REAEDP: Entropy-Calibrated Differentially Private Data Release with Formal Guarantees and Attack-Based Evaluation

Resumo Técnico: REAEDP

1. Problema e Motivação

A liberação de dados sensíveis (como registros de saúde, logs de recomendação ou trajetórias) enfrenta ameaças de privacidade do lado da saída, incluindo inferência de membros, inferência de atributos e vinculação de registros (record linkage). Mesmo com a remoção de identificadores diretos, ataques baseados em dados auxiliares ou gradientes podem reidentificar indivíduos.

Existe uma necessidade prática de mecanismos de liberação que ofereçam garantias formais de privacidade (como Privacidade Diferencial - DP) enquanto preservam a utilidade dos dados de forma mensurável. As lacunas técnicas identificadas pelos autores são:

• Falta de controle explícito de sensibilidade para entropia de Shannon e sua extensão para entropia de Rényi em pipelines de liberação baseados em histogramas.
• A calibração baseada em entropia, a liberação de dados sintéticos e a análise formal de DP são frequentemente estudadas separadamente, e não integradas em um único framework.
• Avaliações experimentais muitas vezes se limitam a métricas de utilidade, sem comparações diretas contra ataques de inferência padrão.

2. Metodologia e Framework REAEDP

Os autores propõem o REAEDP, um framework de Privacidade Diferencial que combina três componentes principais:

A. Calibração de Entropia para Histogramas

• O framework utiliza histogramas como estatísticas de liberação.
• Contribuição Teórica Chave: Derivação de um limite explícito de sensibilidade para a entropia de Shannon ($\Delta H$) e para a entropia de Rényi ($\Delta H_\alpha$) sob o modelo de adjacência de substituição (dois conjuntos de dados de mesmo tamanho que diferem em exatamente um registro).
• O limite teórico é dado por:
  $$\Delta H \leq \frac{1}{n} \left( 2 + \frac{1}{\ln 2} + 2 \log_2 n \right)$$
  onde $n$ é o tamanho do conjunto de dados.
• Esse limite permite calibrar o ruído (ex: Laplace) adicionado aos contagens do histograma de forma que a mudança na entropia liberada seja controlada e previsível.

B. Mecanismo de Dados Sintéticos (F) com Garantia Formal

• O paper introduz um mecanismo $F$ para a geração de dados sintéticos no contexto de Kernels de Wiener e Espaços de Hilbert de Reprodutibilidade de Kernel (RKHS).
• O mecanismo utiliza uma estrutura de teste de privacidade:
  1. Seleciona uma "semente" (registro) do conjunto de dados original.
  2. Amostra um candidato de registro sintético baseado em uma distribuição proposta dependente da semente.
  3. Executa um teste probabilístico baseado em uma variável aleatória $L$ e parâmetros de limiar ($k, t$).
• Garantia Formal: Sob condições específicas de parâmetros, o mecanismo satisfaz $(\varepsilon, \delta)$-Privacidade Diferencial. O $\varepsilon$ é definido como $\varepsilon = \varepsilon_0 + \ln(1 + \gamma/t)$ e $\delta = e^{-\varepsilon_0(k-t)}$.

C. Avaliação Baseada em Ataques

• O framework não depende apenas de garantias teóricas, mas valida a privacidade empiricamente através de:
  • Ataque de Inferência de Membros (MIA): Um classificador tenta determinar se um registro específico estava no conjunto de dados original.
  • Ataque de Estilo de Vinculação (Linkage-style): Um adversário tenta vincular a liberação a um dos dois conjuntos de dados candidatos adjacentes.
• A utilidade é medida pela preservação da entropia e erro de contagem (MAE).

3. Principais Contribuições

1. Limite de Sensibilidade de Entropia: Derivação teórica rigorosa do limite de sensibilidade para entropia de histogramas, permitindo a calibração precisa do ruído para liberação de estatísticas de entropia.
2. Mecanismo Sintético Formalmente Garantido: Proposição e prova de um mecanismo de dados sintéticos ($F$) que opera em espaços funcionais (Wiener Kernel) com garantias $(\varepsilon, \delta)$-DP explícitas.
3. Avaliação Integrada: Uma avaliação empírica abrangente que combina comparação com baselines (Laplace vs. Gaussiano), estudos de parâmetros e testes de ataque reais em múltiplos conjuntos de dados tabulares públicos.

4. Resultados Experimentais

Os experimentos foram conduzidos em diversos conjuntos de dados tabulares públicos (ex: Amazon Product Reviews, House Prices, Home Credit) e dados sintéticos.

• Validação do Limite Teórico: A mudança empírica na entropia ($\hat{\Delta H}$) permaneceu consistentemente abaixo do limite teórico derivado (Teorema 3) em todos os regimes testados (tamanhos de $n$ variando de 50 a 5000).
• Comparação de Baselines: Mecanismos padrão (Laplace e Gaussiano) exibiram tendências de utilidade comparáveis ao pipeline calibrado por entropia do REAEDP.
• Resistência a Ataques:
  • À medida que o parâmetro de privacidade $\varepsilon$ diminui (privacidade mais forte), o desempenho dos ataques de inferência de membros e de vinculação degrada-se, aproximando-se do comportamento de "chute aleatório" (acurácia de 0.5).
  • Isso confirma que o framework limita efetivamente a informação vazada sobre indivíduos específicos.
• Dados Sintéticos e Kernel de Wiener: A análise mostrou que o parâmetro de penalidade $\rho$ no Kernel de Wiener controla o tradeoff entre privacidade e utilidade. Valores maiores de $\rho$ reduzem o ruído efetivo, aproximando a média privada da original, enquanto valores menores aumentam a privacidade.
• Taxa de Aprovação do Teste de Privacidade: O mecanismo sintético $F$ manteve taxas de aprovação não desprezíveis mesmo sob configurações de privacidade estritas (valores altos de $k$), indicando viabilidade prática.

5. Significado e Conclusão

O trabalho REAEDP oferece um pipeline de liberação de dados privativos praticamente utilizável e teoricamente fundamentado.

• Significado Teórico: Preenche a lacuna de não ter limites de sensibilidade explícitos para entropia em pipelines de DP, permitindo que a entropia seja usada como uma métrica de utilidade calibrada.
• Significado Prático: Demonstra que é possível liberar dados sintéticos e estatísticas de histograma com garantias formais, validadas não apenas por teoremas, mas também por sua robustez contra ataques reais de inferência.
• Limitações e Futuro: A análise baseada em histogramas depende da discretização (escolha de bins), o que pode ser sensível em dimensões muito altas. A validação em dados multimodais, sequenciais ou federados e a inclusão de benchmarks de inferência de atributos são apontados como trabalhos futuros.

Em suma, o REAEDP estabelece um novo padrão para a avaliação de frameworks de privacidade, combinando análise teórica de limites, comparação com baselines padrão e testes de ataque empíricos em um único estudo unificado.