Rethinking Visual Privacy: A Compositional Privacy Risk Framework for Severity Assessment with VLMs

1. Il Problema: Limiti degli Approcci Binari alla Privacy Visiva

Attualmente, i benchmark esistenti per la privacy visiva trattano la privacy come una proprietà binaria (privata vs. non privata), basandosi sulla presenza di contenuti sensibili espliciti (es. volti, targhe, documenti).
Il paper identifica un limite fondamentale di questo approccio: ignora la natura composita del rischio per la privacy.

• Il paradosso della composizione: Attributi che sono benigni o non identificabili singolarmente (es. un numero di stanza clinica, un dispositivo medico specifico, un'ora di trattamento) possono, se combinati, rivelare informazioni sensibili o identificare un individuo in modo univoco.
• Il fallimento dei modelli attuali: I modelli Vision-Language (VLM) tendono a sottostimare questi rischi compositi, trattando la privacy come un concetto "tutto o niente" e non riuscendo a valutare la gravità graduale derivante dall'aggregazione di segnali deboli.
• Mancanza di allineamento normativo: Le normative come il GDPR distinguono tra dati intrinsecamente sensibili e dati personali che diventano identificabili solo in combinazione, ma i framework visivi esistenti non riflettono questa distinzione legale nella valutazione della severità.

2. Metodologia Proposta

A. La Tassonomia del Rischio di Privacy Composita (CPRT)

Gli autori introducono il CPRT, un framework a quattro livelli gerarchici che organizza gli attributi visivi in base a due assi:

1. Identificabilità autonoma: Quanto un attributo è sensibile da solo.
2. Potenziale di danno composito: Quanto un attributo contribuisce all'identificazione quando combinato con informazioni ausiliarie.

I quattro livelli di severità sono:

• Livello 1 (L1) - Identificatori Unici: Attributi che identificano direttamente un individuo senza bisogno di altro (es. biometria, passaporti, SSN).
• Livello 2 (L2) - Identificatori Basati su Collegamento: Attributi che non sono unici da soli ma collegano a un'identità o rivelano informazioni sensibili (es. nome completo, diagnosi mediche, orientamento sessuale).
• Livello 3 (L3) - Identificatori Basati su Aggregazione: Attributi non sensibili da soli, ma che diventano identificativi se aggregati (es. codice postale + data di nascita + genere).
• Livello 4 (L4) - Informazioni Contestuali Benigne: Attributi generalmente non identificativi, ma potenzialmente privati in contesti specifici (es. interni di casa, oggetti personali).

B. Funzione di Punteggio Continuo

Per quantificare il rischio, gli autori definiscono una funzione di punteggio $S \in [0, 1]$ che soddisfa tre proprietà fondamentali:

1. Copertura Completa: L'intervallo [0, 1] è coperto senza lacune.
2. Dominio Lessicografico: La presenza di un attributo di livello superiore (es. L1) supera strictly qualsiasi combinazione di attributi di livelli inferiori.
3. Monotonicità: L'aumento del numero di attributi all'interno dello stesso livello aumenta il punteggio.
   Il punteggio viene calcolato pesando i conteggi degli attributi e applicando un'interpolazione radice quadrata per mappare i punteggi lessicografici agli intervalli di confine empirici derivati da embedding appresi.

C. Dataset e Valutazione

• Dataset: È stato costruito un dataset di 6.736 immagini filtrato da VISPR, annotato per 22 attributi di privacy con punteggi di rischio composito "ground-truth".
• Sperimentazione: Sono stati valutati 8 modelli VLM (frontier come GPT-5.2, Gemini 3 Flash e modelli open-weight come Llama, Qwen, MiniCPM) utilizzando tre strategie di prompt:
  1. Zero-Shot: Nessuna guida.
  2. Intuition Zero-Shot: Guida concettuale senza struttura esplicita.
  3. Taxonomy-Guided: Fornitura esplicita della tassonomia CPRT nel prompt.

3. Risultati Chiave

• Allineamento con la Guida Strutturata: I modelli frontier (es. Gemini 3 Flash, GPT-5.2) mostrano un forte allineamento con la severità composita quando forniti con la tassonomia esplicita (Correlazione di Spearman $\rho \approx 0.87$). Senza guida, tendono a sottostimare sistematicamente i rischi intermedi.
• Il Problema della "Binarietà": Anche i modelli più capaci tendono a comprimere i rischi intermedi verso gli estremi (sicuro o molto rischioso), fallendo nel discriminare le sfumature all'interno dello stesso livello di severità (es. L3 vs L3).
• Sottostima dei Rischi Compositi: I modelli spesso non riconoscono che la combinazione di attributi L3 (es. luogo + attività) può generare un rischio significativo, trattandoli come benigni.
• Distillazione in Modelli Deployabili: Un modello più piccolo (Qwen3-VL 8B) sottoposto a Fine-Tuning Supervisionato (SFT) utilizzando la tassonomia come guida ha raggiunto prestazioni vicine a quelle dei modelli frontier (Spearman $\rho = 0.762$, MAE = 0.140), dimostrando che il ragionamento sulla privacy composita può essere appreso anche da modelli di dimensioni ridotte per l'uso su dispositivo.
• Robustezza: La guida tassonomica migliora la robustezza del modello quando gli identificatori primari (es. volti) vengono rimossi (esperimenti controfattuali), permettendo al modello di valutare correttamente i rischi contestuali residui.

4. Contributi Principali

1. Framework Teorico (CPRT): La prima tassonomia visiva che formalizza la privacy come un rischio graduale e composito, allineata con le normative legali (GDPR, HIPAA, EU AI Act).
2. Metrica di Valutazione Continua: Una funzione di punteggio matematicamente fondata che evita la classificazione binaria e fornisce stime di severità interpretabili e quantitative.
3. Dataset di Riferimento: Un nuovo dataset di 6.7K immagini con punteggi di rischio composito ground-truth per valutare il ragionamento sulla privacy nei VLM.
4. Dimostrazione di Scalabilità: La prova che il ragionamento sulla privacy composita può essere distillato in modelli efficienti (8B parametri) tramite SFT, rendendo possibile la valutazione della privacy in tempo reale su dispositivi edge senza dipendere da modelli proprietari costosi.

5. Significato e Impatto

Questo lavoro segna un cambio di paradigma nella valutazione della privacy visiva:

• Dalla Rilevazione alla Valutazione del Rischio: Sposta il focus dal semplice rilevamento di oggetti sensibili alla valutazione contestuale di come i dati interagiscono per creare rischi di identificazione.
• Conformità Normativa: Fornisce un metodo tecnico per allineare i sistemi di IA alle sfumature delle leggi sulla protezione dei dati, che spesso richiedono una valutazione del rischio basata sulla combinazione di dati.
• Sicurezza Pratica: Dimostra che è possibile costruire sistemi di moderazione e valutazione della privacy efficienti e locali, riducendo la dipendenza da API cloud e migliorando la privacy stessa del processo di valutazione.

In sintesi, il paper dimostra che la privacy visiva non è una proprietà statica dell'immagine, ma un rischio dinamico e composito, e che i moderni modelli VLM possono essere addestrati per comprendere e quantificare questo rischio in modo affidabile e scalabile.