🤖 machine learning

ScoreShield: Differentially Private Release of Similarity Scores

El artículo presenta ScoreShield, un mecanismo de privacidad diferencial que perturba y proyecta las puntuaciones de similitud sobre un conjunto de factibilidad válido para reducir significativamente la pérdida de utilidad y mejorar los compromisos entre privacidad y utilidad en comparación con la adición de ruido ingenua, al tiempo que proporciona garantías teóricas y demuestra efectividad en diversas aplicaciones como RAG y biometría.

Autores originales: Behrooz Razeghi, Parsa Rahimi

Publicado 2026-07-29

📖 4 min de lectura☕ Lectura para el café

CC BY 4.0

Autores originales: Behrooz Razeghi, Parsa Rahimi

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que estás en una biblioteca masiva y de alta tecnología donde cada libro, foto y canción ha sido convertido en una "huella digital" secreta hecha de números. Estas huellas digitales son tan precisas que una computadora puede distinguir instantáneamente si dos elementos son gemelos, primos o extraños simplemente comparándolos. Así es como funciona la tecnología moderna, desde desbloquear tu teléfono con tu rostro hasta encontrar la canción perfecta en una lista de reproducción o incluso ayudar a los chatbots de IA a encontrar los datos correctos para responder tus preguntas. Pero aquí está el truco: estas huellas digitales son como una llave maestra. Si alguien roba la lista de qué tan similar es cada cosa con todo lo demás, puede averiguar exactamente quién está en la biblioteca, incluso si nunca vio las fotos originales o escuchó las canciones. Es como conocer la distancia exacta entre cada casa en un vecindario; puedes mapear quién vive al lado de quién y potencialmente adivinar quién vive en una casa específica que te da curiosidad.

Para detener esto, los científicos usan un truco ingenioso llamado "privacidad diferencial". Piensa en esto como añadir un poco de estática a una señal de radio. Quieres que la música (la información útil) se escuche claramente, pero añades suficiente estática para que, si alguien intenta escuchar, no pueda distinguir exactamente qué canción está sonando o quién está cantando. El problema es que, si añades demasiada estática, la música se convierte en basura irreconocible. Si añades muy poca, el espía aún podrá escuchar la letra. Durante mucho tiempo, la forma estándar de añadir este ruido fue un poco torpe: trataba los datos como una simple lista de números, ignorando el hecho de que estas "puntuaciones de similitud" tienen reglas estrictas (como que dos cosas no pueden ser más del 100% similares, o que una cosa debe ser 100% similar a sí misma). Este método torpe a menudo arruinaba la música, haciendo que los datos fueran demasiado distorsionados para ser útiles para clasificar resultados de búsqueda o verificar identidades.

Aquí es donde el nuevo artículo, ScoreShield, entra en escena con una solución más inteligente. Los investigadores, Behrooz Razeghi y Parsa Rahimi, se dieron cuenta de que, en lugar de simplemente lanzar ruido sobre los datos y esperar lo mejor, deberían añadir el ruido y luego "arreglar" inmediatamente el resultado para asegurarse de que siga las reglas de la similitud. Imagina que estás intentando lanzar una pelota dentro de una cesta específica, pero tienes que lanzarla a través de una ventana empañada (el ruido). Un enfoque ingenuo sería simplemente lanzar la pelota a ciegas y esperar que caiga en la cesta. ScoreShield es como lanzar la pelota a través de la niebla y luego, en el momento en que aterriza, darle un suave empujón para que regrese a la cesta si rodó ligeramente fuera de las líneas. Este "empujón" es una proyección matemática que asegura que los números finales sigan siendo puntuaciones de similitud válidas (entre -1 y 1, y matemáticamente consistentes) sin deshacer la protección de la privacidad.

El artículo encuentra que este método de "añadir ruido y luego arreglar" es un cambio de paradigma. Cuando lo probaron en tareas del mundo real, como reconocer rostros en fotos o ayudar a los chatbots de IA a encontrar la información correcta, ScoreShield mantuvo los datos mucho más útiles que los métodos antiguos y torpes. Por ejemplo, al publicar una lista completa de qué tan similares son miles de fotos entre sí, el método antiguo hacía que los datos fueran tan desordenados que el error crecía enormemente a medida que aumentaba el número de fotos. ScoreShield, sin embargo, mantuvo el error mucho más pequeño y manejable, incluso con miles de elementos. Demostraron matemáticamente que esto funciona tanto para verificaciones individuales (como "¿es este rostro una coincidencia?") como para listas masivas (como "¿cómo se relacionan todas estas caras entre sí?").

Los investigadores también demostraron que este método no solo funciona en la teoría, sino que funciona en la práctica. Lo probaron en famosos conjuntos de datos de reconocimiento facial y descubrieron que, incluso con una fuerte protección de la privacidad, el sistema aún podía identificar rostros y clasificar resultados de búsqueda casi tan bien como la versión no privada. Incluso construyeron un algoritmo informático rápido para realizar el "empujón" rápidamente, de modo que no ralentice las cosas. En resumen, ScoreShield demuestra que no tienes que elegir entre privacidad total y datos útiles; al respetar la forma de los datos, puedes tener ambas cosas. Es una forma de proteger los secretos de las personas sin romper las herramientas en las que confiamos todos los días.

Resumen Técnico: ScoreShield

Declaración del Problema

Un número creciente de aplicaciones, incluyendo la verificación biométrica y la generación aumentada por recuperación (RAG), dependen de puntuaciones de similitud de coseno calculadas entre incrustaciones (embeddings) vectoriales. Estos sistemas suelen liberar puntuaciones de similitud (ya sea como vectores para el emparejamiento de consulta con colección o como matrices de Gram para analítica de pares) a través de APIs. Sin embargo, tales liberaciones pueden filtrar información sobre registros individuales, permitiendo ataques de inferencia de membresía y ataques de escalada de colina guiados por puntuación (score-guided hill-climbing attacks).

Aunque la privacidad diferencial (DP) ofrece un marco principista para mitigar estos riesgos, la aplicación ingenua de los mecanismos estándar de DP —específicamente, añadir ruido gaussiano independiente e idénticamente distribuido (i.i.d.) a las entradas de los vectores o elementos de las matrices— resulta inadecuada. Este enfoque trata los vectores de puntuación de coseno y las matrices de Gram como arreglos euclidianos sin restricciones. En consecuencia, los resultados perturbados suelen violar las restricciones geométricas inherentes a las similitudes de coseno:

Vectores: Las puntuaciones deben situarse en el intervalo $[-1, 1]$ .
Matrices de Gram: La matriz debe ser simétrica, semidefinida positiva (PSD), tener entradas diagonales unitarias (ya que las incrustaciones tienen norma unitaria) y entradas fuera de la diagonal acotadas en $[-1, 1]$ .

La perturbación gaussiana ingenua no logra preservar estas restricciones, lo que conduce a una distorsión excesiva (baja utilidad) para un presupuesto de privacidad dado. Además, el escalado del error de los mecanismos ingenuos es deficiente; para la liberación de una matriz de Gram completa de pares bajo reemplazo a nivel de registro, el error cuadrático de Frobenius esperado escala como $\Theta(n^3)$ , lo que se degrada rápidamente a medida que aumenta el tamaño de la galería $n$ .

Metodología: ScoreShield

Los autores proponen ScoreShield, un mecanismo de "perturbar-luego-proyectar" diseñado para liberar puntuaciones de similitud bajo privacidad diferencial central $(\varepsilon, \delta)$ mientras se imponen estrictamente la viabilidad geométrica. El marco opera en dos regímenes:

1. Liberación de Vector de Consulta a Colección (Régimen i)

En este régimen, un curador libera un vector de puntuación privatizado $s = Eq$ que representa la similitud entre una incrustación de consulta pública $q$ y una galería de $n$ incrustaciones almacenadas.

Mecanismo: El curador calcula el vector de puntuación limpio, añade ruido gaussiano calibrado a la sensibilidad $\ell_2$ -global ( $\Delta_{query} = 2$ ) y luego proyecta el vector ruidoso sobre el conjunto de viabilidad $C_{query} = [-1, 1]^n$ .
Proyección: La proyección es una operación de recorte (clipping) por coordenada: $\text{proj}_{C_{query}}(s')_i = \max(-1, \min(1, s'_i))$ .
Privacidad: Dado que la proyección es un paso de post-procesamiento determinista independiente de los datos privados, la garantía de $(\varepsilon, \delta)$ -DP del mecanismo gaussiano se preserva.

2. Liberación de Matriz de Gram Completa de Pares (Régimen ii)

En este régimen, un curador libera una matriz de Gram de coseno de pares privatizada $S = EE^\top$ para analítica no interactiva (por ejemplo, clustering, auditoría de sesgo).

Mecanismo: El curador añade ruido gaussiano a la matriz de Gram, calibrado a la sensibilidad de Frobenius global. Bajo adyacencia a nivel de registro, esta sensibilidad es $\Delta_{full} = 2\sqrt{2(n-1)} = \Theta(\sqrt{n})$ .
Proyección: La matriz ruidosa se proyecta sobre el conjunto de viabilidad de Gram de coseno $C_{coll}$ , definido como el conjunto de matrices simétricas, PSD, con diagonal unitaria y entradas fuera de la diagonal en $[-1, 1]$ .
Algoritmo: Dado que la proyección exacta sobre este conjunto (el elipsoide) es computacionalmente costosa (requiere un Programa Semidefinido o SDP), los autores emplean un algoritmo de Proyección Alternante Promediada Rápida (AAP). Este itera entre proyectar sobre el cono PSD (vía recorte de autovalores) y proyectar sobre la caja de diagonal unitaria (vía recorte por entrada). Los autores demuestran la convergencia R-lineal hacia la viabilidad bajo regularidad lineal acotada.

Contribuciones Clave

Mejora Cuantitativa sobre la DP Gaussiana Ingenua:
- Para la liberación de matrices de Gram bajo adyacencia a nivel de registro, el mecanismo gaussiano ingenuo produce un error cuadrático de Frobenius esperado de $\Theta(n^3)$ . ScoreShield, utilizando la geometría del conjunto de viabilidad, mejora este límite a $O(n^2)$ para parámetros de privacidad fijos.
- Bajo adyacencia de espacio de salida (matriz de Gram), la mejora es de $\Theta(n^2)$ a $O(n^{3/2})$ .
- Para la liberación de vectores, ScoreShield preserva el escalado de caso peor de $\Theta(n)$ del mecanismo ingenuo, pero ofrece ganancias de factor constante al reducir el error en las coordenadas saturadas mediante la proyección.
Garantías de Utilidad para Métricas a Nivel de Decisión (Régimen i):
- El artículo proporciona garantías teóricas para tareas de verificación, caracterizando la probabilidad de cambios de decisión (aceptar/rechazar) debido al ruido.
- Demuestra la existencia y unicidad de una recalibración de umbral que restaura cualquier punto operativo alcanzable (Tasa de Falsos Positivos, Tasa de Verdaderos Positivos) alcanzable por las puntuaciones privatizadas.
- Establece la estabilidad uniforme para ROC/AUC, mostrando que, bajo CDFs de puntuación Lipschitz, la desviación es como máximo $O(\sigma)$ , lo cual es de primer orden ajustado (first-order tight).
Proyección Escalable con Garantías de Convergencia:
- Los autores introducen un resolvedor AAP escalable para imponer restricciones de coseno en matrices de Gram de gran tamaño.
- Proporcionan pruebas teóricas de la convergencia R-lineal de este resolvedor hacia el conjunto de viabilidad, asegurando la aplicabilidad práctica para liberaciones a gran escala donde la proyección exacta de SDP es intratable.
Evaluación Exhaustiva:
- Régimen (i): Evaluado en Reconocimiento Facial (usando LFW, IJB-B/C y otros benchmarks) y DP-RAG (usando el benchmark FRAMES). Los resultados demuestran que ScoreShield mantiene la utilidad a nivel de decisión (precisión de verificación, TAR) significativamente mejor que el ruido gaussiano ingenuo, particularmente en puntos operativos estrictos.
- Régimen (ii): Evaluado en similitud de imágenes (CIFAR-10/100, Oxford-IIIT Pets), similitud textual semántica (STS-B) y sistemas de recomendación (MovieLens-100K). Las matrices de Gram proyectadas superan consistentemente a las matrices ruidosas no proyectadas en tareas downstream como clustering (NMI), recuperación (Recall@1) y filtrado colaborativo (RMSE).

Significancia y Reivindicaciones

El artículo afirma proporcionar el primer análisis sistemático de $(\varepsilon, \delta)$ -DP de modelo central de las liberaciones de puntuaciones de coincidencia en sistemas de reconocimiento facial profundo que conecta la recalibración de umbral con garantías a nivel de decisión. Aborda un vacío crítico en la literatura donde el trabajo previo se centraba ya sea en DP local (perturbación de entradas) o métodos criptográficos, dejando la exploración de las garantías de modelo central para las puntuaciones de similitud liberadas mayormente inexplorada.

Los autores posicionan a ScoreShield como un envoltorio (wrapper) de post-procesamiento general y agnóstico a la modalidad. Al imponer las restricciones estructurales de la similitud de coseno (PSD, diagonal unitaria, entradas acotadas) mediante la proyección, el mecanismo logra un compromiso privacidad-utilidad superior comparado con la adición de ruido sin restricciones. Los resultados sugieren que la privatización consciente de las restricciones es una primitiva necesaria para que los sistemas basados en similitud sigan siendo funcionales mientras proporcionan protecciones de privacidad rigurosas contra ataques de inferencia de membresía y ataques de escalada de colina guiados por puntuación.

El trabajo es modesto en su alcance, centráéndose en liberaciones de un solo paso (one-shot), no interactivas bajo adyacencia de reemplazo a nivel de registro. Indica explícitamente que no aborda consultas adaptativas repetidas (que requieren contabilidad de composición) ni la derivación de distribuciones de ruido óptimas para la instancia, dejando eso como direcciones para trabajos futuros.