Resumo Técnico: Auditoria de Privacidade com Zero (0) Execução de Treinamento

1. Declaração do Problema

A auditoria de privacidade é essencial para estabelecer empiricamente limites inferiores nos parâmetros de privacidade diferencial (DP) de algoritmos de aprendizado, complementando garantias teóricas. No entanto, os métodos de auditoria existentes (por exemplo, Multi-Run e One-Run) dependem de acesso intervencionista ao pipeline de treinamento. Eles exigem ou o retreinamento de modelos múltiplas vezes com inserções de dados randomizadas ou a execução do algoritmo uma única vez com indicadores de associação randomizados.

Essa exigência intervencionista torna a auditoria inviável para modelos fundamentais em grande escala e implantados (por exemplo, Modelos de Linguagem de Grande Porte) devido a:

• Proibições Computacionais: O retreinamento ou a reexecução de pipelines de treinamento consome milhares de dias de GPU.
• Barreiras Logísticas: O acesso a pipelines de dados internos e a capacidade de randomizar a inclusão de dados são frequentemente indisponíveis em implantações de caixa preta.
• A Lacuna de Prestação de Contas: Os sistemas que apresentam os maiores riscos de privacidade são os mais isolados da avaliação independente, forçando a dependência de confiança em vez de verificação.

Além disso, uma tentativa ingênua de auditar sem intervenção (usando conjuntos de dados estáticos de membros e não-membros conhecidos) falha porque introduz desvios de distribuição de confusão. Se os conjuntos de dados de membros e não-membros seguirem distribuições subjacentes diferentes ($P_1 \neq P_0$), um ataque de inferência de associação (MIA) pode ter sucesso explorando essas diferenças distribucionais em vez de vazamento algorítmico, levando a falsos positivos e limites de privacidade inválidos.

2. Metodologia: Auditoria Zero-Run

Os autores propõem a Auditoria Zero-Run, um framework post-hoc que trata a auditoria de privacidade como um problema de inferência observacional, análogo à inferência causal. O framework opera sem modificar o algoritmo ou o pipeline de dados, confiando exclusivamente na saída do modelo e em dois conjuntos de dados fixos:

1. $D_1$ (Membros): Um subconjunto dos dados de treinamento (ou dados de pré-treinamento conhecidos).
2. $D_0$ (Não-membros): Um conjunto de dados conhecido por estar excluído do treinamento (por exemplo, dados pós-treinamento ou amostras sintéticas).

O framework procede em quatro etapas:

1. Observação: O auditor observa a saída do modelo $\theta = A(D_{train})$ e os dados observacionais $\{X_i\} = D_1 \cup D_0$.
2. Inferência de Associação: Um MIA padrão gera palpites brutos $T_i \in \{-1, 0, 1\}$ para cada $X_i$.
3. Estimação de Propensão: O auditor estima uma pontuação de propensão $\hat{\pi}(X_i) \approx P(S_i=1 | X_i)$, representando a probabilidade de que um ponto de dados seja um membro baseando-se exclusivamente em suas características. Isso isola a probabilidade de seleção estrutural do sinal algorítmico.
4. Correção: O framework aplica correções para desvendar o desvio de distribuição do vazamento algorítmico usando duas abordagens complementares.

Abordagens de Correção

O artigo formaliza dois métodos para corrigir o efeito de confusão do desvio de distribuição:

• Correção Global (Composição Adaptativa):

  • Modela o vazamento observado como a composição adaptativa de dois mecanismos: um mecanismo de desvio de distribuição ($M_{DS}$) e o algoritmo auditado ($A$).
  • Trata o vazamento total como $f_{Tot} = f \otimes f_{DS}$, onde $\otimes$ é o produto tensorial das funções de compromisso.
  • Resultado: Produz limites globais conservadores. Assume o vazamento de desvio de distribuição no pior caso em todos os pontos de dados, o que pode levar a uma perda de poder estatístico se o desvio for heterogêneo.

• Correção Condicional (Auditoria Ponto a Ponto):

  • Condiciona nos exemplos observados $X_i$. Reconhece que a contribuição do desvio de distribuição para a inferência é local, definida pelo log-odds $\epsilon_{DS}(x_i) = |\log \pi(x_i) - \log(1-\pi(x_i))|$.
  • Mecanismo de Manipulação: Para evitar excesso de confiança decorrente do desvio de distribuição, o framework "manipula" os palpites do MIA. Para um exemplo com uma pontuação de propensão altamente desequilibrada (por exemplo, $\pi(x) \approx 1$), um palpite correto é menos indicativo de vazamento algorítmico. O framework mantém tais palpites com uma probabilidade menor $b_i$, efetivamente randomizando a abstenção.
  • Resultado: Gera limites mais agudos e dependentes da instância que são robustos a desvios de distribuição sem as penalidades severas da abordagem global de pior caso.

Quantificação de Incerteza

Como as pontuações de propensão devem ser estimadas a partir de dados, o framework incorpora bootstrapping para quantificar a incerteza. Ao reamostrar o conjunto de dados de estimação de propensão, o método produz limites inferiores empíricos que contabilizam o erro de estimação, garantindo que a auditoria final permaneça válida com alta probabilidade.

3. Contribuições Principais

1. Formalização da Auditoria Zero-Run: O artigo define um regime de auditoria post-hoc onde a associação não é randomizada. Demonstra que auditorias ingênuas em tais dados superestimam o vazamento e conecta explicitamente essa configuração à inferência causal observacional, exigindo uma suposição de "sobreposição" (positividade) entre as distribuições de membros e não-membros.
2. Frameworks de Correção de Vazamento:
   • Uma Visão de Composição que deconvolve o desvio de distribuição do vazamento algorítmico via composição adaptativa.
   • Uma Visão Condicional que ajusta palpites de associação ponto a ponto com base em pontuações de propensão, gerando correções robustas e dependentes do desvio.
3. Quantificação de Incerteza: Integração de bootstrapping para fornecer limites inferiores estatisticamente válidos que contabilizam erros na estimação de pontuações de propensão.
4. Escalabilidade: Demonstração de que auditorias de privacidade podem ser realizadas em modelos grandes e implantados onde o retreinamento é computacional ou logisticamente impossível.

4. Resultados Experimentais

Os autores avaliam a auditoria Zero-Run em dados sintéticos e benchmarks do mundo real (iWildCam):

• Dados Sintéticos: Sob magnitudes crescentes de desvio de distribuição, auditorias One-Run padrão (ignorando o desvio) produzem limites inválidos. Correções globais perdem rapidamente o poder estatístico devido a penalidades de pior caso. Em contraste, a correção condicional consciente da propensão mantém limites empíricos informativos e relativamente planos através dos níveis de desvio.
• Dados do Mundo Real (iWildCam): Na presença de severos desvios de distribuição naturais (geográficos/ambientais), métodos globais e não conscientes da propensão produzem limites não positivos (inúteis). A correção condicional consciente da propensão extrai com sucesso um limite inferior de privacidade válido ($\hat{\mu} = 0.645$) para dados fora da distribuição (OOD), correspondendo de perto ao limite alcançado por uma divisão IID ideal ($\hat{\mu} = 0.652$).
• Custo: A abordagem Zero-Run incorre em uma penalidade de aproximadamente $\approx 1$ unidade na métrica $\mu$-GDP em comparação com a auditoria One-Run ideal, atribuída ao custo da estimação de pontuação de propensão e da quantificação de incerteza.

5. Significado e Alegações

O artigo alega que a auditoria de privacidade post-hoc é possível, mas deve ser tratada como um problema de inferência observacional. O significado chave reside em:

• Preenchendo a Lacuna de Prestação de Contas: Fornecer a reguladores e pesquisadores ferramentas para verificar garantias de privacidade para modelos fundamentais sem exigir acesso à infraestrutura de treinamento.
• Analogia Causal: Aplicação bem-sucedida de princípios de inferência causal (pontuações de propensão, ajuste de confusão) ao domínio da auditoria de privacidade.
• Praticidade: Habilitar a avaliação de privacidade em cenários onde garantias teóricas são opacas e a reexecução experimental é inviável.

Os autores permanecem modestos, reconhecendo limitações:

• Estimação de Propensão: O framework depende de uma estimação precisa de pontuações de propensão, o que é desafiador em configurações de alta dimensão e amostras finitas.
• Limitações Herdadas: A auditoria Zero-Run herda as ineficiências de amostras finitas dos métodos One-Run e depende da força basal do MIA subjacente.
• Falsificabilidade: Embora a auditoria seja válida, os próprios limites da pontuação de propensão não podem ser formalmente certificados; eles são computacionalmente falsificáveis através de testes adversariais, mas dependem de validação empírica.

Em conclusão, o artigo estabelece que o desvio de distribuição é uma fonte distinta de informação de associação que deve ser quantificada e corrigida. Ao usar pontuações de propensão, a auditoria Zero-Run converte esses fatores de confusão em limites inferiores empíricos válidos sobre o vazamento de privacidade algorítmica.