Resumo Técnico: Fantasmas e Revelações: Uma Estrutura Causal para Auditoria de Dados Sintéticos

Declaração do Problema

A rápida adoção de IA Generativa e Grandes Modelos de Linguagem (LLMs) posicionou os dados sintéticos como uma alternativa de preservação de privacidade para conjuntos de dados sensíveis do mundo real. No entanto, gerar dados sintéticos de alta utilidade carrega o risco inerente de memorizar e regurgitar informações privadas do corpus de treinamento. Um desafio crítico na auditoria desses sistemas é distinguir entre revelações verdadeiras (onde o sistema reproduz diretamente as informações de um usuário devido à memorização) e revelações fantasmas (onde o sistema gera incidentalmente os dados de um usuário devido à generalização, viés indutivo ou contaminação do modelo, independentemente de os dados desse usuário estarem ou não no conjunto de treinamento).

Métodos de auditoria anteriores frequentemente dependem de acesso ao modelo, da inserção de "canários" artificiais no conjunto de treinamento ou do treinamento de modelos de sombra. Essas abordagens são computacionalmente caras, exigem conhecimento especializado para projetar canários eficazes e frequentemente falham em contabilizar a taxa base de geração acidental de dados (fantasmas), levando a uma superestimação dos riscos de privacidade.

Metodologia

Os autores propõem uma estrutura de auditoria empírica, customizável e de caixa-preta que requer apenas o output sintético, os dados privados originais e um conjunto de controle reservado. A estrutura opera sem acesso aos componentes internos do modelo, sem inserção de canários e sem treinamento de modelos de referência.

Componentes Principais

1. Particionamento de Dados: O conjunto de dados privado $D$ é particionado em um conjunto de treinamento ($D_{train}$) e um conjunto de reserva ($D_{hold}$). Um conjunto de dados sintético $Y$ é gerado a partir de $D_{train}$ usando um mecanismo $M$.
2. Definição de Revelação: Uma revelação é definida como uma informação que é rara no corpus de origem, mas aparece no output sintético. A estrutura suporta três classes específicas:
   • Vazamento de PII: Strings que identificam um usuário (ex: números de telefone) que são raras na fonte.
   • Regurgitação: Sequências de tokens raras reproduzidas literalmente.
   • Reconstrução Semântica: Registros onde o significado é preservado nos dados sintéticos, apesar de serem semanticamente distintos na fonte.
3. Revelações Verdadeiras vs. Fantasmas:
   • Revelações Verdadeiras: Características raras encontradas em $Y$ que se originam de $D_{train}$.
   • Revelações Fantasmas: Características raras encontradas em $Y$ que se originam de $D_{hold}$. Estas servem como uma linha de base para a geração acidental.
4. Teste de Hipótese Estatística: A estrutura trata a auditoria como um experimento controlado para determinar se as revelações observadas em $D_{train}$ excedem a linha de base estabelecida por $D_{hold}$.
   • Teste de Zero-Aprendizado: Testa a hipótese nula de que o mecanismo $M$ não aprende nada com a entrada (consistente com 0-Privacidade Diferencial). Verifica se a distribuição das revelações no conjunto de treinamento é estatisticamente indistinguível do conjunto de reserva.
   • Teste de Aprendizado Limitado por DP: Testa a hipótese nula de que o mecanismo satisfaz $\epsilon$-Privacidade Diferencial. Avalia se a lacuna entre as revelações de treinamento e de reserva é consistente com um orçamento de privacidade $\epsilon$ específico.
5. Ataques de Inferência de Membro (MIA): A estrutura constrói um ataque de inferência de membro usando as pontuações de revelação. Ela prevê se um registro pertence ao conjunto de treinamento com base em sua similaridade com os dados sintéticos, medindo o sucesso via Área Sob a Curva (AUC).

Principais Contribuições

• Formalização de Revelação Fantasma: O artigo identifica e quantifica "revelações fantasmas", demonstrando que uma fração significativa (ex: >35% em alguns experimentos) das aparentes violações de privacidade é incidental. Ignorar isso leva a uma superestimação ingênua do risco.
• Auditoria de Caixa-Preta e Independente de Modelo: A estrutura funciona sem acesso ao modelo, inserção de canários ou treinamento de modelos de sombra.
• Estrutura Causal: Ao particionar os dados em grupos de tratamento (treinamento) e controle (reserva), o método estabelece um elo causal entre a participação no conjunto de treinamento e o excesso de revelações, controlando o erro do Tipo I.
• Limites Formais de Privacidade: A abordagem fornece limites inferiores empíricos para o parâmetro de privacidade $\epsilon$ e oferece testes estatísticos rigorosos (com controle de erro do Tipo I) para rejeitar o zero-aprendizado ou garantias específicas de DP.
• Interpretabilidade: Ao contrário das pontuações de MIA de caixa-preta, esta estrutura identifica características específicas (ex: números de telefone específicos ou embeddings semânticos) que constituem o vazamento, permitindo que auditores entendam a natureza do risco.

Resultados Experimentais

Os autores avaliaram a estrutura em seis conjuntos de dados públicos (Finance, NYT Comments, Panorama, Panorama+, Postings, Tweets) usando três técnicas de geração:

1. Reescritas (Rewrites): Solicitar que um LLM reescreva os registros.
2. Ajuste Fino (SFT): Ajuste fino padrão nos dados privados.
3. DP-SGD: Ajuste fino com restrições de Privacidade Diferencial.

Principais Descobertas:

• Modelos Não-Privados: Para Reescritas e SFT, a estrutura rejeitou com sucesso a hipótesa de zero-aprendizado, detectando revelações verdadeiras significativas. Os valores de $\epsilon$ estimados foram altos (ex: até 5.3 para reescritas de NYT), indicando vazamento substancial de privacidade.
• Modelos DP: Para modelos treinados com DP-SGD, a estrutura falhou em rejeitar a hipótese de zero-aprendizado. As revelações observadas foram estatisticamente indistinguíveis das revelações fantasmas, validando a eficácia das proteções de privacidade formais.
• Comparação com Baselines: Comparada ao estado da arte de auditoria baseada em canários de Meeus et al. [32], o método proposto:
  • Detectou medidas de revelação mais estreitas para dados não-privados.
  • Alcançou resultados comparáveis ou melhores para dados DP.
  • Exigiu ordens de magnitude menos recursos computacionais (sem treinamento de modelo de sombra).
  • Detectou vazamento semântico (via embeddings) que as linhas de base de n-gramas literais perderam (ex: AUC de 0.93 para reescritas de NYT vs. 0.51 para a baseline).

Significância e Alegações

O artigo afirma que a auditoria rigorosa de dados sintéticos deve se desvincular de algoritmos de geração específicos e contabilizar a taxa base de geração acidental de dados. Ao formalizar a distinção entre revelações verdadeiras e fantasmas, a estrutura fornece um método mais preciso, interpretável e eficiente para quantificar o vazamento de privacidade.

Os autores enfatizam que sua abordagem oferece uma implementação "pronta para uso" para auditores de privacidade internos, permitindo quantificar riscos de vazamento antes da liberação dos dados sem a necessidade de projetar canários complexos ou acessar pesos proprietários do modelo. A estrutura oferece garantias estatísticas formais (controle de erro do Tipo I) e limites inferiores empíricos sobre a perda de privacidade, oferecendo uma alternativa robusta às técnicas de auditoria anteriores dependentes de modelos ou canários. O artigo conclui que, embora os dados sintéticos não-privados frequentemente exibam vazamentos significativos, as proteções de privacidade formais (como DP-SGD) mitigam efetivamente as revelações verdadeiras, tornando-as estatisticamente indistinguíveis de coincidências aleatórias.