Résumé technique : Persuasive Privacy (Confidentialité Persuasive)

Énoncé du problème

L'article traite des limites des normes actuelles de confidentialité des données, en particulier la Confidentialité Différentielle (Differential Privacy - DP), dans plusieurs domaines clés. Bien que la DP soit devenue le standard de fait, elle fait face à des défis conceptuels concernant l'interprétation de ses paramètres, aux écarts entre les garanties techniques et les notions juridiques ou sociales de confidentialité, ainsi qu'à la nature souvent vacue des budgets de perte de confidentialité dans les déploiements réels. De plus, les cadres de DP existants peinent à fournir des garanties non vacues pour les algorithmes déterministes (par exemple, les statistiques invariantes comme les résumés du recensement décennal des États-Unis), car ces mécanismes fuitent intrinsèquement des informations sur les données d'entrée sans l'ajout de bruit. En outre, les interprétations sémantiques de la DP sont souvent construites a posteriori, ce qui les rend difficiles à adapter à des cas d'utilisation spécifiques ou à comprendre intuitivement.

Les auteurs proposent la nécessité d'un cadre capable de :

1. Générer des définitions de confidentialité qui soient « adaptées à l'usage » tout en étant rigoureusement justifiées.
2. Évaluer les garanties de confidentialité existantes à l'aide d'une approche unifiée.
3. Évaluer la confidentialité des algorithmes déterministes, une capacité qui fait actuellement défaut à la DP et à la plupart de ses variantes.

Méthodologie

Les auteurs introduisent la Persuasive Privacy (PP), un nouveau cadre fondé sur la théorie des jeux bayésiens. Le cadre modélise le processus de publication de données comme un jeu de Stackelberg à deux joueurs impliquant :

• L'Expéditeur (Sender) : Le dépositaire des données sensibles $x \in \mathcal{X}$ qui conçoit un mécanisme $M$ pour diffuser l'information.
• Le Récepteur (Receiver) : Un adversaire ayant une incertitude sur $x$, représentée par une distribution a priori $Q$. Le Récepteur observe la sortie de $M$, met à jour sa croyance vers une distribution a posteriori $Q_T$, puis prend une action $d$ qui affecte la confidentialité de l'Expéditeur.

Composants fondamentaux

1. Fonctions et scores de confidentialité : La confidentialité de l'Expéditeur est quantifiée via une fonction de confidentialité $\rho(d, x)$, représentant la préférence de l'Expéditeur vis-à-vis des décisions du Récepteur. Cela est équivalativement formulé à l'aide de règles de score appropriées (proper scoring rules) $S(P, x)$, où la décision du Récepteur est la distribution $P$ qui minimise l'espérance de la perte. Le « score de confidentialité » mesure la capacité de la croyance du Récepteur à prédire les données réelles.
2. Perte de confidentialité relative : Le cadre se concentre sur le changement de confidentialité causé par la publication des données. Le score de confidentialité relatif est défini par $\Delta(Q, T, x) = S(Q, x) - S(Q_T, x)$. Une valeur plus faible indique une meilleure rétention de la confidentialité.
3. Hypothèses de robustesse :
   • Transparence : L'Expéditeur partage le mécanisme $M$ et la classe de confidentialité $C$ (générée par la définition) avec le Récepteur, mais ces définitions ne doivent pas dépendre des données spécifiques $x$.
   • Rationalité Bayésienne : Le Récepteur agit comme un agent bayésien optimal, mettant à jour ses croyances via la règle de Bayes et choisissant des actions pour minimiser la perte attendue.
   • Évaluation du pire cas : L'Expéditeur évalue la confidentialité de manière robuste contre le pire cas de données-a priori $Q$ au sein d'une classe spécifiée $\mathcal{Q}_x$ et le pire cas de jeu de données $x$.
4. Définition de la Persuasive Privacy : Un mécanisme $M$ est $(\mathcal{S}, \mathcal{Q}_x, \kappa, \delta)$-PP si, pour toutes les règles de score appartenant à un ensemble $\mathcal{S}$, tous les jeux de données $x$, et tous les a priori $Q \in \mathcal{Q}_x$, la probabilité que la perte de confidentialité relative dépasse un seuil $\kappa$ est au plus $\delta$ :
   $$\inf_{S \in \mathcal{S}} \inf_{x \in \mathcal{X}} \inf_{Q \in \mathcal{Q}_x} P_x [\Delta_S(Q, T, x) \le \kappa] \ge 1 - \delta$$

Contributions clés et résultats

1. Unification théorique et récupération des définitions existantes

Le cadre parvient à récupérer les définitions de confidentialité établies comme des cas particuliers, en leur apportant une nouvelle sémantique de théorie des jeux :

• Probabilistic Differential Privacy (PDP) : Les auteurs prouvent qu'un mécanisme est $(\epsilon, \delta)$-PDP si et seulement s'il est $(\mathcal{L}, \mathcal{H}, \epsilon, \delta)$-PP, où $\mathcal{L}$ est le score de log-probabilité négative et $\mathcal{H}$ est une classe de priors discrets à deux composantes représentant des jeux de données voisins. Cela interprète la PDP comme la protection contre un pire cas où le Récepteur a une probabilité dérisoire sur les données réelles.
• Rényi Differential Privacy (RDP) et f-Divergence Privacy : En modifiant la condition d'évaluation d'une probabilité de queue (Hypothèse 4) à une condition de valeur attendue (Hypothèse 4*), le cadre produit la Persuasive Privacy in Expectation (PPE). Cette variante récupère la RDP et la f-divergence privacy, les liant directement au changement attendu des scores de confidentialité.

2. Propriétés de post-traitement

L'article distingue deux types de post-traitement :

• Post-traitement par le Récepteur : Le cadre satisfait cette propriété, ce qui signifie que le Récepteur ne peut pas gagner d'informations supplémentaires par le post-traitement de la sortie. Cela s'aligne sur la justification standard de la robustesse adversaire de la DP.
• Post-traitement par l'Expéditeur : Le cadre ne satisfait pas l'inégalité standard de post-traitement de l'Expéditeur (où un mécanisme privé composé d'un noyau reste privé). Les auteurs montrent qu'il s'agit d'une limitation connue de la PDP également. Cependant, ils démontrent qu'un Expéditeur peut trivialement satisfaire la garantie en publiant la sortie conjointe du mécanisme original et du mécanisme transformé, contrôlant ainsi efficacement la perte de confidentialité.

3. Confidentialité pour les mécanismes déterministes

Une contribution majeure est la capacité de définir des garanties de confidentialité non vacues pour les mécanismes déterministes, qui sont généralement exclus de la DP. L'article fournit deux exemples concrets :

• Moyenne empirique privée : En utilisant le score Marginal Dawid–Sebastiani (DSS) et en restreignant la classe des a priori du Récepteur (spécifiquement en bornant la distance entre la moyenne de l'a priori et la moyenne réelle par rapport à la variance), les auteurs établissent une garantie de confidentialité persuasive pour la publication de la moyenne empirique exacte sans ajout de bruit.
• Suppression de cellules privée : Pour les mécanismes qui suppriment les petits effectifs dans les tableaux de contingence, le cadre établit une garantie utilisant le score de log-probabilité. Le paramètre de confidentialité est déterminé par la force de la croyance a priori du Récepteur concernant les faibles effectifs des cellules.

Signification et affirmations

L'article affirme que la Persuasive Privacy offre une approche de la confidentialité axée sur la sémantique. Contraentemente à la DP, où les interprétations sémantiques sont souvent dérivées après coup, la PP construit des définitions à partir d'un jeu d'agents où les hypothèses (par exemple, la classe d'a priori du Récepteur, la fonction de perte) sont explicites et peuvent être testées par rapport à des contextes réels.

La portée de ce travail réside dans :

• La flexibilité : Elle permet de générer des définitions de confidentialité orientées vers un usage spécifique en sélectionnant les règles de score et les classes d'a priori appropriées (par exemple, pour des résumés déterministes).
• La robustesse : En modélisant explicitement le Récepteur comme un agent bayésien et en évaluant les scénarios du pire cas sur les a priori et les données, le cadre fournit des justifications rigoureuses et de type théorie des jeux aux garanties de confidentialité.
• Le pont jeté : Elle fournit une connexion formelle entre les méthodes déterministes de contrôle de la divulgation (courantes dans les statistiques officielles) et la théorie moderne de la confidentialité, comblant une lacune critique là où les standards actuels échouent à protéger les statistiques invariantes.

Les auteurs reconnaissent que bien que le cadre soit flexible, il faut veiller à ce que les règles de score et les classes d'a priori choisis soient appropriés au contexte de déploiement spécifique afin d'éviter un usage abusif de cette flexibilité. Ils notent également que la détermination des mécanismes optimaux en termes d'utilité au sein d'une classe de confidentialité persuasive donnée reste un domaine de recherche ouvert pour l'avenir.