技術的サマリー：偽名耐性データ帰属のための商半値

1. 問題定義

データ Shapley などのデータ評価手法は、トレーニングデータが機械学習パイプラインに貢献した度合いに応じて報酬を配分し、その貢献度を監査するために設計されている。しかし、これらの手法は通常、固定された受動的な貢献者のセットを前提としている。現実のデータ市場では、貢献者は戦略的エージェントであり、自らの取り分を水増しするために帰属メカニズムを操作できる。

本論文は、偽名操作（false-name manipulation）を重大な失敗モードとして特定している。単一の潜在的な提供者は以下のような行為を行うことができる：

• 複数の匿名のアイデンティティにデータセットを分割する（シビル攻撃）。
• 高価値な例を複製するか、準複製（言い換え、拡張、合成バリアント）を作成する。
• 合成バリアントを洗浄し、評価者の検証セットを悪用する。

核心的な問題は、報告されたアイデンティティに対する標準的な Shapley 公平な帰属がインセンティブ適合的ではないことである。データの価値はしばしば非加法的であり相補的であるため、データセットを複数のアイデンティティに分割することで、攻撃者が受け取る Shapley 値の合計が、単一の正直なアイデンティティが受け取る価値よりも増加し得る。

2. 手法

2.1 形式的モデル

著者らは、この設定を潜在的な提供者（$N$）と提出されたアイデンティティ（$m$）に関するメカニズム設計問題として形式化した。

• データ価値ゲーム： coalition の価値が、その coalition からペイロードの和集合でトレーニングされた学習者の効用となる単調ゲーム。
• 操作クラス：
  • 偽名分割：元のデータの分割または複製を保持する $k \ge 2$ のアイデンティティに、1 つのアイデンティティを置き換えること。
  • バリアント攻撃：1 つまたは複数のアイデンティティの下に、変換されたコピー（複製、言い換え、合成データ）を提出すること。
• 利益指標：正直な報告と比較して、攻撃者がアイデンティティ構造を操作することで達成する加法的または乗法的な利益。

2.2 不可能性定理

本論文は、根本的な不可能性定理を証明している：報告されたアイデンティティに対する厳密な Shapley 公平な帰属は、無制限の偽名耐性と両立しない。
二値の単調ゲーム（例えば、全会一致ゲーム）であっても、提供者はデータを複数の偽名に分割することで総報酬を増加させることができる。例えば、$v(\{A, B\}) = 1$ である 2 プレイヤーの全会一致ゲームにおいて、提供者 $A$ は $1/2$ を受け取る。もし $A$ が $A_1, A_2$ に分割し、価値がこれら 3 つ（$A_1, A_2, B$）すべてを必要とする場合、新しい Shapley 値はそれぞれ $1/3$ となり、$A$ にとっては合計 $2/3$ となる。この構造的な脆弱性は、一般的な半値（Banzhaf、Beta-Shapley）にも及ぶが、利益の大きさは異なる。

2.3 商半値メカニズム

これを解決するため、著者らは商半値（Quotient Semivalue）メカニズムを提案しており、戦略単位を生の提出されたアイデンティティから証拠に基づく帰属クラスターへとシフトさせる。

1. 証拠グラフとクラスタリング：
   • 証拠関数 $e_\theta(u, u')$ は、2 つの単位（例、ドキュメント）がハッシュ、埋め込み、出所などに基づいて、同じ帰属対象として扱うのに十分に類似しているかどうかを決定する。
   • これにより、連結成分がクラスター（$C_1, \dots, C_K$）となるグラフが形成される。
2. クラスター代表演算子（$R_\theta$）：
   • クラスター内での複製による操作（例えば、例の 10 個のコピーを提出して重みを高くすること）を防ぐため、標準的な代表演算子が各クラスターを固定された標準的なトレーニング単位のセットにマッピングする。
   • 戦略には、完全な複製の圧縮、クラスターあたりの単位数の上限設定、または重み正規化された和集合などが含まれる。
3. 商ゲーム：
   • プレイヤーがアイデンティティではなくクラスターである新しい協力ゲームが構築される。
   • クラスターの coalition の価値は、それらの標準的な代表者の和集合でトレーニングされた学習者の効用である。
4. 半値の計算と配分：
   • 半値（Shapley、Banzhaf など）は商ゲーム上で計算される。
   • クラスター内配分：クラスターへの支払いは、その中の提出されたアイデンティティ間で分配される。メカニズムは、クラスター内でアイデンティティを分割しても総取り分が増加しないようにするための偽名中立な配分ルール（例えば、各アイデンティティが貢献した標準的な単位数に比例した配分）を必要とする。

3. 主要な貢献

1. 形式的モデル：潜在的な提供者、提出されたアイデンティティ、変換攻撃を含むデータ提供者の操作に関する厳密な枠組み。
2. 不可能性定理：報告されたアイデンティティ上で厳密に Shapley 公平であり、かつ無制限に偽名耐性であるメカニズムは存在しないことの証明。
3. 商半値メカニズム：標準的な代表演算子を持つ証拠に基づくクラスター上で半値を計算する構成的な解決策。
4. 理論的保証：
   • 厳密な偽名耐性：「商安定」な操作（攻撃者が自身の正直なクラスターから逃出できず、標準的な代表者を変更できない場合）および偽名中立な配分の下で達成される。
   • 近似保証：3 つの測定可能な量、すなわち脱出クラスター質量（新しいクラスターを形成するバリアント）、価値推定誤差、およびクラスタリング距離（代表者のドリフト）に関する操作利益と公平性損失の境界。
5. DataMarket-Gym：完全な複製、準複製、合成洗浄、シビル分割を含む、戦略的提供者攻撃下での帰属メカニズムを評価するための新しいベンチマーク。

4. 実験結果

著者らは、合成データセットと実世界データセット（CIFAR-10、AG News、STL-10、IMDB）上でメカニズムを評価した。

• 合成分類：
  • 生アイデンティティに対するベースライン Shapley は、複製/シビル攻撃において1.74の操作利益を示した。
  • 例レベルの証拠（コサイン類似度 $\theta=0.99$）を用いた商 Shapley は、この利益を0.96に削減し、攻撃を実質的に無力化してほぼ正直なレベルに戻した。
  • このメカニズムは、半値の選択（Shapley、Banzhaf、Beta-Shapley）に対して頑健である。
• 閾値感度：
  • コサイン閾値 $\theta$ は決定的である。閾値が低すぎると「誤ったマージ」（独立した提供者がグループ化される）が発生し、シビル利益を増幅させる可能性がある。閾値が高すぎると準複製を検知できない。
  • 論文は、ドメイン固有の閾値の逆転を特定している：
    • 画像ドメイン（CIFAR-10）では、高いノルムがペアワイズ類似度の高さに繋がるため、連鎖攻撃を防ぐためにより厳しい閾値（$\theta \ge 0.90$）が必要である。
    • テキストドメイン（AG News）では、単位正規化された埋め込みはペアワイズ類似度が低い傾向にあるため、準複製をリンクさせるために厳格な閾値が失敗するため、緩い閾値（$\theta \le 0.90$）が最適である。
  • 最適な閾値は、埋め込み統計（ペアワイズ p90 および連鎖フロア混合成分割合）から予測可能である。
• 実世界への転移：
  • このメカニズムは、オラクルアクセスなしで凍結特徴量パイプライン（ResNet-18、MiniLM）に転移し、その実用性を確認した。
  • 純粋な分割攻撃（重複のない非連結データ）は、類似度証拠だけでは防げず、例レベル以外の出所（アカウントリンク、KYC など）を必要とする。

5. 意義と主張

本論文は、アイデンティティが内生である場合、Shapley 公平なデータ帰属は自動的にインセンティブ適合的ではないと主張している。この研究の意義は以下の点にある：

• 戦略的負担のシフト：帰属単位を可変のアイデンティティから証拠に基づくクラスターへ移すことで、Shapley 型の公平性とシビル耐性の間の制御されたトレードオフを可能にする。
• 条件付きの可能性：無制限の操作下では厳密な Shapley 公平性は不可能であるが、類似性と出所シグナルが操作されたバリアントを同じ単位に確実に圧縮できる場合、商メカニズムは「制御されたトレードオフ」を回復する。
• 実用的な展開：このメカニズムは「半値非依存」であり、Shapley、Banzhaf などさまざまな評価バックエンドで展開でき、推定ノイズに対して頑健である。
• 相補性：このアプローチは、固定されたデータセットのシェル会社集約に対する防御を目的とした「忠実なグループ Shapley 値」に関する既存の研究を補完するものであり、データ内容が変更（複製、言い換え、合成）され得る場合の帰属単位の構築自体に取り組むものである。

著者らは、帰属単位はメカニズム設計の選択であり、商半値は提供者が戦略的であるデータ市場のための堅牢な枠組みを提供すると結論付けている。