Sintesi Tecnica: Un Framework Unificato per i Limiti di Differential Privacy Consapevoli dell'Avversario

Definizione del Problema

La Differential Privacy (DP) fornisce garanzie rigorose contro attacchi di inferenza di appartenenza (MI) nel caso peggiore, limitando la probabilità che un avversario possa distinguere tra output generati da dataset che differiscono per il record di un singolo utente. Tuttavia, il preciso compromesso tra modelli avversari complessi e protezioni DP rimane scarsamente compreso. I professionisti si trovano spesso di fronte a un dilemma: i limiti DP standard (ad esempio, $\epsilon=1$) possono apparire come offerte di garanzie deboli contro la MI nel caso peggiore (probabilità di successo $\approx 0,73$), eppure tali limiti forniscono poca comprensione dei rischi specifici del contesto, come il numero totale di utenti i cui dati potrebbero essere parzialmente ricostruiti o la fuga di segreti non uniformi (ad esempio, password comuni o PII).

Gli approcci attuali per valutare il rischio si affidano pesantemente ad attacchi empirici. Questi metodi soffrono di limitazioni significative: stabiliscono solo limiti inferiori sulla perdita di privacy, sono spesso altamente calibrati su meccanismi o distribuzioni di dati specifici e non sono generalizzabili. Inoltre, molti scenari di attacco rilevanti — come colpire più individui simultaneamente o sfruttare priori non uniformi per una ricostruzione approssimativa — non sono stati caratterizzati teoricamente. Manca un framework unificato che possa tradurre i parametri di privacy in valutazioni del rischio azionabili attraverso diversi obiettivi di attacco (MI, inferenza di attributi, ricostruzione) e setting (target singoli vs multipli, priori uniformi vs non uniformi).

Metodologia

Gli autori propongono un framework unificato che generalizza gli esistenti limiti attraverso attacchi di inferenza di appartenenza, inferenza di attributi e ricostruzione dei dati. Il nucleo della metodologia è un Gioco di Attacco Generico (Algoritmo 1) e un insieme di limiti superiori ad alta probabilità derivati dai parametri di privacy del meccanismo e dal tasso di successo di base dell'avversario.

Il Gioco di Attacco Generico

Il framework modella un attacco in cui:

1. Target: $n$ target $X$ sono campionati da una distribuzione prodotto $D = D_1 \otimes \dots \otimes D_n$. $D_i$ rappresenta la conoscenza a priori dell'avversario per il target $i$.
2. Meccanismo: Un meccanismo randomizzato $M$ produce un output $a$.
3. Avversario: L'avversario $A$ utilizza $a$, $D$ e $M$ per generare $k$ tentativi di attacco $z$.
4. Metrica di Successo: Una metrica decomponibile $L$ misura il numero di target attaccati con successo. $L$ è decomponibile se $L(x, z) = \sum \ell_i(x_i, z_i)$, permettendo criteri di successo arbitrari (corrispondenza esatta, distanza approssimativa, ecc.).

Limiti Teorici

Il framework deriva i limiti per la probabilità che il successo dell'attacco $L(X, A(a))$ superi una soglia $v$.

• Pure DP ($\epsilon$-DP): Per un meccanismo che soddisfa $(\epsilon, 0)$-DP, la probabilità di successo a posteriori per ogni target è limitata da una funzione della probabilità di successo a priori e di $\epsilon$. Nello specifico, per un output del meccanismo fisso $a$ e un tentativo di attacco $z$, il numero di attacchi riusciti è stocasticamente dominato da una somma di variabili Bernoulli indipendenti $S_i$. La probabilità di successo $\beta_i$ per ogni $S_i$ è:
  $$\beta_i(z, \epsilon) = \frac{e^\epsilon}{e^\epsilon - 1 + \frac{1}{\Pr_{X \sim D_i}[\ell_i(X, z)=1]}}$$
  Questa formulazione cattura l'intuizione che se un attacco è facile basandosi sulla conoscenza a priori (alta probabilità a priori), il meccanismo DP aggiunge meno protezione relativa rispetto a un attacco difficile.

• Approximate DP ($f$-DP e $(\epsilon, \delta)$-DP): Il framework si estende alla DP approssimata introducendo un termine additivo $n \cdot \delta_f(\epsilon)$ (o $n \cdot \delta$ per la $(\epsilon, \delta)$-DP) al limite. Ciò tiene conto del potenziale di perdita di privacy illimitato nei meccanismi di DP approssimata. Gli autori forniscono versioni del limite che dipendono dall'output del meccanismo (richiedendo più esecuzioni per la stima) e versioni che utilizzano un caso peggiore a priori per evitare la dipendenza da output specifici.

Codifica di Attacchi Specifici

Il framework codifica vari scenari di attacco regolando la distribuzione a priori $D_i$ e la metrica di successo $\ell_i$:

• Membership Inference (MI): $D_i$ è una distribuzione di Bernoulli sulle bit di appartenenza.
• Attribute Inference (AI): $D_i$ è condizionata su attributi noti.
• Ricostruzione: $D_i$ rappresenta la distribuzione generatrice dei dati. La metrica $\ell_i$ può essere una corrispondenza esatta o una distanza sogliata (ad esempio, errore $L_2$ o $L_1$).
• Priori Non Uniformi: Il framework gestisce esplicitamente priori arbitrari e non uniformi, permettendo di modellare scenari realistici in cui certi segreti (ad esempio, "123456789") sono molto più probabili di altri.

Contributi Chiave

1. Unificazione dei Limiti Esistenti: Il framework collega matematicamente paradigmi isolati di MI, AI e ricostruzione. Esso generalizza rigorosamente il lavoro precedente (ad esempio, Balle et al., Hayes et al., Steinke et al.) e fornisce limiti più stretti per scenari con priori non uniformi.
2. Nuovi Setting di Attacco: È il primo framework che valuta attacchi che colpiscono più individui simultaneamente e che misurano il successo tramite metriche complesse (ricostruzione approssimativa) sotto un unico limite coeso.
3. Consapevolezza dell'Avversario: I limiti dipendono esclusivamente dai parametri di privacy e dal tasso di successo di base (prior) dell'avversario. Ciò consente ai professionisti di quantificare il rischio basandosi sulla specifica difficoltà dell'attacco e sulla natura della distribuzione dei dati, piuttosto che fare affidamento su euristiche del caso peggiore.
4. Validazione Empirica: Gli autori validano il framework in due nuovi setting:
   • Estrazione di Dati da LLM: Estrazione di segreti non uniformi (password, PII) da modelli linguistici sottoposti a fine-tuning DP.
   • Ricostruzione di Dati Tabulari: Ricostruzione di dati da marginali rumorosi tramite inferenza multi-attributo (M-AI).

Risultati

Il documento presenta confronti numerici e casi di studio empirici che dimostrano l'utilità del framework:

• Strettezza (Tightness): Negli esperimenti numerici (Figura 1), i limiti proposti sono sostanzialmente più stretti rispetto allo stato dell'arte (KGK+, MMC) per priori non uniformi e si allineano strettamente con MMC per priori uniformi.
• Impatto dei Priori Non Uniformi: Negli esperimenti di estrazione dati da LLM (Figura 2), il framework rivela che i priori non uniformi aumentano drasticamente il rischio. Ad esempio, a $\epsilon=1$, il limite di vantaggio per l'estrazione di una password mediana è trascurabile, ma sale a 0,24 per la password più probabile. A $\epsilon=10$, la PII più probabile e le canarini delle password raggiungono un limite di vantaggio di $\approx 1,0$, mentre le canarini uniformi rimangono trascurabili. Ciò suggerisce che proteggere segreti naturali può richiedere valori di $\epsilon$ significativamente più piccoli rispetto alla protezione di canarini uniformi.
• Gap tra Teoria e Pratica: I confronti con attacchi concreti (Figura 3) mostrano che, sebbene i limiti teorici siano stretti per distribuzioni uniformi, persiste un gap per i priori non uniformi. Inoltre, gli attacchi ai modelli concreti spesso cadono significativamente al di sotto del baseline Bayes-ottimale teorico, specialmente nei regimi di privacy media, evidenziando i limiti delle attuali tecniche di auditing black-box.
• Ricostruzione Tabulare: Nella ricostruzione di dati tabulari da marginali rumorosi (Appendice E), il framework modella con successo attacchi multi-target. I risultati mostrano che, sebbene i limiti teorici possano essere vacui per compiti semplici con grandi priori, il framework fornisce limiti significativi a livello di popolazione e accoglie metriche di successo complesse (ricostruzione approssimativa) che il lavoro precedente non poteva catturare simultaneamente.

Significato e Rivendicazioni

Il documento rivendica di fornire una base teorica rigorosa per investigare il panorama del rischio degli algoritmi DP in nuovi setting avversari. Il suo significato primario risiede nel permettere ai professionisti di:

• Interpretare i parametri DP contestualmente: Tradurre parametri di privacy astratti in valutazioni del rischio concrete per scenari di deployment specifici (ad esempio, "Qual è l' $\epsilon$ necessario per proteggere le PII con un dato schema di distribuzione a priori?").
• Calibrare le protezioni della privacy: Andare oltre le "euristiche del caso peggiore" (come la regola empirica $\epsilon \le 10$) per calibrare i parametri contro rischi specifici e dipendenti dal contesto.
• Valutare Nuove Minacce: Analizzare sistematicamente attacchi precedentemente non caratterizzati, come gli attacchi simultanei a più target e quelli che sfruttano distribuzioni di dati non uniformi.

Gli autori notano con modestia che i loro limiti dipendono da metriche di successo decomponibili e assumono priori indipendenti. Riconoscono che gli attacchi empirici attuali potrebbero non essere ottimali per i meccanismi DP, portando a gap tra i limiti teorici e il successo dell'attacco osservato. Avvertono inoltre che, sebbene il framework possa dimostrare rischi empirici inferiori rispetto alle garanzie del caso peggiore, non dovrebbe essere utilizzato come giustificazione generalizzata per degradare le salvaguardie della privacy, poiché i limiti si basano su assunzioni strutturali rigide che potrebbero non valere in tutti i casi d'uso.