlado.

3. Contribuciones Clave

3.1 Primera Auditoría Directa de RDP

Los autores son los primeros en auditar directamente la privacidad diferencial de Rényi, estableciendo un método de caja negra de vanguardia para estimar la divergencia de Rényi entre las salidas de mecanismos de conjuntos de datos vecinos. A diferencia de trabajos anteriores que convierten entre nociones de privacidad (por ejemplo, de $\mu$-GDP a RDP), este enfoque estima la divergencia directamente.

3.2 Intervalos de Confianza No Asintóticos y Optimalidad

El artículo proporciona garantías teóricas rigurosas:

• Límites de Muestra Finita: El Teorema 3.2 establece intervalos de confianza explícitos y no asintóticos para el estimador DV de Rényi restringido a clases. Estos límites separan el error de estimación estadística de la verdadera fuga de privacidad.
• Optimalidad Minimax: El Teorema 3.3 demuestra límites inferiores minimax coincidentes. Los autores muestran que, hasta factores logarítmicos, sus garantías de complejidad de muestra son óptimas desde el punto de vista de la teoría de la información. Ningún estimador puede estimar uniformemente el objetivo DV poblacional con mayor precisión dada la misma tamaño de muestra y restricciones de clase de críticos.

3.3 Validación Empírica

El marco se implementa para auditar DP-SGD en los conjuntos de datos MNIST y CIFAR-10. Los resultados demuestran que los auditores propuestos producen mejoras significativas en los límites inferiores empíricos de RDP en comparación con los métodos de caja negra anteriores de vanguardia, particularmente en órdenes de Rényi pequeños y moderados ($\alpha \in (1, 2]$) donde la auditoría precisa es más desafiante.

4. Resultados

• Rendimiento: En diversos regímenes de privacidad y conjuntos de datos, el estimador DV-Rényi produce límites inferiores empíricos más ajustados que el método de caja negra actual de vanguardia (SOTA) [31].
• Sensibilidad: Las mejoras son más pronunciadas en presupuestos de privacidad bajos (pequeño $\epsilon_\alpha$), donde los métodos anteriores a menudo sufren de saturación prematura o alta varianza.
• Robustez: El método permanece estable incluso bajo inicializaciones del peor caso, diseñadas para maximizar la detectabilidad de la fuga de privacidad.
• Alineación Teórica: Las tendencias experimentales se alinean con el análisis teórico, confirmando que conjuntos de datos más pequeños (aumentando el impacto relativo del canario) conducen a auditorías más ajustadas, mientras que normas de recorte más grandes (inyectando más ruido) reducen la detectabilidad.

5. Significado y Afirmaciones

El artículo afirma establecer las primeras garantías óptimas para la auditoría de RDP mediante estimadores DV. Su significado radica en:

1. Rigor Fundacional: Ir más allá de los ataques heurísticos hacia un marco estadístico principiado con intervalos de confianza de muestra finita.
2. Límites de la Teoría de la Información: Caracterizar los límites estadísticos fundamentales de la auditoría de RDP, mostrando que el método propuesto alcanza la optimalidad minimax.
3. Utilidad Práctica: Proporcionar una herramienta que produce auditorías de privacidad más precisas y robustas para sistemas desplegados, particularmente en regímenes donde la auditoría precisa es difícil.

Los autores señalan que, aunque su método es óptimo hasta factores logarítmicos, las mejoras adicionales están fundamentalmente limitadas por restricciones de teoría de la información. Las direcciones de trabajo futuro identificadas incluyen extender estas garantías a entornos interactivos y distribuidos, y explorar fórmulas variacionales alternativas para valores de $\alpha$ más grandes.