🤖 machine learning

TabPATE: Differentially Private Tabular In-Context Learning Without Public Data

Het artikel introduceert TabPATE, een differentieel privaat framework voor tabular in-context learning dat gebruikmaakt van teacher-student modellen en synthetische queries gegenereerd uit feature-ranges of geprivatiseerde marginalen om bescherming te bieden tegen membership inference attacks zonder dat daarvoor publieke in-distribution data vereist is.

Oorspronkelijke auteurs: Dariush Wahdany, Matthew Jagielski, Jesse C. Cresswell, Adam Dziedzic, Franziska Boenisch

Gepubliceerd 2026-07-01

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Dariush Wahdany, Matthew Jagielski, Jesse C. Cresswell, Adam Dziedzic, Franziska Boenisch

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een super-slimme, vooraf getrainde "orakel" hebt (een Tabular Foundation Model) dat dingen kan voorspellen zoals leningen goedkeuren of medische diagnoses stellen, simpelweg door een paar voorbeelden te lezen die je het geeft. Dit wordt In-Context Learning (ICL) genoemd. Je hoeft het orakel niet opnieuw te trainen; je fluistert gewoon een paar voorbeelden in zijn oor, en hij begrijpt het patroon.

Het probleem? Die voorbeelden die je in zijn oor fluistert, kunnen privégeheimen bevatten (zoals het creditcardnummer van iemand of een medische geschiedenis).

Het Probleem: De "Leaky Whisper" (Lekkende Fluistering)

Het artikel begint met het bewijs dat als je privédata gebruikt als deze voorbeelden, het orakel per ongeluk de geheimen "lekt".

Denk er zo over na: Je vraagt het orakel: "Is de kredietscore van deze persoon goed?"

Als het orakel die specifieke data van die persoon eerder in de "gefluisterde voorbeelden" heeft gezien, kan het antwoorden met een iets andere mate van vertrouwen of snelheid dan wanneer het die persoon niet had gezien.
Een sluwe aanvaller (een "membership inference attack") kan naar deze kleine verschillen luisteren en raden: "Aha! De data van die specifieke persoon zat wel in de voorbeelden die je aan mij gaf!"

De auteurs hebben dit getest en ontdekten dat zelfs een passieve luisteraar in 10% van de gevallen correct kon raden (wat veel beter is dan puur gokken), en een agressievere aanvaller in 75% van de gevallen correct kon raden. Dit is een privacy-ramp.

De Oude Oplossing: Het "Public Library" Probleem

Om dit op te lossen, gebruikten onderzoekers eerder een methode genaamd PATE (Private Aggregation of Teacher Ensembles).

Hoe het werkte: Ze verdeelden de privédata onder verschillende "docent"-orakels. Deze docenten stemden over het antwoord op een vraag. Om de privacy te beschermen, voegden ze een beetje "statische ruis" toe aan de stem voordat het resultaat werd aangekondigd.
Het nadeel: Om de docenten de juiste vragen te laten stellen, had je een openbare bibliotheek nodig van vergelijkbare, niet-geprivatiseerde data om die vragen te genereren.
De realiteit: In gevoelige gebieden zoals de gezondheidszorg of de financiële sector heb je vaak geen openbare bibliotheek van vergelijkbare data. Je kunt niet zomaar een openbaar ziekenhuis vragen om "nep" patiëntendossiers die precies lijken op jouw privé-gegevens.

De Nieuwe Oplossing: TabPATE (De "Imagination Engine")

De auteurs introduceren TabPATE, een nieuwe manier om de privacy te beschermen die geen openbare bibliotheek nodig heeft.

Hier is de analogie:
In plaats van een openbare bibliotheek van nep-patiënten nodig te hebben om vragen te stellen, gebruikt TabPATE de spelregels om ze te verbeelden.

De regels zijn bekend: Tabulaire data (zoals spreadsheets) heeft strikte regels. We weten dat een kolom "Lengte" tussen 0 en 10 voet moet liggen. We weten dat "Leeftijd" een getal is. We weten dat "Geslacht" een specifieke categorie is.
Genereren van synthetische queries: TabPATE gebruikt deze bekende regels (de "bounds") om nep, synthetische vragen te verbeelden (genereren).
- Optie A (Pure Verbeelding): Het kiest gewoon willekeurige getallen binnen de toegestane bereiken (bijv. "Leeftijd: 45, Lengte: 5.8"). Dit kost nul privacy-budget.
- Optie B (Gestuurde Verbeelding): Als de data lastig is (zoals bij een zeldzame ziekte), besteedt het een klein beetje privacy-budget om de algemene "vorm" van de data te leren (bijv. "De meeste mensen zijn tussen de 30 en 50") en genereert het vervolgens vragen die bij die vorm passen.
Het stemproces: Het vraagt de "docent"-orakels (die de privégeheimen bevatten) naar deze verbeelde vragen.
Het veilige antwoord: De docenten stemmen, en het systeem voegt ruis toe aan de stem om ervoor te zorgen dat het geheim van één enkel persoon niet kan worden teruggehaald.
Het resultaat: Het systeem geeft een nieuwe lijst uit van "Verbeelde Vragen + Veilige Antwoorden". Deze lijst wordt de nieuwe "context" voor het orakel.

Waarom dit een grote zaak is

Geen publieke data nodig: Je hebt geen publieke dataset nodig die op jouw privé-dataset lijkt; het systeem bouwt zijn eigen "oefenvragen" vanaf nul met behulp van de bekende regels van de data.
Privacy wordt gewaarborgd: De auteurs hebben getest dat met TabPATE de succesrate van een sluwe aanvaller daalt tot bijna willekeurig gokken (vrijwel 50/50). De privégeheimen zijn effectief verborgen.
Het werkt nog steeds goed: Ondanks al deze privacybescherming kan het orakel nog steeds nauwkeurige voorspellingen doen. In hun tests presteerde TabPATE bijna net zo goed als de niet-geprivatiseerde versie en beter dan andere privacy-methoden die geen publieke data gebruikten.

Samenvatting

TabPATE is een privacyschild voor AI die privé spreadsheets leest. In plaats van een publieke dataset nodig te hebben om op te oefenen, gebruikt het de bekende grenzen van de data (zoals "leeftijd moet positief zijn") om zijn eigen oefenvragen te genereren. Het vraagt vervolgens aan een groep privé-"docenten" om over deze vragen te stemmen, voegt wat ruis toe om de individuele geheimen te verbergen, en geeft een veilige, gelabelde dataset vrij. Hierdoor kan de AI leren van privédata zonder ooit te lekken bij wie die data hoort, en zonder dat er externe publieke data nodig is om te helpen.

Technische Samenvatting: TabPATE: Differentieel Privé Tabulaire In-Context Learning Zonder Publieke Data

1. Probleemstelling

Tabulaire Foundation Models (TFMs) maken nauwkeurige voorspellingen mogelijk via In-Context Learning (ICL), waarbij een kleine gelabelde dataset in de context van het model wordt geplaatst om inferentie te sturen zonder parameterupdates. Hoewel dit effectief is in domeinen zoals de gezondheidszorg en de financiële sector, introduceert dit paradigma een kritiek privacygevaar: de records die in de context worden geplaatst, kunnen gevoelige privé-informatie bevatten.

De auteurs tonen eerst aan dat dit risico niet louter hypothetisch is. Door standaard Membership Inference Attacks (MIA's) aan te passen aan de tabulaire ICL-setting, laten zij zien dat modelvoorspellingen informatie lekken over de vraag of een specififieke record is opgenomen in de private demonstratiecontext.

Threat Models: De studie evalueert vier threat models, variërend van passieve black-box toegang (label-only) tot actieve grey-box toegang (met contextmanipulatie/vergiftiging).
Bevindingen: Zelfs passieve grey-box tegenstanders bereiken een True Positive Rate (TPR) van 9,9% bij een False Positive Rate (FPR) van 1%. Actieve aanvallen, zoals het gebruik van "Truth Serum"-vergiftiging, kunnen een TPR van 75,4% bereiken, wat aangeeft dat private context-records aanzienlijk worden blootgesteld via modelgedrag.

Standaard Differential Privacy (DP) trainingsmethoden zoals Differentially Private Stochastic Gradient Descent (DPSGD) zijn hier ongeschikt voor omdat TFMs worden gebruikt als bevroren inference-time modellen. Bestaande PATE (Private Aggregation of Teacher Ensembles) benaderingen, zoals PromptPATE, vertrouwen op ongelabelde publieke in-distributie data om queries te genereren voor teacher-modellen. In gevoelige tabulaire domeinen (bijv. financiën, gezondheidszorg) is dergelijke publieke data vaak niet beschikbaar, wat een kloof creëert voor praktische private implementatie.

2. Methodologie: TabPATE

Het artikel introduceert TabPATE, een central-DP framework ontworpen voor tabulaire ICL dat de vereiste voor publieke in-distributie transfer data elimineert. Het volgt een teacher-student architectuur:

A. Teacher Partitioning en Query Generatie

Partitioning: De private gevoelige dataset $D$ wordt verdeeld in $K$ disjuncte subsets. Elke subset dient als de demonstratiecontext voor een aparte "teacher" TFM (hetzelfde bevroren model, geprompt met verschillende data).
Synthetische Query Generatie (De Kerninnovatie): In tegenstelling tot standaard PATE dat teachers bevraagt op publieke data, genereert TabPATE synthetische tabulaire queries ( $\tilde{x}$ $\tilde{x}$ ) zonder publieke data. Dit maakt gebruik van de specifieke eigenschappen van tabulaire data (begrensde, getypeerde, laag-dimensionale features):
- Data-Independent Prior ( $\alpha=0$ ): Queries worden gesampled uit een vaste prior gebaseerd op bekende feature bounds (bijv. uniforme of Gaussische distributies over feature ranges). Dit brengt nul privacykosten met zich mee.
- DP Marginal Statistics ( $\alpha>0$ ): Een deel van het privacybudget ( $\alpha\epsilon$ ) wordt gebruikt om ruisgevoelige marginale statistieken (gemiddelden en varianties) van de private data vrij te geven. Queries worden vervolgens gesampled uit de resulterende productdistributie. Dit is gunstig voor ongebalanceerde datasets of regressietaken.

B. Private Aggregatie

De teachers worden bevraagd op de synthetische records. Hun voorspellingen worden geaggregeerd met behulp van het Confident-GNMax algoritme:

Als de teachers voldoende overeenstemming vertonen over een label, wordt een ruisgevoelig meerderheidslabel vrijgegeven.
Als de vertrouwen laag is, onthoudt het mechanisme zich van een label.
De resulterende gelabelde synthetische paren $(\tilde{x}, \tilde{y})$ vormen de student context ( $\tilde{D}$ ).

C. Privacy Garantie

De vrijgegeven student context voldoet aan $(\epsilon, \delta)$ -Differential Privacy. Het privacybudget wordt verdeeld tussen de optionele marginale release en de label aggregatie. Aangezien downstream voorspellingen alleen afhangen van de vrijgegeven student context, brengen zij geen extra privacykosten met zich mee.

3. Belangrijkste Bijdragen

Empirische Verificatie van Risico: De auteurs passen MIA's aan voor tabulaire ICL en tonen aan dat private context-records lekken via voorspellingen, waarbij actieve aanvallen ernstige lekkage veroorzaken.
TabPATE Framework: Een central-DP PATE-stijl defensie voor tabulaire ICL die de noodzaak voor publieke in-distributie transfer data vervangt door synthetische tabulaire queries afgeleid van feature bounds of DP marginals.
Empirische Validatie: Evaluatie over meerdere tabulaire benchmarks die aantoont dat TabPATE een concurrerende utility behoudt terwijl het membership inference succes tot bijna willekeurig niveau reduceert.

4. Experimentele Resultaten

De auteurs evalueerden TabPATE op vijf standaard classificatie datasets (bijv. German Credit, Diabetes) en acht regressie datasets, waarbij ze het vergeleken met non-private ICL, DP-SGD, DP-Synthetic data, Query-Time aggregatie en PromptPATE.

Utility: Bij een privacybudget van $\epsilon=10$ bereikte TabPATE een 71,2% balanced accuracy, waarmee het andere publieke-data-vrije baselines (zoals Query-Time met 61,3%) verslaat en PromptPATE (68,6%) nadert, dat publieke data vereist.
Privacy Bescherming: TabPATE mitigeerde membership inference succesvol. Voor de non-private TabPFN bereikten LiRA aanvallen een AUC van ~0,76. TabPATE reduceerde dit naar bijna willekeurige prestaties (AUC $\approx$ 0,5) bij zowel $\epsilon=1$ als $\epsilon=10$ .
Regressie: De methode werd uitgebreid naar regressietaken door begrensde, ruisgevoelige teacher voorspellingen te aggregeren. Hoewel regressie uitdagender bleek dan classificatie, verbeterde het toewijzen van een klein budget aan marginal query generatie ( $\alpha > 0$ ) de prestaties ten opzichte van puur data-onafhankelijke queries.
Baseline Vergelijking: TabPATE presteerde consistent beter dan DP-SGD en DP-Synthetic data baselines, die moeite hadden om utility te behouden onder privacybeperkingen.

5. Betekenis en Claims

Het artikel claimt dat TabPATE een praktisch pad biedt naar private tabulaire ICL in scenario's waarin publieke in-distributie data niet beschikbaar is. Door gebruik te maken van de gestructureerde aard van tabulaire features (begrensde ranges en types), genereert de methode nuttige queries zonder de privacy in gevaar te brengen of externe data te vereisen.

De auteurs concluderen dat TabPATE een levensvatbaar defensiemechanisme biedt dat:

Een concurrerende utility behoudt voor downstream taken.
De risico's van membership inference vermindert tot bijna willekeurige gokken.
De inzet van TFMs in gevoelige domeinen (zoals de gezondheidszorg en financiën) mogelijk maakt waar het delen van data voor publieke trainingssets beperkt is.

Het werk suggereert dat publieke-data-vrije PATE-stijl kennisoverdracht een haalbare route is voor het beveiligen van foundation models in omgevingen met gestructureerde data.