💻 computer science

Privacy Auditing with Zero (0) Training Run

यह शोध पत्र Zero-Run को प्रस्तुत करता है, जो एक पोस्ट-हॉक प्राइवेसी ऑडिटिंग फ्रेमवर्क है जो ज्ञात मेंबर और नॉन-मेंबर डेटासेट्स के बीच डिस्ट्रीब्यूशन शिफ्ट को ठीक करने के लिए कॉज़ल इन्फरेंस (causal inference) का उपयोग करके, बिना रिट्रेनिंग के बड़े पैमाने के मॉडल्स में डिफरेंशियल प्राइवेसी के अनुभवजन्य मूल्यांकन को सक्षम बनाता है।

मूल लेखक: Tudor Cebere, Mathieu Even, Linus Bleistein, Aurélien Bellet

प्रकाशित 2026-05-15

📖 6 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Tudor Cebere, Mathieu Even, Linus Bleistein, Aurélien Bellet

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

यहाँ "जीरो (0) ट्रेनिंग रन के साथ प्राइवेसी ऑडिटिंग" (Privacy Auditing with Zero (0) Training Run) पेपर का सरल भाषा और रोजमर्रा के उदाहरणों के साथ विवरण दिया गया है।

बड़ी समस्या: "ब्लैक बॉक्स" का रहस्य

कल्पना कीजिए कि एक विशाल, सुपर-स्मार्ट AI मॉडल (एक विशाल मस्तिष्क की तरह) है जिसे लाखों निजी दस्तावेजों, तस्वीरों या मेडिकल रिकॉर्ड पर प्रशिक्षित (train) किया गया है। हम जानना चाहते हैं: क्या इस AI ने अनजाने में कुछ विशिष्ट निजी रहस्य याद कर लिए हैं?

अतीत में, इसकी जाँच करने के लिए, सुरक्षा विशेषज्ञों को "प्रयोग को दोबारा करने" का खेल खेलना पड़ता था। वे कहते थे, "आइए AI को फिर से प्रशिक्षित करें, लेकिन इस बार उस एक गुप्त दस्तावेज़ के बिना। फिर आइए इसे उस दस्तावेज़ के साथ प्रशिक्षित करें। यदि AI अलग तरह से व्यवहार करता है, तो हमें पता चल जाएगा कि इसने उस रहस्य को याद कर लिया है।"

समस्या: आधुनिक AI के लिए यह असंभव है। इन मॉडलों को प्रशिक्षित करने में हजारों सुपरकंप्यूटर हफ्तों तक चलते हैं। जब भी आप प्राइवेसी लीक की जाँच करना चाहें, तो आप हर बार प्रशिक्षण को "दोबारा नहीं चला" सकते। यह एक शेफ से यह पूछने जैसा है कि हर बार नमक चखने के लिए वह शुरू से 10-कोर्स का भोजन क्यों बनाए।

नया समाधान: "जीरो-रन" ऑडिटिंग

यह पेपर "जीरो-रन ऑडिटिंग" नामक प्राइवेसी लीक की जाँच करने का एक नया तरीका पेश करता है।

भोजन को दोबारा पकाने के बजाय, ऑडिटर (जांचकर्ता) सीधे तैयार डिश (रिलीज़ किए गए AI मॉडल) को चखता है और इसकी तुलना उन सामग्रियों की सूची से करता है जिन्हें वे जानते हैं कि उपयोग किया गया था (ट्रेनिंग डेटा) और उन सामग्रियों की सूची से जो वे जानते हैं कि उपयोग नहीं की गई थीं (वह डेटा जो कभी देखा ही नहीं गया)।

पेंच: पुराने तरीके में, "सामग्री" (डेटा) रैंडम थी, जैसे ताश के पत्तों को फेंटना। इस नए तरीके में, "ज्ञात उपयोग की गई" सामग्री और "ज्ञात अप्रयुक्त" सामग्री एक-दूसरे से बहुत अलग दिख सकती हैं।

उदाहरण: कल्पना कीजिए कि AI को पूडल (सदस्यों/members) की तस्वीरों पर प्रशिक्षित किया गया था। ऑडिटर टेस्ट करने के लिए गोल्डन रिट्रीवर (गैर-सदस्यों/non-members) की तस्वीरें लाता है।
यदि AI पूडल के लिए "पूडल!" कहता है और गोल्डन रिट्रीवर के लिए "कुत्ता!" कहता है, तो क्या यह इसलिए है क्योंकि AI ने पूडल को याद कर लिया? या इसलिए क्योंकि पूडल और गोल्डन रिट्रीवर एक-दूसरे से बहुत अलग दिखते हैं?
पेपर इसे डिस्ट्रीब्यूशन शिफ्ट (Distribution Shift) कहता है। यह एक "कन्फाउंडिंग फैक्टर" (confounding factor) है—एक भटकाव जो AI को ऐसा दिखा सकता है जैसे वह रहस्य लीक कर रहा है, जबकि वह केवल डेटा के स्पष्ट अंतर के प्रति प्रतिक्रिया दे रहा होता है।

उपमा: जासूस और संदिग्ध

AI को एक जासूस और डेटा पॉइंट्स को संदिग्धों के रूप में सोचें।

पुराना तरीका (इंटरवेंशनल): जासूस को एक लाइनअप दिया जाता है जहाँ संदिग्धों को रैंडम तरीके से "दोषी" या "निर्दोष" असाइन किया जाता है। यदि जासूस "दोषी" वालों को सही पहचान लेता है, तो हमें पता चल जाता है कि उसके पास अंदरूनी जानकारी (लीकेज) है।
नया तरीका (ऑब्जर्वेशनल/जीरो-रन): जासूस को एक लाइनअप दिया जाता है जहाँ "दोषी" संदिग्ध सभी लंबे हैं और "निर्दोष" संदिग्ध सभी छोटे हैं।
- यदि जासूस लंबे लोगों को "दोषी" चुनता है, तो क्या उसने अंदरूनी जानकारी का उपयोग किया? या उसने सिर्फ ऊंचाई के आधार पर अनुमान लगाया?
- पेपर कहता है: हमें ऊंचाई के लिए सुधार (correct) करने की आवश्यकता है।

पेपर इसे कैसे ठीक करता है: "प्रोपेंसिटी स्कोर" (Propensity Score)

लेखक सांख्यिकी (statistics) की एक अवधारणा का उपयोग करते हैं जिसे प्रोपेंसिटी स्कोर कहा जाता है। हमारे जासूस वाली उपमा में, यह एक "हाइट कैलकुलेटर" (ऊंचाई कैलकुलेटर) है।

जासूस के अनुमान लगाने से पहले, ऑडिटर गणना करता है: "केवल इस व्यक्ति की ऊंचाई के आधार पर, वास्तव में दोषी होने की संभावना क्या है?"

यदि कोई संदिग्ध बहुत लंबा है, तो कैलकुलेटर कहता है, "सिर्फ इसलिए कि वह लंबा है, उसके दोषी होने की 90% संभावना है।"
यदि जासूस अभी भी इस व्यक्ति के लिए "दोषी" का अनुमान लगाता है, तो ऑडिटर कहता है, "ठीक है, आपने इसे सही पहचाना, लेकिन उस अनुमान का 90% क्रेडिट ऊंचाई को जाता है, न कि आपके जासूसी कौशल को।"
ऑडिटर फिर उस अनुमान को कम (discount) कर देता है। वे केवल उस हिस्से को गिनते हैं जिसे अकेले ऊंचाई द्वारा नहीं समझाया जा सकता था।

पेपर इस गणित को करने के दो तरीके प्रस्तावित करता है:

ग्लोबल करेक्शन (Global Correction): एक रूढ़िवादी दृष्टिकोण जो "ऊंचाई" के अंतर के लिए सबसे खराब स्थिति (worst-case scenario) को मानकर चलता है। यह सुरक्षित है लेकिन कुछ लीक्स को मिस कर सकता है।
पॉइंटवाइज करेक्शन (Pointwise Correction): एक अधिक सटीक दृष्टिकोण जो प्रत्येक संदिग्ध को व्यक्तिगत रूप से देखता है। यह गणना करता है कि उस विशिष्ट अनुमान को कितने "ऊंचाई" (डिस्ट्रीब्यूशन शिफ्ट) ने प्रभावित किया और उसे हटा देता है। यह वास्तविक प्राइवेसी लीकेज की बहुत अधिक सटीक तस्वीर देता है।

परिणाम: उन्होंने क्या पाया

लेखकों ने इसकी जाँच की:

नकली डेटा (Fake Data): उन्होंने एक परिदृश्य बनाया जहाँ वे जानते थे कि AI कितना लीक कर रहा है। उन्होंने दिखाया कि उनके सुधार के बिना, ऑडिट गलत तरीके से AI पर बहुत अधिक लीक करने का आरोप लगाएगा। उनके सुधार के साथ, ऑडिट सटीक था।
वास्तविक डेटा (WildCam): उन्होंने वन्यजीव छवियों के एक वास्तविक दुनिया के डेटासेट पर इसका परीक्षण किया। प्रकृति में, "मेंबर्स" (प्रशिक्षण के दौरान देखे गए जानवर) और "नॉन-मेंबर्स" (बाद में देखे गए जानवर) मौसम या स्थान के कारण स्वाभाविक रूप से अलग दिखते हैं।
- सुधार के बिना, ऑडिट विफल हो गया या बेकार परिणाम दिए क्योंकि "मौसमी बदलाव" (seasonal shift) एक प्राइवेसी लीक की तरह दिखने लगा।
- उनके जीरो-रन सुधार के साथ, वे वास्तविक प्राइवेसी लीकेज को सफलतापूर्वक मापने में सफल रहे, जिससे साबित हुआ कि अव्यवस्थित, वास्तविक दुनिया के डेटा के साथ भी आप मॉडल को फिर से प्रशिक्षित किए बिना AI का ऑडिट कर सकते हैं।

मुख्य निष्कर्ष (The Bottom Line)

यह पेपर ऑडिटर्स को एक टूलकिट प्रदान करता है जिससे वे यह जाँच सकें कि एक विशाल AI मॉडल ने निजी रहस्य लीक किए हैं या नहीं, बिना मॉडल को फिर से प्रशिक्षित किए।

यह "अनुचित तुलनाओं" की समस्या को हल करता है, जो गणितीय रूप से उस स्पष्ट अंतर को हटा देता है जो AI द्वारा देखे गए डेटा और न देखे गए डेटा के बीच होता है। यह नियामकों और शोधकर्ताओं को AI कंपनियों को प्राइवेसी के लिए जवाबदेह ठहराने की अनुमति देता है, भले ही वे कंपनियां ऑडिटरों को अपने ट्रेनिंग पाइपलाइन को छूने की अनुमति न दें।

संक्षेप में: आपको खिड़कियां लॉक हैं या नहीं, यह जांचने के लिए घर को फिर से बनाने की आवश्यकता नहीं है; आपको बस दिन के समय और मौसम को ध्यान में रखते हुए, खिड़कियों से आने वाली रोशनी को देखने का एक बेहतर तरीका चाहिए।

तकनीकी सारांश: शून्य (0) ट्रेनिंग रन के साथ गोपनीयता ऑडिटिंग (Privacy Auditing)

1. समस्या विवरण (Problem Statement)

लर्निंग एल्गोरिदम के डिफरेंशियल प्राइवेसी (DP) मापदंडों के निचले स्तर (lower bounds) को अनुभवजन्य रूप से स्थापित करने के लिए गोपनीयता ऑडिटिंग आवश्यक है, जो सैद्धांतिक गारन्टी का पूरक है। हालाँकि, मौजूदा ऑडिटिंग विधियाँ (जैसे Multi-Run और One-Run) ट्रेनिंग पाइपलाइन तक हस्तक्षेपकारी पहुँच (interventional access) पर निर्भर करती हैं। उन्हें या तो रैंडमाइज्ड डेटा डालने के साथ मॉडल को कई बार फिर से प्रशिक्षित करने की आवश्यकता होती है या रैंडमाइज्ड मेंबरशिप इंडिकेटर्स के साथ एल्गोरिदम को एक बार निष्पादित करने की आवश्यकता होती है।

यह हस्तक्षेप की आवश्यकता बड़े पैमाने पर तैनात फाउंडेशन मॉडल्स (जैसे Large Language Models) के लिए ऑडिटिंग को अव्यवहारिक बना देती है क्योंकि:

कंप्यूटेशनल निषेध (Computational Prohibitions): मॉडल को फिर से प्रशिक्षित करना या ट्रेनिंग पाइपलाइनों को पुन: निष्पादित करना हजारों GPU दिनों की खपत करता है।
लॉजिस्टिक बाधाएं (Logistical Barriers): आंतरिक डेटा पाइपलाइनों तक पहुँच और डेटा समावेश को रैंडमाइज करने की क्षमता अक्सर ब्लैक-बॉक्स डिप्लॉयमेंट में उपलब्ध नहीं होती है।
जवाबदेही अंतराल (The Accountability Gap): जो सिस्टम सबसे अधिक गोपनीयता जोखिम पैदा करते हैं, वे स्वतंत्र मूल्यांकन से सबसे अधिक सुरक्षित (insulated) होते हैं, जिससे सत्यापन के बजाय केवल विश्वास पर निर्भरता बनी रहती है।

इसके अलावा, बिना हस्तक्षेप के (ज्ञात सदस्यों और गैर-सदस्यों के स्थिर डेटासेट का उपयोग करके) ऑडिट करने का एक सरल प्रयास विफल हो जाता है क्योंकि यह कन्फाउंडिंग डिस्ट्रीबशन शिफ्ट (confounding distribution shifts) को पेश करता है। यदि सदस्य और गैर-सदस्य डेटासेट अलग-अलग अंतर्निहित वितरण ( $P_1 \neq P_0$ ) का पालन करते हैं, तो एक मेंबरशिप इन्फरेंस अटैक (MIA) एल्गोरिथमिक लीकेज के बजाय इन वितरण संबंधी अंतरों का फायदा उठाकर सफल हो सकता है, जिससे गलत पॉजिटिव परिणाम और अमान्य गोपनीयता सीमाएँ प्राप्त होती हैं।

2. कार्यप्रणाली: ज़ीरो-रन ऑडिटिंग (Methodology: Zero-Run Auditing)

लेखक ज़ीरो-रन ऑडिटिंग का प्रस्ताव करते हैं, जो एक पोस्ट-हॉक फ्रेमवर्क है जो गोपनीयता ऑडिटिंग को एक ऑब्जर्वेशनल इन्फरेंस समस्या (observational inference problem) के रूप में मानता है, जो कॉज़ल इन्फरेंस (causal inference) के समान है। यह फ्रेमवर्क एल्गोरिदम या डेटा पाइपलाइन को संशोधित किए बिना संचालित होता है, और केवल मॉडल के आउटपुट और दो निश्चित डेटासेट्स पर निर्भर करता है:

$D_1$ (सदस्य/Members): प्रशिक्षण डेटा का एक उपसमूह (या ज्ञात प्री-ट्रेनिंग डेटा)।
$D_0$ (गैर-सदस्य/Non-members): एक डेटासेट जो ज्ञात रूप से प्रशिक्षण से बाहर रखा गया है (जैसे पोस्ट-ट्रेनिंग डेटा या सिंथेटिक नमूने)।

यह फ्रेमवर्क चार चरणों में आगे बढ़ता है:

अवलोकन (Observation): ऑडिटर मॉडल आउटपुट $\theta = A(D_{train})$ और ऑब्जर्वेशनल डेटा $\{X_i\} = D_1 \cup D_0$ को देखता है।
मेंबरशिप इन्फरेंस (Membership Inference): एक मानक MIA प्रत्येक $X_i$ के लिए रॉ गेस (raw guesses) $T_i \in \{-1, 0, 1\}$ उत्पन्न करता है।
प्रोपेंसिटी एस्टीमेशन (Propensity Estimation): ऑडिटर एक प्रोपेंसिटी स्कोर $\hat{\pi}(X_i) \approx P(S_i=1 | X_i)$ का अनुमान लगाता है, जो यह दर्शाता है कि केवल अपने फीचर्स के आधार पर किसी डेटा पॉइंट के सदस्य होने की संभावना क्या है। यह संरचनात्मक चयन की संभावना को एल्गोरिथमिक सिग्नल से अलग करता है।
सुधार (Correction): फ्रेमवर्क डिस्ट्रीब्यूशन शिफ्ट को एल्गोरिथमिक लीकेज से अलग करने के लिए दो पूरक दृष्टिकोणों का उपयोग करके सुधार लागू करता है।

सुधार दृष्टिकोण (Correction Approaches)

पेपर डिस्ट्रीबशन शिफ्ट के कन्फाउंडिंग प्रभाव को ठीक करने के लिए दो विधियों को औपचारिक रूप देता है:

ग्लोबल करेक्शन (एडेप्टिव कंपोजिशन):
- यह देखे गए लीकेज को दो तंत्रों के एडेप्टिव कंपोजिशन के रूप में मॉडल करता है: एक डिस्ट्रीब्यूशन-शिफ्ट तंत्र ( $M_{DS}$ ) और ऑडिट किया गया एल्गोरिदम ( $A$ )।
- कुल लीकेज को $f_{Tot} = f \otimes f_{DS}$ के रूप में मानता है, जहाँ $\otimes$ ट्रेड-ऑफ फंक्शन का टेंसर प्रोडक्ट है।
- परिणाम: रूढ़िवादी (conservative) ग्लोबल बाउंड्स प्रदान करता है। यह सभी डेटा पॉइंट्स पर सबसे खराब स्थिति वाले डिस्ट्रीब्यूशन शिफ्ट लीकेज को मानता है, जिससे सांख्यिकीय शक्ति (statistical power) का नुकसान हो सकता है यदि शिफ्ट हेटेरोजेनियस है।
कंडीशनल करेक्शन (पॉइंटवाइज़ ऑडिटिंग):
- यह देखे गए उदाहरणों $X_i$ पर आधारित (condition) होता है। यह पहचानता है कि डिस्ट्रीब्यूशन शिफ्ट का इन्फरेंस में योगदान स्थानीय (local) होता है, जिसे लॉग-ऑड्स $\epsilon_{DS}(x_i) = |\log \pi(x_i) - \log(1-\pi(x_i))|$ द्वारा परिभाषित किया जाता है।
- टैम्परिंग मैकेनिज्म (Tampering Mechanism): डिस्ट्रीब्यूशन शिफ्ट से अत्यधिक ओवरकॉन्फिडेंस को रोकने के लिए, फ्रेमवर्क MIA गेस के साथ "टैम्परिंग" करता है। एक ऐसे उदाहरण के लिए जिसका प्रोपेंसिटी स्कोर अत्यधिक असंतुलित है (जैसे, $\pi(x) \approx 1$ ), एक सही गेस एल्गोरिथमिक लीकेज का कम संकेत देता है। फ्रेमवर्क ऐसे गेस को कम संभावना $b_i$ के साथ बनाए रखता है, जो प्रभावी रूप से रैंडमाइज्ड एब्स्टेंशन (abstention) है।
- परिणाम: यह शार्प, इंस्टेंस-डिपेंडेंट बाउंड्स प्रदान करता है जो ग्लोबल वर्स्ट-केस अप्रोच के गंभीर दंड के बिना डिस्ट्रीब्यूशन शिफ्ट के प्रति मजबूत (robust) हैं।

अनिश्चितता का परिमाणन (Uncertainty Quantification)

चूंकि प्रोपेंसिटी स्कोर डेटा से अनुमानित किए जाने चाहिए, इसलिए फ्रेमवर्क अनिश्चितता को मापने के लिए बूटस्ट्रैपिंग (bootstrapping) को शामिल करता है। प्रोपेंसिटी एस्टीमेशन डेटासेट को पुन: सैंपल करके, यह विधि एस्टीमेशन एरर को ध्यान में रखते हुए अनुभवजन्य निचले स्तर (empirical lower bounds) प्रदान करती है, जिससे यह सुनिश्चित होता है कि अंतिम ऑडिट उच्च संभावना के साथ वैध रहे।

3. मुख्य योगदान (Key Contributions)

ज़ीरो-रन ऑडिटिंग का औपचारिककरण: पेपर एक पोस्ट-हॉक ऑडिटिंग व्यवस्था को परिभाषित करता है जहाँ मेंबरशिप को रैंडमाइज नहीं किया जाता है। यह प्रदर्शित करता है कि बिना सुधार के ऐसे डेटा पर ऑडिट करने से लीकेज का अति-अनुमान (overestimate) होता है और यह स्पष्ट रूप से इस सेटिंग को ऑब्जर्वेशनल कॉज़ल इन्फरेंस से जोड़ता है, जिसके लिए सदस्य और गैर-सदस्य वितरणों के बीच "ओवरलैप" (positivity) धारणा की आवश्यकता होती है।
लीकेज करेक्शन फ्रेमवर्क:
- एक कंपोजिशन व्यूप्वाइंट जो एडेप्टिव कंपोजिशन के माध्यम से डिस्ट्रीब्यूशन शिफ्ट को एल्गोरिथमिक लीकेज से डीकन्वोल्यूट (deconvolve) करता है।
- एक कंडीशनल व्यूप्वाइंट जो प्रोपेंसिटी स्कोर के आधार पर पॉइंटवाइज़ मेंबरशिप गेस को एडजस्ट करता है, जिससे मजबूत, शिफ्ट-डिपेंडेंट करेक्शन प्राप्त होता है।
अनिश्चितता का परिमाणन: प्रोपेंसिटी स्कोर एस्टीमेशन में त्रुटियों को ध्यान में रखते हुए सांख्यिकीय रूप से वैध लोअर बाउंड्स प्रदान करने के लिए बूटस्ट्रैपिंग का एकीकरण।
स्केलेबिलिटी: यह प्रदर्शन कि गोपनीयता ऑडिट उन बड़े, तैनात मॉडल्स पर भी किए जा सकते हैं जहाँ रिट्रेनिंग कम्प्यूटेशनल या लॉजिस्टिक रूप से असंभव है।

4. प्रयोगात्मक परिणाम (Experimental Results)

लेखक सिंथेटिक डेटा और वास्तविक दुनिया के बेंचमार्क (iWildCam) पर ज़ीरो-रन ऑडिटिंग का मूल्यांकन करते हैं:

सिंथेटिक डेटा: बढ़ते डिस्ट्रीब्यूशन शिफ्ट मैग्नीट्यूड के तहत, स्टैंडर्ड वन-रन ऑडिट (शिफ्ट को अनदेखा करते हुए) अमान्य बाउंड्स उत्पन्न करता है। ग्लोबल करेक्शन वर्स्ट-केस पेनल्टी के कारण तेजी से सांख्यिकीय शक्ति खो देता है। इसके विपरीत, प्रोपेंसिटी-अवेयर कंडीशनल करेक्शन शिफ्ट स्तरों के बावजूद सूचनात्मक, अपेक्षाकृत फ्लैट अनुभवजन्य बाउंड्स बनाए रखता है।
वास्तविक दुनिया का डेटा (iWildCam): गंभीर प्राकृतिक डिस्ट्रीबशन शिफ्ट (भौगोलिक/पर्यावरणीय) की उपस्थिति में, ग्लोबल और प्रोपेंसिटी-अनअवेयर विधियाँ नॉन-पॉजिटिव (बेकार) बाउंड्स देती हैं। प्रोपेंसिटी-अवेयर कंडीशनल करेक्शन सफलतापूर्वक आउट-ऑफ-डिस्ट्रीब्यूशन (OOD) डेटा के लिए एक वैध प्राइवेसी लोअर बाउंड ( $\hat{\mu} = 0.645$ ) निकालता है, जो एक आदर्श IID स्प्लिट ( $\hat{\mu} = 0.652$ ) द्वारा प्राप्त बाउंड के करीब है।
लागत (Cost): ज़ीरो-रन अप्रोच आदर्श वन-रन ऑडिटिंग की तुलना में $\approx 1$ यूनिट का पेनल्टी $\mu$ -GDP मेट्रिक में उठाता है, जो प्रोपेंसिटी स्कोर एस्टीमेशन और अनिश्चितता परिमापन की लागत के कारण है।

5. महत्व और दावे (Significance and Claims)

पेपर दावा करता है कि पोस्ट-हॉक प्राइवेसी ऑडिटिंग संभव है लेकिन इसे एक ऑब्जर्वेशनल इन्फरेंस समस्या के रूप में माना जाना चाहिए। मुख्य महत्व यहाँ है:

जवाबदेही अंतराल को पाटना: नियामकों और शोधकर्ताओं को फाउंडेशन मॉडल्स के लिए गोपनीयता गारन्टी को सत्यापित करने के लिए उपकरण प्रदान करना, बिना प्रशिक्षण बुनियादी ढांचे तक पहुँच की आवश्यकता के।
कॉज़ल एनालॉजी: गोपनीयता ऑडिटिंग के क्षेत्र में कॉज़ल इन्फरेंस सिद्धांतों (प्रोपेंसिटी स्कोर, कन्फाउंडिंग एडजस्टमेंट) को सफलतापूर्वक लागू करना।
व्यावहारिकता: उन परिदृश्यों में गोपनीयता मूल्यांकन को सक्षम बनाना जहाँ सैद्धांतिक गारन्टी अस्पष्ट है और प्रयोगात्मक पुन: निष्पादन असंभव है।

लेखक विनम्र रहते हुए सीमाओं को स्वीकार करते हैं:

प्रोपेंशियल एस्टीमेशन: फ्रेमवर्क सटीक प्रोपेंसिटी स्कोर एस्टीमेशन पर निर्भर करता है, जो हाई-डायमेंशनल, सीमित-सैंपल सेटिंग्स में चुनौतीपूर्ण है।
विरासत में मिली सीमाएँ: ज़ीरो-रन ऑडिटिंग, वन-रन विधियों की सीमित-सैंपल अक्षमताओं को विरासत में लेती है और यह बेसलाइन स्ट्रेंथ (MIA की ताकत) पर निर्भर है।
असत्यता (Falsifiability): हालांकि ऑडिट वैध है, प्रोपेंसिटी स्कोर बाउंड्स को औपचारिक रूप से प्रमाणित नहीं किया जा सकता; यह एडवरसेरियल टेस्टिंग के माध्यम से कम्प्यूटेशनल रूप से फाल्सीफिएबल है लेकिन अनुभवजन्य सत्यापन पर निर्भर है।

निष्कर्षतः, पेपर यह स्थापित करता है कि डिस्ट्रीब्यूशन शिफ्ट एक अलग स्रोत है जो मेंबरशिप जानकारी प्रदान करता है जिसे मापा और सुधारा जाना चाहिए। प्रोपेंसिटी स्कोर का उपयोग करके, ज़ीरो-रन ऑडिटिंग इन कन्फाउंडिंग कारकों को एल्गोरिथमिक प्राइवेसी लीकेज पर वैध अनुभवजन्य निचले स्तरों में बदल देता है।