Resumen Técnico: Garantías de Denegación Plausible para Denunciantes

Planteamiento del Problema

Los denunciantes (whistleblowers) sirven como una salvaguarda crítica contra la mala conducta organizacional; sin embargo, el miedo a las represalias disuade significativamente la denuncia. Aunque los marcos legales existentes (por ejemplo, la Directiva de la UE sobre la protección de los denunciantes) exigen canales de denuncia confidenciales, no proporcionan garantías formales sobre lo que una organización puede inferir de las acciones posteriores de un auditor.

El desafío central de privacidad surge cuando una organización, actuando como un "adversario fuerte", observa la secuencia de decisiones de auditoría (el registro de auditoría) pero no los informes en sí. Si un auditor investiga a una organización poco después de presentarse un informe, y solo unos pocos empleados tenían acceso a la información relevante, la organización puede inferir la identidad del denunciante. El artículo formaliza la necesidad de una denegación plausible: asegurar que el registro de auditoría observable no permita a un adversario distinguir entre un mundo donde se presentó un informe específico y un mundo donde no se presentó, más allá de una ventaja insignificante.

Los enfoques existentes, como la Respuesta Aleatorizada (adaptando el mecanismo de Warner de 1965 a la denuncia de irregularidades), sufren de un compromiso fundamental entre utilidad y privacidad. Obligan al auditor a seleccionar objetivos de auditoría casi uniformemente al azar para satisfacer las restricciones de privacidad, lo que hace que el proceso de auditoría no sea sensible al volumen real de informes. Además, los mecanismos estándar de privacidad diferencial (DP) a menudo no se dirigen directamente al modelo de amenaza donde la entidad auditada es el adversario que observa la secuencia completa de decisiones.

Metodología

Marco Formal

Los autores proponen un marco de auditoría definido sobre un horizonte $T$ con $C$ objetivos de auditoría.

• Entrada: Un flujo de conteos de informes $R_T = (r_1, \dots, r_T)$, donde $r_{t,c}$ es el número de nuevos informes para el objetivo $c$ en el tiempo $t$.
• Salida: Un registro de auditoría $a_T = (a_1, \dots, a_T)$, donde $a_t \in [C]$ es el objetivo seleccionado para la auditoría en el tiempo $t$.
• Definición de Privacidad: El artículo adopta la Privacidad Diferencial (DP) (0, $\delta$) con respecto a la adyacencia por informe. Dos flujos de informes son adyacentes si difieren exactamente por un informe en un tiempo y objetivo específicos.
• Modelo de Amenaza: El adversario es el propio objetivo de la auditoría, que posee un conocimiento interno casi completo y observa el registro completo $a_T$. El objetivo es acotar la ventaja del adversario para distinguir si se presentó un informe específico.
• Métrica de Utilidad: El error se define como la probabilidad de que el mecanismo no seleccione el objetivo con el recuento más alto (active count) desde la última auditoría de dicho objetivo.

El Resultado Negativo: Respuesta Aleatorizada

El artículo demuestra que aplicar la Respuesta Aleatorizada (RR) en el paso de selección —donde el auditor ignora los informes con una probabilidad $p_{rand}$ y audita un objetivo al azar, de lo contrario audita el objetivo con el recuento más alto— no puede superar a la auditoría aleatoria uniforme por más de $\delta$.

• Teorema 2: Para cualquier horizonte $T$, si la RR satisface $(0, \delta)$-DP, la probabilidad de seleccionar el objetivo incorrecto (cuando existe un maximizador único) está acotada inferiormente por $\frac{C-1}{C} - \delta$.
• Implicación: La RR es "insensible a la brecha" (gap-insensitive). Incluso si la brecha de informes entre el líder y el segundo lugar es masiva, el error sigue siendo alto porque el requisito de privacidad obliga al mecanismo a explorar (auditar aleatoriamente) casi siempre.

La Solución Propuesta: Reducción al Conteo Continuo Privado

Para superar las limitaciones de la RR, los autores proponen una reducción genérica de la auditoría privada al conteo continuo privado.

1. Diseño del Mecanismo (Algoritmo 1):
   • Para cada objetivo de auditoría $c$, mantener una instancia independiente de un contador continuo $(0, \delta)$-DP.
   • En cada paso de tiempo, introducir los nuevos conteos de informes para cada objetivo en su respectivo contador.
   • Seleccionar el objetivo con el recuento más alto ruidoso (la salida del contador).
   • Condición de Reinicio: Al auditar un objetivo, reiniciar su instancia de contador y restablecer su recuento activo a cero. Esto asegura que la privacidad de los informes pasados no se vea comprometida por las decisiones futuras.
2. Garantía de Privacidad: El registro de auditoría es un post-procesamiento de las salidas del contador. Dado que los contadores satisfacen $(0, \delta)$-DP y el mecanismo de reinicio asegura que un solo informe afecte solo a una instancia de contador activo, todo el registro hereda la garantía de $(0, \delta)$-DP.
3. Instanciación Concreta: Los autores instancian este marco utilizando el contador de factorización de Toeplitz (Fichtenberger et al., 2023; Dvijotham et al., 2024). Este mecanismo logra una escala de ruido de $O(\sqrt{\log T})$, que es casi óptima para el conteo continuo.

Análisis de Utilidad

El artículo deriva un teorema de utilidad (Teorema 6) que muestra que el error de selección disminuye a medida que la brecha efectiva entre el verdadero líder y los retadores crece.

• La brecha efectiva incluye la diferencia real del recuento de informes más la diferencia de ruido acumulada.
• A diferencia de la RR, el error del mecanismo propuesto desaparece siempre que la brecha de informes ruidosa crezca más rápido que $\sqrt{\log T}$. Esto permite que el mecanismo sea altamente sensible a los volúmenes de informes mientras mantiene una estricta privacidad.

Contribuciones Clave

1. Formalización: El artículo formaliza la auditoría de denunciantes como DP $(0, \delta)$ por informe en el registro de auditoría bajo un modelo de adversario fuerte donde el objetivo es el adversario.
2. Resultado Negativo para RR: Demuestra que la Respuesta Aleatorizada está fundamentalmente limitada, estando ligada a una auditoría casi uniforme independientemente del horizonte o la brecha de informes.
3. Reducción Genérica: Establece una reducción de la auditoría privada al conteo continuo privado, permitiendo que cualquier contador $(0, \delta)$-DP se utilice como un componente de inserción (plug-in).
4. Mecanismo Concreto (TCA): Al instanciar la reducción con la factorización de Toeplitz, los autores crean un mecanismo (Auditoría Continua de Toeplitz, TCA) que logra $(0, \delta)$-DP con una escala de ruido de $O(\sqrt{\log T})$.
5. Teorema de Utilidad: Proporciona un límite teórico que muestra que el error de selección decae a medida que la brecha de informes aumenta, lo que representa una mejora significativa respecto al error constante de la RR.

Resultados

• Teóricos: El teorema de utilidad demuestra que el error del mecanismo propuesto se acerca a cero a medida que la brecha entre la organización líder y sus competidores crece, mientras que el error de la RR permanece constante y alto.
• Empíricos: Las simulaciones tanto en entornos estáticos (barrido de brechas) como dinámicos (auditoría en línea) confirman los hallazgos teóricos:
  • Estático: La tasa de mala selección de TCA cae rápidamente a medida que la brecha de informes aumenta, mientras que la RR permanece insensible a la brecha.
  • Dinámico: En un entorno en línea con reinicios de informes, TCA mantiene un "déficit de recuento activo" (arrepentimiento/regret) significativamente menor en comparación con la RR y la auditoría aleatoria uniforme, acercándose al rendimiento de una base codiciosa (greedy) no privada.

Significado y Reivindicaciones

El artículo afirma proporcionar la primera garantía de denegación cuantificable y formal para los denunciantes que opera eficazmente durante horizontes largos sin sacrificar la utilidad.

• Credibilidad: Al asegurar que las decisiones de auditoría no pueden vincularse determinísticamente a informes específicos, el mecanismo hace que los canales de denuncia sean más creíbles para los posibles denunciantes que temen represalias.
• Gobernanza de la IA: El trabajo está particularmente motivado por la necesidad de una comunicación interna creíble en la gobernanza de la IA, donde la información privilegiada es una señal clave para las auditorías de seguridad. El mecanismo asegura que un desarrollador no pueda inferir que un empleado específico presentó un informe basándose en el tiempo o el objetivo de la evaluación del modelo.
• Limitaciones: Los autores señalan modestamente que la garantía por denunciante se degrada linealmente con el número de informes presentados ($k\delta$) y que el modelo asume un auditor de confianza que no filtra los conteos privados. Reconocen que los fallos operativos del mundo real (por ejemplo, filtraciones de registros de acceso) están fuera del alcance de esta garantía algorítmica/criptográfica.

En resumen, el artículo argumenta que, si bien la Respuesta Aleatorizada es una primitiva de privacidad canónica, es insuficiente para auditorías de alto nivel donde la utilidad es primordial. Al aprovechar los avances en el conteo continuo, es posible construir políticas de auditoría que ofrezcan una denegación plausible fuerte y formal, permaneciendo altamente sensibles a los datos que están diseñadas para proteger.