技術要約：内部告発者のための「もっともらしい否認（Plausible Deniability）」の保証

問題提起

内部告発者は組織の不正行為に対する重要な防護策となるが、報復への恐れが報告を著しく抑制している。EU内部告告発者保護指令などの既存の法的枠組みは、機密性の高い報告チャネルを義務付けているものの、監査人のその後の行動から組織が何を推論できるかについて、形式的な保証を提供できていない。

核心となるプライバシーの課題は、組織が「強力な敵対者」として振る舞い、報告内容そのものは見ていないものの、一連の監査決定（監査トランスクリプト）を観察できる状況から生じる。もし監査人が報告が行われた直後に組織を調査し、かつその情報にアクセスできた従業員が数名しかいなかった場合、組織は内部告発者の身元を推測できてしまう。本論文は、**もっともらしい否認（plausible deniability）**の必要性を定式化している。すなわち、観測可能な監査トランスクリプトが、特定の報告が行われた世界とそうでない世界を、無視できるほどの差を超えて区別することを不可能にすることである。

Randomized Response（Warnerの1965年のメカニズムを内部告発に応用したもの）のような既存の手法は、根本的なユーティリティとプライバシーのトレードオフに苦しんでいる。これらの手法は、プライバシー制約を満たすために、監査対象をほぼ一様にランダムに選択することを強いるため、監査プロセスが実際の報告量に対して応答性を失ってしまう。さらに、標準的な差分プライバシー（DP）メカニズムは、監査対象自体が全決定シーケンスを観察する敵対者であるという特定の脅威モデルを直接ターゲットにしているわけではない。

手法

形式的フレームスワーク

著者らは、ホライゾン $T$ と $C$ 個の監査対象からなる監査フレームワークを提案する。

• 入力: 報告数のストリーム $R_T = (r_1, \dots, r_T)$。ここで $r_{t,c}$ は時刻 $t$ におけるターゲット $c$ への新規報告数である。
• 出力: 監査トランスクリプト $a_T = (a_1, \dots, a_T)$。ここで $a_t \in [C]$ は時刻 $t$ で監査対象として選択されたターゲットである。
• プライバシーの定義: 論文では、**パー・レポート隣接性（per-report adjacency）**に関する **$(0, \delta)$-差分プライバシー（DP）**を採用する。2つの報告ストリームは、特定の時刻とターゲットにおいて、ちょうど1つの報告の差がある場合に隣接すると定義される。
• 脅威モデル: 敵対者は監査対象そのものであり、組織内部の知識をほぼ完全に保持し、完全なトランスクリプト $a_T$ を観察している。目標は、特定の報告が行われたかどうかを判別する敵対者の優位性を抑えることである。
• ユーティリティ指標: エラーは、メカニズムが「最もアクティブな（前回の監査以降に報告を受けた）カウント」を持つターゲットを選択できなかった確率として定義される。

負の結果：Randomized Response

本論文は、Randomized Response（RR）を選択ステップに適用した場合（監査人が確率 $p_{rand}$ で報告を無視し、それ以外の場合はカウントが最大となるターゲットを監査する場合）、一様ランダム監査よりも $\delta$ 以上優れた結果をもたらすことはできないことを証明している。

• 定理 2: 任意のホライゾン $T$ において、RRが $(0, \delta)$-DPを満たす場合、誤ったターゲットを選択する確率は $\frac{C-1}{C} - \delta$ を下回らない。
• 示唆: RRは「ギャップに対して無感（gap-insensitive）」である。たとえリーダー（最多報告対象）とランナーアップ（次点）の間の報告の差が極めて大きくても、プライバシー要件によってメカニズムが常に探索（ランダム監査）を強制されるため、エラーは高いままとなる。

提案される解決策：プライベートな継続的計数への帰着

RRの限界を克服するため、著者らは、プライベートな監査を**プライベートな継続的計数（private continual counting）へと汎用的に帰着（reduction）**させる手法を提案する。

1. メカニズム設計 (アルゴリズム 1):
   • 各監査対象 $c$ に対して、独立した $(0, \delta)$-DP 継続的カウンタのインスタンスを維持する。
   • 各タイムステップにおいて、各ターゲットに対する新規報告数をそれぞれのカウンタに入力する。
   • 最も高い「ノイズ付きカウント」（カウンタの出力）を持つターゲットを選択する。
   • リセット条件: ターゲットを監査した際、そのカウンタのインスタンスを再起動し、アクティブなカウントをゼロにリセットする。これにより、過去の報告のプライバシーが将来の決定によって侵害されないようにする。
2. プライバシー保証: 監査トランスクリプトはカウンタ出力のポストプロセッシング（後処理）である。カウンタが $(0, \delta)$-DPを満たし、リセットメカニズムによって単一の報告が単一の能動的カウンタインスタンスにのみ影響を与えることが保証されているため、監査トランスクリプト全体も $(0, \delta)$-DPの保証を継承する。
3. 具体的な実装: 著者らは、このフレームワークを Toeplitz因子分解カウンタ (Fichtenberger et al., 2023; Dvijotham et al., 2024) を用いて具体化している。このメカニズムは、$O(\sqrt{\log T})$ のノイズスケーリングを実現しており、これは継続的計数において最適に近い。

ユーティリティ分析

論文は、選択エラーが真のリーダーとチャレンジャー（追随者）の間の**有効ギャップ（effective gap）**が増大するにつれて減少することを示すユーティリティ定理（定理 6）を導出している。

• 有効ギャップには、真の報告数の差に、蓄積されたノイズの差を加えたものが含まれる。
• RRとは異なり、提案されたメカニズムのエラーは、ノイズ付きの報告ギャップが $\sqrt{\log T}$ よりも速く成長する場合に消失する。これにより、メカニズムは厳格なプライバシーを維持しながら、報告量に対して非常に高い応答性を維持することが可能となる。

主な貢献

1. 定式化: 内部告発者をターゲットとする強力な敵対者モデルの下で、監査トランスクリプトに対するパー・レポート $(0, \delta)$-DPとしての内部告発監査を定式化した。
2. RRに対する負の結果: Randomized Responseは、報告のギャップやホライゾンに関わらず、ほぼ一様な監査に固定されてしまうという根本的な限界があることを証明した。
3. 汎用的帰着: プライベートな監査をプライベートな継続的計数へと帰着させることを確立し、あらゆる $(0, \delta)$-DPカウンタをプラグインコンポーネントとして使用できるようにした。
4. 具体的なメカニズム (TCA): Toeplitz因子分解を用いてこの帰着を具体化することで、$(0, \delta)$-DP を達成し、ノイズスケーリング $O(\sqrt{\log T})$ を実現するメカニズム（Toeplitz Continual Auditing, TCA）を作成した。
5. ユーティリティ定理: 報告のギャップが増加するにつれて選択エラーが減少することを示す理論的境界を提供し、RRの一定かつ高いエラーと比較して大幅な改善を実現した。

結果

• 理論的側面: ユーティリティ定理は、提案されたメカニズムのエラーが、先導する組織と競合他社との間のギャップが大きくなるにつれてゼロに近づくことを示している。一方、RRのエラーは一定であり、高いままである。
• 実証的側面: 静的（ギャップ・スイープ）および動的（オンライン監査）の両設定におけるシミュレーションにより、理論的知見が確認された。
  • 静的設定: TCAの誤選択率は報告ギャップの増加とともに急速に低下するが、RRはギャップに対して無感である。
  • 動的設定: 報告のリセットを伴うオンライン設定において、TCAはRRや一様ランダム監査と比較して、有意に低い「アクティブカウント欠損（regret）」を維持し、非プライベートな貪欲（greedy）ベースラインの性能に接近する。

重要性と主張

本論文は、ユーティリティを犠牲にすることなく、長期的なホライゾンにおいても効果的に機能する、最初のかん的な、定量化可能な「もっともらしい否認」の保証を提供すると主張している。

• 信頼性: 監査決定が特定の報告と決定論的に結びつかないようにすることで、報復を恐れる潜在的な内部告発者にとって、報告チャネルの信頼性を高める。
• AIガバナンス: 本研究は、AIガバナンスにおける信頼できる内部報告の必要性に強く動機付けられている。そこでは、内部情報が安全性の監査における重要なシグナルとなる。本メカニズムは、開発者がモデル評価のタイミングやターゲットに基づいて、特定の従業員が報告を行ったと推測できないことを保証する。
• 限界: 著者らは、パー・ウィスルブローヤー（告発者ごと）の保証が報告数（$k\delta$）に応じて線形に劣化すること、および、プライベートなカウントを漏洩させない信頼できる監査人を想定していることを控えめに述べている。また、実世界の運用上の失敗（例：アクセスログの漏洩）は、この暗号学的・アルゴリズム的な保証の範囲外であることを認めている。

要約すると、本論文は、Randomized Responseが標準的なプライバシープリミティブではあるものの、ユーティリティが極めて重要となる高レベルの監査においては不十分であることを論じている。継続的計数の進展を活用することで、保護すべきデータに対して高度に応答しながら、強力で形式的な「もっともらしい否認」を提供する監査ポリシーを構築することが可能である。