Sintesi Tecnica: Garanzie di Plausibile Denegabilità per i Whistleblower

Definizione del Problema

I whistleblower fungono da fondamentale salvaguardia contro la condotta illecita delle organizzazioni, eppure il timore di ritorsioni scoraggia significativamente la segnalazione. Sebbene gli attuali quadri normativi (ad esempio, la Direttiva UE sulla protezione dei whistleblower) impongano canali di segnalazione riservati, essi non forniscono garanzie formali riguardo a ciò che un'organizzazione può inferire dalle azioni successive di un auditor.

La sfida centrale della privacy sorge quando un'organizzazione, agendo come un "avversario forte", osserva la sequenza di decisioni di audit (il verbale di audit) ma non le segnalazioni stesse. Se un auditor indaga su un'organizzazione poco dopo che è stata presentata una segnalazione, e solo pochi dipendenti avevano accesso alle informazioni pertinenti, l'organizzazione può inferire l'identità del whistleblower. Il documento formalizza la necessità di una plausibile denegabilità: garantire che il verbale di audit osservabile non permetta a un avversario di distinguere tra un mondo in cui è stata presentata una specifica segnalazione e un mondo in cui non lo è stata, oltre un vantaggio trascurabile.

Gli approcci esistenti, come la Risposta Randomizzata (adattando il meccanismo di Warner del 1965 al whistleblowing), soffrono di un fondamentale compromesso tra utilità e privacy. Essi costringono l'auditor a selezionare i target di audit quasi uniformemente a caso per soddisfare i vincoli di privacy, rendendo il processo di audit non reattivo al volume effettivo di segnalazioni. Inoltre, i meccanismi standard di privacy differenziale (DP) spesso non mirano direttamente allo specifico modello di minaccia in cui l'entità auditata è l'avversario che osserva l'intera sequenza di decisioni.

Metodologia

Framework Formale

Gli autori propongono un framework di auditing definito su un orizzonte $T$ con $C$ target di audit.

• Input: Un flusso di conteggi di segnalazioni $R_T = (r_1, \dots, r_T)$, dove $r_{t,c}$ è il numero di nuove segnalazioni per il target $c$ al tempo $t$.
• Output: Un verbale di audit $a_T = (a_1, \dots, a_T)$, dove $a_t \in [C]$ è il target selezionato per l'audit al tempo $t$.
• Definizione di Privacy: Il documento adotta la $(0, \delta)$-Differential Privacy (DP) rispetto alla adiacenza per singola segnalazione. Due flussi di segnalazioni sono adiacenti se differiscono esattamente per una segnalazione a un tempo e un target specifici.
• Modello di Minaccia: L'avversario è il target dell'audit stesso, che possiede una conoscenza interna quasi completa e osserva l'intero verbale $a_T$. L'obiettivo è limitare il vantaggio dell'avversario nel distinguere se una specifica segnalazione è stata presentata.
• Metrica di Utilità: L'errore è definito come la probabilità che il meccanismo non selezioni il target con il conteggio attivo più elevato (segnalazioni ricevute dall'ultimo audit di quel target).

Il Risultato Negativo: Risposta Randomizzata

Il documento dimostra che applicare la Risposta Randomizzata (RR) nella fase di selezione — dove l'auditor ignora le segnalazioni con probabilità $p_{rand}$ e audita un target casuale, altrimenti audita il target con il conteggio più alto — non può superare l'auditing casuale uniforme di più di $\delta$.

• Teorema 2: Per qualsiasi orizzonte $T$, se la RR soddisfa la $(0, \delta)$-DP, la probabilità di selezionare il target errato (quando esiste un massimizzatore unico) è limitata inferiormente a $\frac{C-1}{C} - \delta$.
• Implicazione: La RR è "insensibile al gap". Anche se il divario di segnalazioni tra il leader e il secondo classificato è enorme, l'errore rimane elevato perché il requisito di privacy costringe il meccanismo a esplorare (auditare casualmente) quasi sempre.

La Soluzione Proposta: Riduzione al Conteggio Continuo Privato

Per superare i limiti della RR, gli autori propongono una riduzione generica dall'auditing privato al conteggio continuo privato.

1. Design del Meccanismo (Algoritmo 1):
   • Per ogni target di audit $c$, mantenere un'istanza indipendente di un contatore continuo $(0, \delta)$-DP.
   • Ad ogni istante temporale, immettere i nuovi conteggi delle segnalazioni per ogni target nel rispettivo contatore.
   • Selezionare il target con il conteggio rumoroso più elevato (l'output del contatore).
   • Condizione di Reset: Al termine di un audit di un target, riavviare l'istanza del relativo contatore e resettare il suo conteggio attivo a zero. Ciò assicura che la privacy delle segnalazioni passate non sia compromessa da decisioni future.
2. Garanzia di Privacy: Il verbale di audit è un post-processing degli output dei contatori. Poiché i contatori soddisfano la $(0, \delta)$-DP e il meccanismo di reset assicura che una singola segnalazione influenzi solo un'istanza di contatore attiva, l'intero verbale eredita la garanzia $(0, \delta)$-DP.
3. Istanziazione Concreta: Gli autori istanziano questo framework utilizzando il contatore a fattorizzazione di Toeplitz (Fichtenberger et al., 2023; Dvijotham et al., 2024). Questo meccanismo raggiunge una scalabilità del rumore di $O(\sqrt{\log T})$, che è quasi ottimale per il conteggio continuo.

Analisi dell'Utilità

Il documento deriva un teorema di utilità (Teorema 6) mostrando che l'errore di selezione decade all'aumentare del gap effettivo tra il vero leader e gli sfidanti.

• Il gap effettivo include la differenza reale del conteggio delle segnalazioni più la differenza di rumore accumulata.
• A differenza della RR, l'errore del meccanismo proposto svanisce ogni volta che il gap di segnalazioni rumorose cresce più velocemente di $\sqrt{\log T}$. Ciò consente al meccanismo di essere altamente reattivo ai volumi di segnalazione pur mantenendo una rigorosa privacy.

Contributi Chiave

1. Formalizzazione: Il documento formalizza l'auditing per i whistleblower come $(0, \delta)$-DP per singola segnalazione sul verbale di audit, sotto un modello di avversario forte in cui il target è l'avversario.
2. Risultato Negativo per la RR: Dimostra che la Risposta Randomizzata è fondamentalmente limitata, essendo vincolata a un auditing quasi uniforme indipendentemente dall'orizzonte o dal gap di segnalazioni.
3. Riduzione Generica: Stabilisce una riduzione dall'auditing privato al conteggio continuo privato, consentendo l'uso di qualsiasi contatore $(0, \delta)$-DP come componente plug-in.
4. Meccanismo Concreto (TCA): Istanziando la riduzione con la fattorizzazione di Toeplitz, gli autori creano un meccanismo (Toeplitz Continual Auditing, TCA) che raggiunge la $(0, \delta)$-DP con una scalabilità del rumore di $O(\sqrt{\log T})$.
5. Teorema di Utilità: Fornisce un limite teorico mostrando che l'errore di selezione decade all'aumentare del gap di segnalazioni, un miglioramento significativo rispetto all'errore costante della RR.

Risultati

• Teorici: Il teorema di utilità dimostra che l'errore del meccanismo proposto si avvicina a zero all'aumentare del gap tra l'organizzazione leader e i suoi competitor, mentre l'errore della RR rimane costante e alto.
• Empirici: Le simulazioni sia in contesti statici (sweep del gap) che dinamici (auditing online) confermano i risultati teorici:
  • Statici: Il tasso di errore di selezione di TCA scende rapidamente all'aumentare del gap di segnalazioni, mentre la RR rimane insensibile al gap.
  • Dinamici: In un contesto online con reset delle segnalazioni, TCA mantiene un "deficit di conteggio attivo" (regret) significativamente inferiore rispetto a RR e all'auditing casuale uniforme, avvicinandosi alle prestazioni di un baseline greedy non privato.

Significato e Rivendicazioni

Il documento sostiene di fornire la prima garanzia quantificabile e formale di denegabilità per i whistleblower che operi efficacemente su lunghi orizzonti senza sacrificare l'utilità.

• Credibilità: Garantendo che le decisioni di audit non possano essere collegate deterministicamente a specifiche segnalazioni, il meccanismo rende i canali di segnalazione più credibili per i potenziali whistleblower che temono ritorsioni.
• Governance dell'IA: Il lavoro è particolarmente motivato dalla necessità di una segnalazione interna credibile nella governance dell'IA, dove l'informazione interna è un segnale chiave per gli audit di sicurezza. Il meccanismo assicura che uno sviluppatore non possa inferire che un dipendente specifico abbia presentato una segnalazione basandosi sul tempo o sul target di una valutazione del modello.
• Limitazioni: Gli autori notano modestamente che la garanzia per singolo whistleblower degrada linearmente con il numero di segnalazioni effettuate ($k\delta$) e che il modello assume un auditor fidato che non riveli i conteggi privati. Riconoscono che i fallimenti operativi reali (ad esempio, perdite nei log di accesso) sono al di fuori dello scopo di questa garanzia algoritmica/crittografica.

In sintesi, il documento argomenta che, sebbene la Risposta Randomizzata sia un primitivo di privacy canonico, essa è insufficiente per l'auditing ad alta posta in gioco dove l'utilità è fondamentale. Sfruttando i progressi nel conteggio continuo, è possibile costruire politiche di auditing che offrano una forte e formale denegabilità plausibile, rimanendo al contempo altamente reattive ai dati che sono progettate per proteggere.