Technische Samenvatting: Optimale Garanties voor het Auditeren van Rényi Differentieel Private Machine Learning

1. Probleemstelling

Naarmate differentieel private (DP) machine learning-systemen van theorie naar praktijk overgaan, blijft een kritieke uitdaging bestaan: hoe kan men betrouwbaar verifiëren, aan de hand van eindige empirische waarnemingen, dat een leeralgoritme daadwerkelijk voldoet aan de beweerde privacygaranties. Hoewel er uitgebreide literatuur bestaat over het auditeren van pure en benaderde $(\epsilon, \delta)$-DP, blijven de theoretische fundamenten voor het auditeren van Rényi Differentiële Privacy (RDP) onvolledig.

Bestaande black-box auditmethoden vertrouwen vaak op specifieke aanvalconstructies (bijvoorbeeld lidmaatschapsinference, data-vergiftiging) of asymptotische benaderingen. Deze benaderingen missen vaak garanties voor eindige steekproeven die statistische schattingsfouten op een zuivere manier scheiden van algoritmische privacylekken. Bijgevolg is het onduidelijk hoe nauwkeurig RDP-parameters kunnen worden geschat op basis van eindige steekproeven, of bestaande methoden optimaal zijn, en hoe de auditfout schaalt met modelcomplexiteit. Dit artikel adresseert de lacune in het leveren van rigoureuze, niet-asymptotische en informatie-theoretisch optimale garanties voor het auditeren van RDP in een black-box setting.

2. Methodologie

De auteurs stellen een nieuw auditkader voor gebaseerd op hypothese-toetsing dat direct de Rényi-divergentie schat tussen naburige uitvoeringen van een machine learning-algoritme.

2.1 Kernkader: Variationale Rényi-divergentie

De methode maakt gebruik van de Donsker–Varadhan (DV) variationale representatie van Rényi-divergentie. In plaats van te vertrouwen op specifieke aanvallen, kaderen de auteurs privacy-auditing als een statistisch schattingsprobleem:

• Doel: De Rényi-divergentie $D_\alpha(P \| Q)$ tussen uitgangsverdelingen $P$ en $Q$ van een mechanisme geëvalueerd op naburige datasets schatten (of een ondergrens certificeren).
• Schatting: De auteurs maken gebruik van een op neurale netwerken gebaseerde variational schatter. Ze definiëren een klasse van functies (critics) $\Gamma_\Theta$ geparametriseerd door een neuraal netwerk $T_\theta$. De schatter maximaliseert het variationale doel:
  $$R_\Theta^\alpha(Q \| P) = \sup_{\theta \in \Theta} \left\{ \frac{1}{\alpha-1} \log \mathbb{E}_Q[e^{(\alpha-1)T_\theta}] - \frac{1}{\alpha} \log \mathbb{E}_P[e^{\alpha T_\theta}] \right\}$$
• Implementatie: De schatting wordt uitgevoerd via stochastische gradiëntafstijging met mini-batching en een Exponentiële Bewegende Gemiddelde (EMA) om numerieke stabiliteit te waarborgen, met name voor hogere orde-waarden van $\alpha$.

2.2 Black-box Auditprotocol

In de black-box setting kan een adversary slechts een invoer-"kanarie" invoegen en het uiteindelijk getrainde model observeren. De auditprocedure (Algoritme 3) omvat:

1. Worst-case Initialisatie: Volgend op [31] maken de auteurs worst-case initiële modelparameters (via pre-training) om de gevoeligheid van het trainingsproces voor de aanwezigheid van de kanarie te maximaliseren.
2. Training: Het model wordt twee keer getraind met DP-SGD: een keer met de kanarie ($D'$) en een keer zonder ($D$).
3. Observatie: De auditor verzamelt verlieswaarden (of andere uitkomsten) voor de kanarie van beide getrainde modellen.
4. Schatting: De DV-schatting berekent de Rényi-divergentie tussen de verliesverdelingen van de twee modellen.

2.3 Statistische Garanties

Het artikel leidt expliciete, niet-asymptotische betrouwbaarheidsintervallen af voor de DV-gebaseerde schatter over beperkte critic-classes. Door de audit te behandelen als een hypothese-toets, zet de methode empirisch bewijs om in certificaten voor privacy-overtredingen met gecontroleerde Type-I-fouten.

3. Belangrijkste Bijdragen

3.1 Eerste Directe Audit van RDP

De auteurs zijn de eersten die Rényi differentieel privacy direct auditeren, en stellen een state-of-the-art black-box methode vast om de Rényi-divergentie tussen uitkomsten van mechanismen op naburige datasets te schatten. In tegenstelling tot eerdere werken die privacyconcepten omzetten (bijvoorbeeld $\mu$-GDP naar RDP), schat deze benadering de divergentie direct.

3.2 Niet-asymptotische Betrouwbaarheidsintervallen en Optimaliteit

Het artikel biedt rigoureuze theoretische garanties:

• Grenzen voor Eindige Steekproeven: Stelling 3.2 stelt expliciete, niet-asymptotische betrouwbaarheidsintervallen vast voor de door klasse-beperkte DV Rényi-schatting. Deze grenzen scheiden statistische schattingsfouten van de ware privacylekken.
• Minimax-optimaliteit: Stelling 3.3 bewijst overeenkomstige minimax-ondergrenzen. De auteurs tonen aan dat, tot op logaritmische factoren, hun garanties voor steekproefcomplexiteit informatie-theoretisch optimaal zijn. Geen enkele schatter kan de populatie-DV-doelfunctie uniform nauwkeuriger schatten gegeven dezelfde steekproefgrootte en beperkingen op de critic-klasse.

3.3 Empirische Validatie

Het kader wordt geïnstancierd voor het auditeren van DP-SGD op de MNIST- en CIFAR-10-datasets. De resultaten tonen aan dat de voorgestelde auditors sterke verbeteringen opleveren op empirische RDP-ondergrenzen in vergelijking met eerdere state-of-the-art black-box methoden, met name bij kleine en gemiddelde Rényi-orde-waarden ($\alpha \in (1, 2]$) waar nauwkeurige auditing het meest uitdagend is.

4. Resultaten

• Prestatie: Over verschillende privacy-regimes en datasets levert de DV-Rényi-schatting strakkere empirische ondergrenzen op dan de huidige state-of-the-art (SOTA) black-box methode [31].
• Gevoeligheid: De verbeteringen zijn het meest uitgesproken bij lage privacy-budgetten (kleine $\epsilon_\alpha$), waar eerdere methoden vaak lijden aan voortijdige saturatie of hoge variantie.
• Robuustheid: De methode blijft stabiel zelfs onder worst-case initialisaties, die zijn ontworpen om de detecteerbaarheid van privacylekken te maximaliseren.
• Theoretische Alignering: De experimentele trends sluiten aan bij de theoretische analyse, wat bevestigt dat kleinere datasets (wat het relatieve effect van de kanarie vergroot) leiden tot strakkere audits, terwijl grotere clipping-normen (meer ruis injecteren) de detecteerbaarheid verminderen.

5. Betekenis en Claims

Het artikel claimt de eerste optimale garanties te vestigen voor het auditeren van RDP via DV-schattingen. De betekenis hiervan ligt in:

1. Fundamentele Rigor: Het overstijgen van heuristische aanvallen naar een principieel statistisch kader met betrouwbaarheidsintervallen voor eindige steekproeven.
2. Informatie-theoretische Grenzen: Het karakteriseren van de fundamentele statistische grenzen van RDP-auditing, en aantonen dat de voorgestelde methode minimax-optimaliteit bereikt.
3. Praktische Nut: Het leveren van een hulpmiddel dat nauwkeurigere en robuustere privacy-audits oplevert voor ingezette systemen, met name in regimes waar nauwkeurige auditing moeilijk is.

De auteurs merken op dat hoewel hun methode optimaal is tot op logaritmische factoren, verdere verbeteringen fundamenteel beperkt zijn door informatie-theoretische beperkingen. Toekomstige werkrichtingen omvatten het uitbreiden van deze garanties naar interactieve en gedistribueerde settings, en het verkennen van alternatieve variationale formules voor grotere $\alpha$-waarden.