Sintesi Tecnica: Persuasive Privacy

Definizione del Problema

Il documento affronta i limiti degli attuali standard di privacy dei dati, in particolare della Differential Privacy (DP), in diverse aree chiave. Sebbene la DP sia diventata lo standard de facto, essa affronta sfide concettuali riguardanti l'interpretazione dei suoi parametri, lacune tra le garanzie tecniche e le nozioni legali/sociali di privacy, e la natura spesso vacua dei budget di perdita di privacy nelle implementazioni reali. Fondamentalmente, gli attuali framework di DP faticano a fornire garanzie non vacue per gli algoritmi deterministici (ad esempio, statistiche invarianti come i riepiloghi del Censimento Decennale degli Stati Uniti), poiché tali meccanismi perdono intrinsecamente informazioni sui dati di input senza l'aggiunta di rumore. Inoltre, le interpretazioni semantiche della DP sono spesso costruite post-hoc, rendendole difficili da adattare a casi d'uso specifici o da comprendere intuitivamente.

Gli autori propongono la necessità di un framework che:

1. Generi definizioni di privacy "adatte allo scopo" (fit for purpose) ma rigorosamente giustificate.
2. Valuti le garanzie di privacy esistenti utilizzando un approccio unificato.
3. Valuti la privacy degli algoritmi deterministici, una capacità attualmente mancante nella DP e nella maggior parte delle sue varianti.

Metodologia

Gli autori introducono la Persuasive Privacy (PP), un nuovo framework basato sulla teoria dei giochi bayesiana. Il framework modella il processo di rilascio dei dati come un gioco di Stackelberg a due giocatori che coinvolge:

• Sender (Mittente): Il custode dei dati sensibili $x \in \mathcal{X}$ che progetta un meccanismo $M$ per rilasciare informazioni.
• Receiver (Ricevente): Un avversario con incertezza su $x$, rappresentata da una distribuzione a priori $Q$. Il Ricevente osserva l'output di $M$ e aggiorna la propria credenza in una distribuzione a posteriori $Q_T$, per poi compiere un'azione $d$ che influisce sulla privacy del Mittente.

Componenti Core

1. Funzioni e Score di Privacy: La privacy del Mittente è quantificata tramite una funzione di privacy $\rho(d, x)$, che rappresenta la preferenza del Mittente rispetto alle decisioni del Ricevente. Questo è equivalentemente inquadrato utilizzando regole di punteggio propri (proper scoring rules) $S(P, x)$, dove la decisione del Ricevente è la distribuzione $P$ che minimizza la perdita attesa. Lo "score di privacy" misura quanto bene la credenza del Ricevente predica i dati reali.
2. Perdita di Privacy Relativa: Il framework si concentra sul cambiamento della privacy causato dal rilascio dei dati. Lo score di privacy relativo è definito come $\Delta(Q, T, x) = S(Q, x) - S(Q_T, x)$. Un valore più basso indica una maggiore ritenzione della privacy.
3. Assunzioni di Robustezza:
   • Trasparenza: Il Mittente condivide il meccanismo $M$ e la classe di privacy $C$ (generata dalla definizione) con il Ricevente, ma queste definizioni non devono dipendere dai dati specifici $x$.
   • Razionalità Bayesiana: Il Ricevente agisce come un agente Bayes-ottimale, aggiornando le credenze tramite la regola di Bayes e scegliendo azioni per minimizzare la perdita attesa.
   • Valutazione del Caso Peggiore: Il Mittente valuta la privacy in modo robusto contro il caso peggiore di data-prior $Q$ all'interno di una specifica classe $\mathcal{Q}_x$ e il caso peggiore del dataset $x$.
4. Definizione di Persuasive Privacy: Un meccanismo $M$ è $(\mathcal{S}, \mathcal{Q}_x, \kappa, \delta)$-PP se, per tutte le regole di punteggio in un insieme $\mathcal{S}$, tutti i dataset $x$ e tutti i priori $Q \in \mathcal{Q}_x$, la probabilità che la perdita di privacy relativa superi una soglia $\kappa$ è al massimo $\delta$:
   $$\inf_{S \in \mathcal{S}} \inf_{x \in \mathcal{X}} \inf_{Q \in \mathcal{Q}_x} P_x [\Delta_S(Q, T, x) \le \kappa] \ge 1 - \delta$$

Contributi Chiave e Risultati

1. Unificazione Teorica e Recupero delle Definizioni Esistenti

Il framework recupera con successo le definizioni di privacy stabilite come casi particolari, fornendo loro una nuova semantica legata alla teoria dei giochi:

• Probabilistic Differential Privacy (PDP): Gli autori dimostrano che un meccanismo è $(\epsilon, \delta)$-PDP se e solo se è $(\mathcal{L}, \mathcal{H}, \epsilon, \delta)$-PP, dove $\mathcal{L}$ è lo score del logaritmo negativo della probabilità e $\mathcal{H}$ è una classe di priori discreti a due componenti che rappresentano dataset vicini. Questo interpreta la PDP come la protezione contro un caso peggiore in cui il Ricevente ha una probabilità trascurabile sui dati reali.
• Rényi Differential Privacy (RDP) e f-Divergence Privacy: Modificando la condizione di valutazione da una probabilità di coda (Assunzione 4) a una condizione di valore atteso (Assunzione 4*), il framework produce la Persuasive Privacy in Expectation (PPE). Questa variante recupera la RDP e la f-divergence privacy, collegandole direttamente al cambiamento atteso negli score di privacy.

2. Proprietà di Post-Processing

Il documento distingue tra due tipi di post-processing:

• Post-Processing del Ricevente: Il framework soddisfa questa proprietà, il che significa che il Ricevente non può ottenere ulteriori informazioni tramite il post-processing dell'output. Ciò si allinea con la standard giustificazione della robustezza avversaria della DP.
• Post-Processing del Mittente: Il framework non soddisfa la standard disuguaglianza di Post-Processing del Mittente (dove un meccanismo privato composto con un kernel rimane privato). Gli autori dimostrano che questa è una limitazione nota anche della PDP. Tuttavia, dimostrano che un Mittente può soddisfare trivialmente la garanzia rilasciando l'output congiunto del meccanismo originale e di quello trasformato, controllando efficacementmente la perdita di privacy.

3. Privacy per Meccanismi Deterministici

Un contributo primario è la capacità di definire garanzie di privacy non vacue per meccanismi deterministici, che sono tipicamente esclusi dalla DP. Il documento fornisce due esempi concreti:

• Media Empirica Privata: Utilizzando il Marginal Dawid–Sebastiani Score (DSS) e limitando la classe di priori del Ricevente (specificamente vincolando la distanza tra la media del prior e la vera media rispetto alla varianza), gli autori stabiliscono una garanzia di persuasive privacy per il rilascio della media empirica esatta senza rumore.
• Soppressione delle Celle Privata: Per i meccanismi che sopprimono conteggi piccoli in tabelle di contingenza, il framework stabilisce una garanzia utilizzando lo score della log-probabilità. Il parametro di privacy è determinato dalla forza della credenza a priori del Ricevente riguardo ai conteggi delle celle piccole.

Significato e Rivendicazioni

Il documento sostiene che la Persuasive Privacy offre un approccio "semantics-first" alla privacy dei dati. A differenza della DP, dove le interpretazioni semantiche sono spesso derivate a posteriori, la PP costruisce le definizioni partendo da un gioco basato su agenti, dove le assunzioni (ad esempio, la classe di prior del Ricevente, la funzione di perdita) sono esplicite e possono essere testate contro contesti reali.

Il significato di questo lavoro risiede nella sua:

• Flessibilità: Permette la generazione di definizioni di privacy orientate allo scopo, adattate a specifici contesti di dati (ad esempio, riepiloghi deterministici) selezionando appropriati scoring rule e classi di prior.
• Robustezza: Modellando esplicitamente il Ricevente come un agente Bayesiano e valutando gli scenari peggiori su prior e dati, il framework fornisce giustificazioni rigorose e basate sulla teoria dei giochi per le garanzie di privacy.
• Colmare il Divario: Fornisce una connessione formale tra i metodi deterministici di controllo della divulgazione (comuni nella statistica ufficiale) e la moderna teoria della privacy, affrontando un divario critico dove gli standard attuali non riescono a proteggere le statistiche invarianti.

Gli autori riconoscono che, sebbene il framework sia flessibile, è necessario prestare attenzione affinché le scoring rule e le classi di prior scelte siano appropriate per il contesto di deployment specifico, al fine di evitare l'uso improprio della flessibilità. Notano inoltre che determinare i meccanismi ottimali per l'utilità all'interno di una data classe di persuasive privacy rimane un'area aperta per la ricerca futura.