Résumé technique : Garanties optimales pour l'audit de l'apprentissage automatique différentiellement privé de Rényi

1. Énoncé du problème

Alors que les systèmes d'apprentissage automatique différentiellement privés (DP) passent de la théorie à la pratique, un défi critique demeure : comment vérifier de manière fiable, à l'aide d'observations empiriques finies, qu'un algorithme d'apprentissage satisfait réellement ses garanties de confidentialité revendiquées. Bien qu'une littérature extensive existe sur l'audit de la DP pure et approximative $(\epsilon, \delta)$, les fondements théoriques pour l'audit de la Privacité Différentielle de Rényi (RDP) restent incomplets.

Les méthodes d'audit en boîte noire existantes reposent souvent sur des constructions d'attaques spécifiques (par exemple, inférence de membre, empoisonnement de données) ou des approximations asymptotiques. Ces approches manquent fréquemment de garanties à échantillon fini qui séparent proprement l'erreur d'estimation statistique de la fuite de confidentialité algorithmique. Par conséquent, il est incertain avec quelle précision les paramètres RDP peuvent être estimés à partir d'échantillons finis, si les méthodes existantes sont optimales, et comment l'erreur d'audit évolue avec la complexité du modèle. Cet article comble le manque de garanties rigoureuses, non asymptotiques et informationnellement optimales pour l'audit de la RDP dans un cadre en boîte noire.

2. Méthodologie

Les auteurs proposent un nouveau cadre d'audit basé sur les tests d'hypothèses qui estime directement la divergence de Rényi entre les exécutions voisines d'un algorithme d'apprentissage automatique.

2.1 Cadre central : Divergence variationnelle de Rényi

La méthode utilise la représentation variationnelle Donsker–Varadhan (DV) de la divergence de Rényi. Au lieu de s'appuyer sur des attaques spécifiques, les auteurs formulent l'audit de confidentialité comme un problème d'estimation statistique :

• Objectif : Estimer (ou certifier une borne inférieure sur) la divergence de Rényi $D_\alpha(P \| Q)$ entre les distributions de sortie $P$ et $Q$ d'un mécanisme évalué sur des ensembles de données voisins.
• Estimateur : Les auteurs emploient un estimateur variationnel basé sur un réseau de neurones. Ils définissent une classe de fonctions (critiques) $\Gamma_\Theta$ paramétrée par un réseau de neurones $T_\theta$. L'estimateur maximise l'objectif variationnel :
  $$R_\Theta^\alpha(Q \| P) = \sup_{\theta \in \Theta} \left\{ \frac{1}{\alpha-1} \log \mathbb{E}_Q[e^{(\alpha-1)T_\theta}] - \frac{1}{\alpha} \log \mathbb{E}_P[e^{\alpha T_\theta}] \right\}$$
• Implémentation : L'estimation est effectuée par descente de gradient stochastique avec mini-lots et une Moyenne Mobile Exponentielle (EMA) pour assurer la stabilité numérique, en particulier pour les ordres plus élevés de $\alpha$.

2.2 Protocole d'audit en boîte noire

Dans le cadre en boîte noire, un adversaire ne peut qu'insérer un « canari » d'entrée et observer le modèle final entraîné. La procédure d'audit (Algorithme 3) implique :

1. Initialisation au pire cas : Suivant [31], les auteurs conçoivent des paramètres de modèle initiaux au pire cas (via un pré-entraînement) pour maximiser la sensibilité du processus d'entraînement à la présence du canari.
2. Entraînement : Le modèle est entraîné deux fois en utilisant la DP-SGD : une fois avec le canari ($D'$) et une fois sans ($D$).
3. Observation : L'auditeur collecte les valeurs de perte (ou d'autres sorties) pour le canari à partir des deux modèles entraînés.
4. Estimation : L'estimateur DV calcule la divergence de Rényi entre les distributions de perte des deux modèles.

2.3 Garanties statistiques

L'article dérive des intervalles de confiance explicites et non asymptotiques pour l'estimateur basé sur DV sur des classes de critiques restreintes. En traitant l'audit comme un test d'hypothèse, la méthode convertit les preuves empiriques en certificats de violation de confidentialité avec une erreur de type I contrôlée.

3. Contributions clés

3.1 Premier audit direct de la RDP

Les auteurs sont les premiers à auditer directement la privacité différentielle de Rényi, établissant une méthode en boîte noire de l'état de l'art pour estimer la divergence de Rényi entre les sorties de mécanismes d'ensembles de données voisins. Contrairement aux travaux antérieurs qui convertissent entre des notions de confidentialité (par exemple, $\mu$-GDP vers RDP), cette approche estime la divergence directement.

3.2 Intervalles de confiance non asymptotiques et optimalité

L'article fournit des garanties théoriques rigoureuses :

• Bornes à échantillon fini : Le théorème 3.2 établit des intervalles de confiance explicites et non asymptotiques pour l'estimateur de Rényi DV restreint à une classe. Ces bornes séparent l'erreur d'estimation statistique de la véritable fuite de confidentialité.
• Optimalité minimax : Le théorème 3.3 prouve des bornes inférieures minimax correspondantes. Les auteurs montrent que, à des facteurs logarithmiques près, leurs garanties de complexité d'échantillon sont informationnellement optimales. Aucun estimateur ne peut estimer uniformément l'objectif de population DV avec une précision supérieure étant donné la même taille d'échantillon et les mêmes contraintes de classe de critiques.

3.3 Validation empirique

Le cadre est mis en œuvre pour l'audit de la DP-SGD sur les ensembles de données MNIST et CIFAR-10. Les résultats démontrent que les auditeurs proposés produisent des améliorations significatives sur les bornes inférieures empiriques de la RDP par rapport aux méthodes en boîte noire précédentes de l'état de l'art, en particulier aux petits et moyens ordres de Rényi ($\alpha \in (1, 2]$) où l'audit précis est le plus difficile.

4. Résultats

• Performance : À travers divers régimes de confidentialité et ensembles de données, l'estimateur DV-Rényi produit des bornes inférieures empiriques plus serrées que la méthode en boîte noire actuelle de l'état de l'art (SOTA) [31].
• Sensibilité : Les améliorations sont les plus prononcées aux petits budgets de confidentialité (petit $\epsilon_\alpha$), où les méthodes précédentes souffrent souvent d'une saturation prématurée ou d'une variance élevée.
• Robustesse : La méthode reste stable même sous des initialisations au pire cas, conçues pour maximiser la détectabilité de la fuite de confidentialité.
• Alignement théorique : Les tendances expérimentales s'alignent sur l'analyse théorique, confirmant que des ensembles de données plus petits (augmentant l'impact relatif du canari) conduisent à des audits plus serrés, tandis que des normes de troncature plus grandes (injectant plus de bruit) réduisent la détectabilité.

5. Importance et affirmations

L'article prétend établir les premières garanties optimales pour l'audit de la RDP via des estimateurs DV. Son importance réside dans :

1. Rigueur fondamentale : Le passage au-delà des attaques heuristiques vers un cadre statistique principiel avec des intervalles de confiance à échantillon fini.
2. Limites informationnelles : La caractérisation des limites statistiques fondamentales de l'audit RDP, montrant que la méthode proposée atteint l'optimalité minimax.
3. Utilité pratique : Fournir un outil qui produit des audits de confidentialité plus précis et robustes pour les systèmes déployés, en particulier dans les régimes où l'audit précis est difficile.

Les auteurs notent que, bien que leur méthode soit optimale à des facteurs logarithmiques près, des améliorations supplémentaires sont fondamentalement limitées par des contraintes informationnelles. Les directions de travail futur identifiées incluent l'extension de ces garanties aux cadres interactifs et distribués, et l'exploration de formules variationnelles alternatives pour de plus grandes valeurs de $\alpha$.