Riepilogo Tecnico: Let's Ask Gauss: Auditing della Privacy Migliorato con un Singolo Run

Problema

L'auditing della privacy è essenziale per verificare che le implementazioni di machine learning con privacy differenziale (DP), come il DP-SGD, rispettino i loro garanzie teoriche di privacy. Sebbene i metodi di auditing classici si affidino all'esecuzione di più volte i meccanismi su dataset vicini per stimare i limiti di privacy, questo approccio è computazionalmente proibitivo, particolarmente in contesti di apprendimento federato.

Recenti metodi di auditing "one-run" (ad esempio, Steinke et al. [29]) affrontano la scalabilità incorporando molteplici "canary" indipendenti (esempi di addestramento appositamente iniettati) in un singolo ciclo di addestramento. Tuttavia, questi approcci esistenti soffrono di un collo di bottiglia critico: collassano l'informazione ricca e continua delle osservazioni allineate ai canary in ipotesi di appartenenza binarie (thresholding) prima dell'aggregazione. Questo processo scarta preziose informazioni distribuzionali, risultando in limiti inferiori di privacy empirici meno stretti che spesso cadono significativamente al di sotto dei limiti superiori teorici.

La domanda centrale affrontata da questo lavoro è se le proprietà distribuzionali sottostanti dell'auditing one-run DP-SGD possano essere caratterizzate precisamente per migliorare la compattezza dell'auditing senza richiedere più cicli di addestramento.

Metodologia

Gli autori propongono un framework di auditing white-box one-run che sfrutta la natura gaussiana asintotica dei segnali allineati ai canary, allontanandosi dal thresholding binario.

1. Prospettiva Distribuzionale

L'intuizione fondamentale è che, in un contesto white-box DP-SGD, la somma normalizzata delle osservazioni allineate ai canary converge a una distribuzione Gaussiana.

• Osservazioni Allineate ai Canary: Ad ogni step di addestramento $t$, l'auditor proietta l'aggiornamento del gradiente rumoroso su un vettore unitario deterministico allineato con il gradiente di un particolare canary.
• Modello Segnale-Più-Rumore: L'osservazione $X_t$ è modellata come una somma di un segnale clippato (presente solo se il canary viene campionato) e rumore Gaussiano DP.
• Limite Gaussiano: Per il Teorema del Limite Centrale (CLT), il punteggio normalizzato $S_T = \frac{1}{\sqrt{T}} \sum X_t$ per un gran numero di step di addestramento $T$ converge a una distribuzione Gaussiana.
  • Nel mondo con assenza di canary ($b=0$), il punteggio segue $N(0, \sigma^2)$.
  • Nel mondo con presenza di canary ($b=1$), il punteggio segue una distribuzione asintoticamente Gaussiana con media $\sqrt{T}qC$ e varianza $\sigma^2 + q(1-q)C^2$, dove $q$ è il tasso di campionamento, $C$ è la norma di clipping e $\sigma$ è la scala del rumore.

2. Il Gaussian-Pair Auditor

Invece di convertire i punteggi in ipotesi binarie, l'auditor modella i due mondi (canary assente vs presente) come una coppia di distribuzioni Gaussiane monodimensionali, $G_0$ e $G_1$.

• Stima dei Parametri: L'auditor raccoglie i punteggi empirici da molteplici canary in un singolo ciclo di addestramento e stima i parametri ($\mu, \sigma$) per entrambe le distribuzioni.
• Divergenza Hockey-Stick: Il limite inferiore di privacy viene calcolato utilizzando la divergenza hockey-stick in forma chiusa tra le due Gaussiane stimate. Questa metrica, $\delta_{\theta}(\epsilon)$, fornisce il $\delta$ più piccolo per un dato $\epsilon$ (o viceversa) che soddisfa la definizione di DP per la specifica coppia Gaussiana.
• Regioni di Confidenza: Per garantire la validità statistica, l'auditor costruisce una regione di confidenza (ad esempio, un ellissoide bootstrap) per i parametri Gaussiani e calcola il limite inferiore più conservativo all'interno di questa regione.

3. Garanzie di Convergenza

Il paper fornisce rigorose garanzie quantitative di convergenza per l'approssimazione Gaussiana:

• Tasso Generale: La distanza di Kolmogorov tra l'audit statistic reale e il modello Gaussiano decade come $O(T^{-1/2})$.
• Regime DP-SGD: Nello specifico regime rilevante per DP-SGD dove il tasso di campionamento $q = O(T^{-1/2})$, la convergenza è significativamente più veloce, decadendo come $O(T^{-1})$.
• Accuratezza della Coda: Per parametri pratici (ad esempio, $T=2500, \epsilon=8$), la deviazione nella regione della coda rilevante (dove $\delta \approx 10^{-5}$) è dell'ordine di $10^{-8}$, che è tre ordini di grandezza più piccola di $\delta$ stesso. Ciò assicura che il modello Gaussiano sia altamente accurato per le soglie utilizzate nell'auditing.

Contributi Chiave

1. Visione Distribuzionale a Livello di Sequenza: Gli autori dimostrano che i punteggi normalizzati dei canary nell'auditing one-run DP-SGD formano una sequenza di variabili casuali con una legge limite Gaussiana, fornendo espressioni in forma chiusa per media e varianza come funzioni degli iperparametri DP-SGD.
2. Gaussian-Pair Auditor: Progettano un auditor white-box che modella i punteggi dei canary assenti e presenti come una coppia di Gaussiane. Utilizzando la divergenza hockey-stick in forma chiusa tra le Gaussiane, derivano limiti inferiori di privacy significativamente più stretti rispetto ai metodi di thresholding binario.
3. Analisi della Convergenza Quantitativa: Il paper prova che le asintotiche Gaussiane si manifestano entro passi di addestramento pratici, con tassi di convergenza di $O(T^{-1})$ negli standard regimi DP-SGD, validando l'applicabilità del metodo.
4. Validazione Empirica: Il framework è valutato su due meccanismi:
   • DP-SGD: Su CIFAR-10 con $\epsilon$ teorico $= 8$, il metodo recupera un limite inferiore empirico di $\approx 6.7$ (84% del limite superiore analitico), rispetto a $\approx 4.7$ per gli audit f-DP [22] e $\approx 3.3$ per i precedenti metodi one-run [29].
   • DP-FTRL: In contesti federati utilizzando il meccanismo di rumore a struttura ad albero, la gaussianità è esatta (non solo asintotica), permettendo limiti teoricamente ottimali e perfettamente calibrati.

Risultati e Significato

Il paper sostiene che sfruttare l'intera informazione distribuzionale delle osservazioni allineate ai canary, invece di scartarla tramite il thresholding binario, porti a miglioramenti di 1–2× nella compattezza dei limiti inferiori di privacy empirici in tutti i regimi di $\epsilon$.

• Efficienza: Il metodo mantiene l'efficienza dell'auditing one-run (costando un solo ciclo di addestramento) pur migliorando drasticamente la precisione dell'audit.
• Scalabilità: L'approccio richiede meno canary per ottenere limiti stretti; gli esperimenti mostrano che il metodo proposto raggiunge la compattezza dei metodi concorrenti con quasi 2500 canary utilizzando solo 100 canary.
• Generalità: Sebbene focalizzato su DP-SGD, il framework si dimostra efficace anche per DP-FTRL, dove la struttura di accumulo del rumore garantisce una gaussianità esatta.

Gli autori posizionano questo lavoro come un passaggio dal "indovinare" (classificazione binaria) al "modellare" (fitting di distribuzione parametrica) nell'auditing della privacy. Riconoscono i limiti, notando che il metodo si basa su assunzioni idealizzate (ad esempio, l'indipendenza dei punteggi dei canary, il contributo trascurabile dei campioni non-canary) e la validità del Teorema del Limite Centrale in specifici regimi di campionamento. Tuttavia, sostengono che tali assunzioni siano empiricamente innocue nei normali setting DP-SGD e che questa prospettiva distribuzionale offra una base robusta per futuri schemi di auditing.