🔢 mathematics

Optimal Guarantees for Auditing Rényi Differentially Private Machine Learning

यह शोध पत्र रेनी डिफरेंशियल प्राइवेसी (Rényi differential privacy) के लिए एक इष्टतम ब्लैक-बॉक्स ऑडिटिंग फ्रेमवर्क प्रस्तुत करता है जो नॉन-एसिम्प्टोटिक कॉन्फिडेंस इंटरवल्स प्रदान करने के लिए डॉन्स्कर-वरियाडन एस्टिमेटर्स (Donsker-Varadhan estimators) का उपयोग करता है और सूचना-सैद्धांतिक रूप से इष्टतम सैंपल कॉम्प्लेक्सिटी प्राप्त करता है, जो DP-SGD के ऑडिटिंग में अत्याधुनिक विधियों पर श्रेष्ठ अनुभवजन्य प्रदर्शन प्रदर्शित करता है।

मूल लेखक: Benjamin D. Kim, Lav R. Varshney, Daniel Alabi

प्रकाशित 2026-05-22

📖 5 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Benjamin D. Kim, Lav R. Varshney, Daniel Alabi

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

कल्पना कीजिए कि आपने लोगों के एक बड़े समूह के लिए भोजन पकाने के लिए एक शेफ को काम पर रखा है, और यह वादा किया है कि रेसिपी "गुप्त" (secret) है। शेफ दावा करता है, "मैंने यह सुनिश्चित करने के लिए एक विशेष तकनीक का उपयोग किया है जिसे रेनी डिफरेंशियल प्राइवेसी (Rényi Differential Privacy - RDP) कहा जाता है, कि कोई भी यह पता न लगा सके कि बर्तन में कोई विशिष्ट सामग्री (जैसे केसर का एक चुटकी) थी या नहीं।"

अब, आप इस दावे को सत्यापित करना चाहते हैं। आप शेफ की गुप्त नोटबुक नहीं देख सकते (यह "व्हाइट-बॉक्स" ऑडिट होगा)। आपको केवल तैयार सूप का स्वाद मिलता है (यह "ब्लैक-बॉक्स" ऑडिट है)। आपका लक्ष्य यह पता लगाना है कि: यह कितनी संभावना है कि शेफ ने वास्तव में रहस्य को सुरक्षित रखा है?

यह शोध पत्र इन गोपनीयता दावों का ऑडिट करने के लिए एक नया, अत्यधिक सटीक "टेस्ट टेस्ट" (tasting test) पेश करता है। यह कैसे काम करता है, इसे सरल अवधारणाओं में यहाँ दिया गया है:

1. समस्या: रहस्य का अनुमान लगाना

गोपनीयता परीक्षण करने के तरीके पिछले तरीकों की तरह थे जो सूप के रंग या बनावट को देखकर रेसिपी का अनुमान लगाने की कोशिश करते थे। वे अक्सर बहुत अस्पष्ट थे या विशिष्ट ट्रिक्स पर निर्भर थे (जैसे यह देखने के लिए कि क्या शेफ ने ध्यान दिया या नहीं, सूप में ज़हर मिलाने की कोशिश करना)। वे तरीके बड़ी गलतियों को खोजने में अच्छे थे, लेकिन वे यह सटीक गणितीय गारंटी देने में संघर्ष करते थे कि गोपनीयता वास्तव में कितनी मजबूत थी, खासकर जब गोपनीयता का वादा बहुत मजबूत हो।

2. समाधान: "टेस्ट-टेस्ट" परिकल्पना (The "Taste-Test" Hypothesis)

लेखक परिकल्पना परीक्षण (Hypothesis Testing) पर आधारित एक नया ढांचा प्रस्तावित करते हैं। इसे दो सूपों के बीच एक ब्लाइंड टेस्ट की तरह समझें:

सूप A: जिसमें गुप्त सामग्री (द "कैनरी") डाली गई है।
सूप B: जिसमें बिना गुप्त सामग्री के बनाया गया है।

यदि शेफ की गोपनीयता तकनीक सटीक है, तो सूप A और सूप B का स्वाद बिल्कुल एक जैसा होना चाहिए। यदि तकनीक कमजोर है, तो स्वाद में एक पता लगाने योग्य अंतर होगा।

शोध पत्र एक गणितीय उपकरण का उपयोग करता है जिसे डोंस्कर-वरियाकन (Donsker–Varadhan - DV) एस्टिमेटर कहा जाता है। इसे एक सुपर-स्मार्ट "फ्लेवर डिटेक्टर" (एक न्यूरल नेटवर्क) के रूप में कल्पना करें, जिसे दोनों सूपों के बीच के सूक्ष्म से सूक्ष्म अंतर को खोजने के लिए प्रशिक्षित किया गया है। केवल यह कहने के बजाय कि "उनका स्वाद अलग है," यह डिटेक्टर एक सटीक संख्या की गणना करता है जो यह दर्शाती है कि वे कितने अलग हैं। यह संख्या रेनी डायवर्जेंस (Rényi Divergence) है।

3. "गोल्ड स्टैंडर्ड" गारंटी

इस शोध पत्र की सबसे बड़ी सफलता केवल टेस्ट टेस्ट नहीं है; इसके पीछे की गणितीय गारंटी है।

पुराना तरीका: "हमें लगता है कि गोपनीयता अच्छी है, लेकिन हम 100% निश्चित नहीं हैं कि हमारे परीक्षण में कितनी त्रुटि हो सकती है।"
नया तरीका: लेखकों ने सिद्ध किया कि उनका तरीका सूचना-सैद्धांतिक रूप से इष्टतम (information-theoretically optimal) है।

उपमा: कल्पना कीजिए कि आप दो शहरों के बीच की दूरी मापने की कोशिश कर रहे हैं।

कुछ पैमाने लचीले होते हैं और एक रेंज देते हैं जैसे "शायद 10 मील, शायद 20 मील।"
लेखकों ने एक ऐसा पैमाना बनाया है जो गणितीय रूप से सिद्ध है कि वह सबसे छोटा संभव पैमाना है जो अभी भी सही उत्तर दे सकता है। उन्होंने सिद्ध किया कि कोई अन्य विधि समान मात्रा में डेटा के साथ इस दूरी को अधिक सटीकता से नहीं माप सकती है। उन्होंने माप के "शोर" (noise) को वास्तविक "लीकेज" (leakage) से अलग कर दिया।

4. उन्होंने इसका परीक्षण कैसे किया

उन्होंने अपने "फ्लेवर डिटेक्टर" का परीक्षण वास्तविक दुनिया के मशीन लर्निंग मॉडल (जैसे कि हाथ से लिखे नंबरों या बिल्लियों की तस्वीरों को पहचानने वाले मॉडल) पर किया।

उन्होंने एक "सबसे खराब स्थिति वाला परिदृश्य" (worst-case scenario) बनाया, जिसमें मॉडल को इस तरह से प्री-ट्रेन किया गया जिससे वे गुप्त सामग्री के प्रति अत्यंत संवेदनशील हो गए।
उन्होंने अपना ऑडिट चलाया और इसकी तुलना वर्तमान सर्वोत्तम तरीकों (State-of-the-Art) से की।
परिणाम: उनके तरीके ने बहुत अधिक सटीक (tight) गोपनीयता सीमाएं (bounds) पाईं। यह गोपनीयता वादे को पकड़ने के दौरान विशेष रूप से प्रभावी था जब गोपनीयता बजट बहुत सख्त (छोटा) होता है, जो ऑडिट करने का सबसे कठिन समय होता है।

5. इसका क्या अर्थ है (शोध पत्र के अनुसार)

शोध पत्र मुख्य रूप से तीन बातें दावा करता है:

अपनी तरह का पहला: यह इस विशिष्ट गणितीय दृष्टिकोण का उपयोग करके रेनी डिफरेंशियल प्राइवेसी का सीधे ऑडिट करने वाला पहला तरीका है।
सिद्ध इष्टतम (Proven Optimal): उन्होंने केवल यह अनुमान नहीं लगाया कि यह काम करता है; उन्होंने इस ऑडिट को करने के लिए भारी गणित का उपयोग किया और सिद्ध किया कि उनका तरीका एक छोटे से गणितीय कारक तक, सबसे अच्छा संभव तरीका है।
व्यवहार में बेहतर: जब उन्होंने वास्तव में कंप्यूटरों पर परीक्षण किए, तो उनके तरीके ने पिछले तरीकों की तुलना में गोपनीयता लीकेज पर बहुत अधिक सटीक और मजबूत निचली सीमाएं (lower bounds) दीं।

संक्षेप में: लेखकों ने AI मॉडल द्वारा रहस्यों को कितनी अच्छी तरह से सुरक्षित रखा जाता है, इसे मापने के लिए एक नया, गणितीय रूप से पूर्ण पैमाना बनाया है। उन्होंने सिद्ध किया है कि कोई भी व्यक्ति इस पैमाने से बेहतर पैमाना नहीं बना सकता, और उन्होंने दिखाया है कि वास्तविक AI मॉडल पर परीक्षण करने पर उनका पैमाना मौजूदा किसी भी पैमाने से बेहतर काम करता है।

तकनीकी सारांश: रेनी डिफरेंशियल प्राइवेसी मशीन लर्निंग के ऑडिटिंग के लिए इष्टतम गारंटी

1. समस्या विवरण

जैसे-जैसे डिफरेंशियल प्राइवेट (DP) मशीन लर्निंग सिस्टम सिद्धांत से व्यवहार की ओर बढ़ रहे हैं, एक महत्वपूर्ण चुनौती बनी हुई है: यह विश्वसनीय रूप से सत्यापित करना कि क्या कोई लर्निंग एल्गोरिदम वास्तव में अपने दावों के अनुसार गोपनीयता गारंटी (privacy guarantees) को पूरा करता है, और इसके लिए सीमित अनुभवजन्य अवलोकनों (empirical observations) का उपयोग कैसे किया जाए। जबकि शुद्ध और अनुमानित $(\epsilon, \delta)$ -DP पर व्यापक साहित्य मौजूद है, रेनी डिफरेंशियल प्राइवेसी (RDP) के ऑडिटिंग के लिए सैद्धांतिक आधार अभी भी अपूर्ण हैं।

मौजूदा ब्लैक-बॉक्स ऑडिटिंग विधियाँ अक्सर विशिष्ट हमलों के निर्माण (जैसे, मेंबरशिप इन्फरेंस, डेटा पॉइजनिंग) या स्पर्शोन्मुखी (asymptotic) सन्निकटन पर निर्भर करती हैं। ये दृष्टिकोण अक्सर उन परिमित-नमूना गारंटियों (finite-sample guarantees) की कमी रखते हैं जो सांख्यिकीय अनुमान त्रुटि (statistical estimation error) को एल्गोरिथम गोपनीयता रिसाव (algorithmic privacy leakage) से स्पष्ट रूप से अलग कर सकें। फलस्वरूप, यह स्पष्ट नहीं है कि परिमित नमूनों से RDP मापदंडों का अनुमान कितनी सटीकता से लगाया जा सकता है, क्या मौजूदा विधियाँ इष्टतम हैं, और मॉडल जटिलता के साथ ऑडिटिंग त्रुटि कैसे स्केल होती है। यह शोध पत्र ब्लैक-बॉक्स सेटिंग में RDP के ऑडिटिंग के लिए कठोर, गैर-स्पर्शोन्मुखी (non-asymptotic), और सूचना-सैद्धांतिक रूप से इष्टतम गारंटी प्रदान करने के अंतराल को संबोधित करता है।

2. कार्यप्रणाली

लेखक परिकल्पना परीक्षण (hypothesis testing) पर आधारित एक नया ऑडिटिंग ढांचा प्रस्तावित करते हैं जो सीधे पड़ोसी निष्Executions (neighboring executions) के बीच रेनी डाइवर्जेंस (Rényi divergence) का अनुमान लगाता है।

2.1 मुख्य ढांचा: वेरिएशनल रेनी डाइवर्जेंस

यह विधि रेनी डाइवर्जेंस के डॉन्स्कर-वरियाकन (Donsker–Varadhan - DV) वेरिएशनल प्रतिनिधित्व का उपयोग करती है। विशिष्ट हमलों पर भरोसा करने के बजाय, लेखक गोपनीयता ऑडिटिंग को एक सांख्यिकीय अनुमान समस्या के रूप में देखते हैं:

उद्देश्य: पड़ोसी डेटासेट पर मूल्यांकित किए गए तंत्र (mechanism) के आउटपुट वितरण $P$ और $Q$ के बीच रेनी डाइवर्जेंस $D_\alpha(P \| Q)$ का अनुमान लगाना (या निचला स्तर प्रमाणित करना)।
अनुमानक (Estimator): लेखक एक न्यूरल नेटवर्क-आधारित वेरिएशनल अनुमानक का उपयोग करते हैं। वे कार्यों का एक वर्ग (critics) $\Gamma_\Theta$ परिभाषित करते हैं जो एक न्यूरल नेटवर्क $T_\theta$ द्वारा पैरामीटराइज्ड है। अनुमानक वेरिएशनल ऑब्जेक्टिव को अधिकतम करता है:
$R_\Theta^\alpha(Q \| P) = \sup_{\theta \in \Theta} \left\{ \frac{1}{\alpha-1} \log \mathbb{E}_Q[e^{(\alpha-1)T_\theta}] - \frac{1}{\alpha} \log \mathbb{E}_P[e^{\alpha T_\theta}] \right\}$
कार्यान्वयन: अनुमान प्रक्रिया स्टोकैस्टिक ग्रेडिएंट डिसेंट, मिनी-बैचिंग और एक्सपोनेंशियल मूविंग एवरेज (EMA) के माध्यम से की जाती है ताकि उच्च क्रम के $\alpha$ के लिए संख्यात्मक स्थिरता सुनिश्चित की जा सके।

2.2 ब्लैक-बॉक्स ऑडिटिंग प्रोटोकॉल

ब्लैक-बॉक्स सेटिंग में, एक विरोधी केवल एक इनपुट "कैनरी" (canary) डाल सकता है और अंतिम प्रशिक्षित मॉडल को देख सकता है। ऑडिटिंग प्रक्रिया (एल्गोरिदम 3) में शामिल है:

वर्स्ट-केस इनिशियलाइजेशन: [31] का अनुसरण करते हुए, लेखक सबसे खराब स्थिति वाले प्रारंभिक मॉडल पैरामीटर्स (प्री-ट्रेनिंग के माध्यम से) तैयार करते हैं ताकि कैनरी की उपस्थिति के प्रति प्रशिक्षण प्रक्रिया की संवेदनशीलता (sensitivity) को अधिकतम किया जा सके।
प्रशिक्षण: मॉडल को दो बार DP-SGD का उपयोग करके प्रशिक्षित किया जाता है: एक कैनरी ( $D'$ ) के साथ और एक बिना कैनरी ( $D$ ) के।
अवलोकन: ऑडिटर दोनों प्रशिक्षित मॉडलों से कैनरी के लिए लॉस (loss) मानों (या अन्य आउटपुट) को एकत्र करता है।
अनुमान: DV अनुमानक दोनों मॉडलों के लॉस वितरण के बीच रेनी डाइवर्जेंस की गणना करता है।

2.3 सांख्यिकीय गारंटी

लेखक प्रतिबंधित क्रिटिक क्लासेज (critic classes) पर DV-आधारित अनुमानक के लिए स्पष्ट, गैर-स्पर्शोन्मुखी कॉन्फिडेंस इंटरवल (confidence intervals) व्युत्पन्न करते हैं। ऑडिट को एक परिकल्पना परीक्षण के रूप में मानकर, यह विधि अनुभवजन्य साक्ष्य को नियंत्रित टाइप-I एरर के साथ गोपनीयता उल्लंघन प्रमाणपत्रों में परिवर्तित करती है।

3. मुख्य योगदान

3.1 RDP का पहला सीधा ऑडिटिंग

लेखक सीधे रेनी डिफरेंशियल प्राइवेसी के ऑडिटिंग करने वाले पहले व्यक्ति हैं, जो पड़ोसी डेटासेट तंत्र आउटपुट के बीच रेनी डाइवर्जेंस का अनुमान लगाने के लिए एक स्टेट-ऑफ-द-आर्ट ब्लैक-बॉक्स विधि स्थापित करते हैं। गोपनीयता अवधारणाओं (जैसे, $\mu$ -GDP से RDP) के बीच रूपांतरण करने वाले पिछले कार्यों के विपरीत, यह दृष्टिकोण सीधे डाइवर्जेंस का अनुमान लगाता है।

3.2 गैर-स्पर्शोन्मुखी कॉन्फिडेंस इंटरवल और इष्टतमता

यह शोध पत्र कठोर सैद्धांतिक गारंटी प्रदान करता है:

परिमित-नमूना सीमाएं (Finite-Sample Bounds): प्रमेय 3.2 क्लास-प्रतिबंधित DV रेनी अनुमानक के लिए स्पष्ट, गैर-स्पर्शोन्मुखी कॉन्फिडेंस इंटरवल स्थापित करता है। ये सीमाएं सांख्यिकीय अनुमान त्रुटि को वास्तविक गोपनीयता रिसाव से अलग करती हैं।
मिनिमैक्स इष्टतमता (Minimax Optimality): प्रमेय 3.3 मिलान करने वाली मिनिमैक्स लोअर बाउंड्स को सिद्ध करता है। लेखक दिखाते हैं कि लॉगरिदमिक कारकों तक, उनके सैंपल कॉम्प्लेक्सिटी गारंटी सूचना-सैद्धांतिक रूप से इष्टतम हैं। कोई भी अनुमानक समान नमूना आकार और क्रिटिक क्लास बाधाओं के साथ जनसंख्या DV ऑब्जेक्टिव को अधिक सटीकता से समान रूप से अनुमानित नहीं कर सकता है।

3.3 अनुभवजन्य सत्यापन

इस ढांचे को MNIST और CIFAR-10 डेटासेट पर DP-SGD के ऑडिटिंग के लिए लागू किया गया है। परिणाम दर्शाते हैं कि प्रस्तावित ऑडिटर, पिछले स्टेट-ऑफ-द-आर्ट ब्लैक-बॉक्स तरीकों की तुलना में अनुभवजन्य RDP लोअर बाउंड्स पर मजबूत सुधार प्रदान करते हैं, विशेष रूप से छोटे और मध्यम रेनी ऑर्डर्स ( $\alpha \in (1, 2]$ ) पर जहाँ सटीक ऑडिटिंग सबसे चुनौतीपूर्ण होती है।

4. परिणाम

प्रदर्शन: विभिन्न प्राइवेसी रिजीम्स और डेटासेट्स में, DV-रेनी अनुमानक वर्तमान स्टेट-ऑफ-द-आर्ट (SOTA) ब्लैक-बॉक्स विधि [31] की तुलना में टाइट अनुभवजन्य लोअर बाउंड्स प्रदान करता है।
संवेदनशीलता: सुधार सबसे अधिक कम प्राइवेसी बजट (छोटे $\epsilon_\alpha$ ) पर स्पष्ट होते हैं, जहाँ पिछले तरीके अक्सर समय से पहले संतृप्ति (saturation) या उच्च विचरण (variance) से ग्रस्त होते हैं।
मजबूती (Robustness): विधि वर्स्ट-केस इनिशियलाइजेशन के तहत भी स्थिर रहती है, जिसे गोपनीयता रिसाव की पता लगाने की क्षमता को अधिकतम करने के लिए डिज़ाइन किया गया है।
सैद्धांतिक संरेखण: प्रयोगात्मक रुझान सैद्धांतिक विश्लेषण के साथ संरेखित हैं, जो पुष्टि करते हैं कि छोटे डेटासेट (कैनरी के सापेक्ष प्रभाव को बढ़ाकर) टाइट ऑडिट की ओर ले जाते हैं, जबकि बड़े क्लिपिंग नॉर्म्स (शोर इंजेक्ट करना) पता लगाने की क्षमता को कम कर देते हैं।

5. महत्व और दावे

यह शोध पत्र दावा करता है कि इसने DV अनुमानकों के माध्यम से RDP के ऑडिटिंग के लिए प्रथम इष्टतम गारंटी स्थापित की है। इसका महत्व निम्नलिखित में निहित है:

मौलिक कठोरता: ह्यूरिस्टिक हमलों से हटकर एक सिद्धांत-आधारित सांख्यिकीय ढांचे की ओर बढ़ना जिसमें परिमित-नमूना कॉन्फिडेंस इंटरवल शामिल हैं।
सूचना-सैद्धांतिक सीमाएं: RDP ऑडिटिंग की मौलिक सांख्यिकीय सीमाओं को चरित्रित करना, यह दिखाना कि प्रस्तावित विधि मिनिमैक्स इष्टतमता प्राप्त करती है।
व्यावहारिक उपयोगिता: एक ऐसा उपकरण प्रदान करना जो तैनात प्रणालियों के लिए अधिक सटीक और मजबूत गोपनीयता ऑडिट प्रदान करता है, विशेष रूप से उन स्थितियों में जहाँ सटीक ऑडिटिंग कठिन होती है।

लेखक नोट करते हैं कि हालांकि उनकी विधि लॉगरिदमिक कारकों तक इष्टतम है, फिर भी आगे के सुधार सूचना-सैद्धांतिक बाधाओं द्वारा मौलिक रूप से सीमित हैं। पहचाने गए भविष्य के कार्य के दिशा-निर्देशों में इंटरैक्टिव और वितरित सेटिंग्स में इन गारंटियों का विस्तार करना और बड़े $\alpha$ मानों के लिए वैकल्पिक वेरिएशनल सूत्रों की खोज करना शामिल है।