Resumo Técnico: Garantias de Negação Plausível para Denunciantes

Definição do Problema

Denunciantes (whistleblowers) servem como uma salvaguarda crítica contra a má conduta organizacional, mas o medo de retaliação desencoraja significamente a denúncia. Embora os marcos regulatórios existentes (por exemplo, a Diretiva de Proteção ao Denunciante da UE) exijam canais de denúncia confidenciais, eles falham em fornecer garantias formais sobre o que uma organização pode inferir das ações subsequentes de um auditor.

O desafio central de privacidade surge quando uma organização, agindo como um "adversário forte", observa a sequência de decisões de auditoria (o transcrito da auditoria), mas não os relatórios em si. Se um auditor investigar uma organização logo após o registro de uma denúncia, e apenas alguns funcionários tivessem acesso à informação relevante, a organização pode inferir a identidade do denunciante. O artigo formaliza a necessidade de negação plausível: garantir que o transcrito de auditoria observável não permita que um adversário distingua entre um mundo onde um relatório específico foi registrado e um mundo onde ele não foi, além de uma vantagem negligenciável.

Abordagens existentes, como a Resposta Aleatória (adaptando o mecanismo de Warner de 1965 para o contexto de denúncias), sofrem de um compromisso fundamental entre utilidade e privacidade. Elas forçam o auditor a selecionar alvos de auditoria quase uniformemente de forma aleatória para satisfazer as restrições de privacidade, tornando o processo de auditoria insensível ao volume real de denúnias. Além disso, mecanismos padrão de privacidade diferencial (DP) muitas vezes não visam diretamente o modelo de ameaça onde a própria entidade auditada é o adversário que observa a sequência completa de decisões.

Metodologia

Estrutura Formal

Os autores propõem um framework de auditoria definido sobre um horizonte $T$ com $C$ alvos de auditoria.

• Entrada: Um fluxo de contagens de relatórios $R_T = (r_1, \dots, r_T)$, onde $r_{t,c}$ é o número de novos relatórios para o alvo $c$ no tempo $t$.
• Saída: Um transcrito de auditoria $a_T = (a_1, \dots, a_T)$, onde $a_t \in [C]$ é o alvo selecionado para auditoria no tempo $t$.
• Definição de Privacidade: O artigo adota a Privacidade Diferencial (DP) (0, $\delta$) em relação à adjacência por relatório. Dois fluxos de relatórios são adjacentes se diferirem por exatamente um relatório em um tempo e alvo específicos.
• Modelo de Ameaça: O adversário é o próprio alvo da auditoria, possuindo conhecimento interno quase completo e observando o transcrito completo $a_T$. O objetivo é limitar a vantagem do adversário em distinguir se um relatório específico foi registrado.
• Métrica de Utilidade: O erro é definido como a probabilidade de o mecanismo falhar em selecionar o alvo com a maior contagem ativa (relatórios recebidos desde a última auditoria daquele alvo).

O Resultado Negativo: Resposta Aleatória

O artigo prova que aplicar a Resposta Aleatória (RR) na etapa de seleção — onde o auditor ignora relatórios com probabilidade $p_{rand}$ e audita um alvo aleatório, caso contrário auditando o alvo com a maior contagem — não pode superar a auditoria aleatória uniforme por mais do que $\delta$.

• Teorema 2: Para qualquer horizonte $T$, se a RR satisfizer $(0, \delta)$-DP, a probabilidade de selecionar o alvo errado (quando existe um maximizador único) é limitada inferiormente por $\frac{C-1}{C} - \delta$.
• Implicação: A RR é "insensível ao gap". Mesmo que o intervalo de relatórios entre o líder e o segundo colocado seja massivo, o erro permanece alto porque o requisito de privacidade força o mecanismo a explorar (auditar aleatoriamente) quase sempre.

A Solução Proposta: Redução para Contagem Contínua Privada

Para superar as limitações da RR, os autores propõem uma redução genérica de auditoria privada para contagem contínua privada.

1. Design do Mecanismo (Algoritmo 1):
   • Para cada alvo de auditoria $c$, manter uma instância independente de um contador contínuo $(0, \delta)$-DP.
   • Em cada passo de tempo, alimentar as novas contagens de relatórios para cada alvo em seu respectivo contador.
   • Selecionar o alvo com a maior contagem ruidosa (a saída do contador).
   • Condição de Reinicialização: Ao realizar a auditoria de um alvo, reiniciar sua instância de contador e resetar sua contagem ativa para zero. Isso garante que a privacidade de relatórios passados não seja comprometida por decisões futuras.
2. Garantia de Privacidade: O transcrito da auditoria é um pós-processamento das saídas do contador. Como os contadores satisfazem $(0, \delta)$-DP e o mecanismo de reinicialização garante que um único relatório afete apenas uma instância de contador ativa, todo o transcrito herda a garantia de $(0, \delta)$-DP.
3. Instanciação Concreta: Os autores instanciam este framework usando o contador de fatoração de Toeplitz (Fichtenberger et al., 2023; Dvijotham et al., 2024). Este mecanismo alcança um escalonamento de ruído de $O(\sqrt{\log T})$, que é próximo do ideal para contagem contínua.

Análise de Utilidade

O artigo deriva um teorema de utilidade (Teorema 6) mostrando que o erro de seleção decai conforme o gap efetivo entre o verdadeiro líder e os desafiantes cresce.

• O gap efetivo inclui a verdadeira diferença de contagem de relatórios mais o ruído acumulado.
• Diferente da RR, o erro do mecanismo proposto desaparece sempre que o gap de relatórios ruidoso cresce mais rápido que $\sqrt{\log T}$. Isso permite que o mecanismo seja altamente responsivo aos volumes de relatórios enquanto mantém a privacidade estrita.

Principais Contribuições

1. Formalização: O artigo formaliza a auditoria de denunciantes como DP $(0, \delta)$ por relatório no transcrito da auditoria sob um modelo de adversário forte onde o alvo é o adversário.
2. Resultado Negativo para RR: Prova que a Resposta Aleatória é fundamentalmente limitada, estando presa a uma auditoria quase uniforme, independentemente do horizonte ou do gap de relatórios.
3. Redução Genérica: Estabelece uma redução de auditoria privada para contagem contínua privada, permitindo que qualquer contador $(0, \delta)$-DP seja usado como um componente plug-in.
4. Mecanismo Concreto (TCA): Ao instanciar a redução com fatoração de Toeplitz, os autores criam um mecanismo (Auditoria Contínua de Toeplitz, TCA) que alcança $(0, \delta)$-DP com escalonamento de ruído $O(\sqrt{\log T})$.
5. Teorema de Utilidade: Fornece um limite teórico mostrando que o erro de seleção decai conforme o gap entre a organização líder e seus competidores cresce, uma melhoria significativa em relação ao erro constante da RR.

Resultados

• Teóricos: O teorema de utilidade demonstra que o erro do mecanismo proposto aproxima-se de zero conforme o gap entre a organização líder e seus competidores cresce, enquanto o erro da RR permanece constante e alto.
• Empíricos: Simulações tanto em cenários estáticos (varredura de gap) quanto dinâmicos (auditoria online) confirmam os achados teóricos:
  • Estático: A taxa de erro de seleção da TCA cai rapidamente conforme o gap de relatórios aumenta, enquanto a RR permanece insensível ao gap.
  • Dinâmico: Em um cenário online com resets de relatórios, a TCA mantém um "déficit de contagem ativa" (regret) significativamente menor do que a RR e a auditoria aleatória uniforme, aproximando-se do desempenho de uma linha de base gananciosa (greedy) não privada.

Significância e Alegações

O artigo afirma fornecer a primeira garantia quantificável de negação plausível para denunciantes que opera efetivamente em longos horizontes sem sacrificar a utilidade.

• Credibilidade: Ao garantir que as decisões de auditoria não podem ser deterministicamente ligadas a relatórios específicos, o mecanismo torna os canais de denúncia mais credíveis para potenciais denunciantes que temem retaliação.
• Governança de IA: O trabalho é particularmente motivado pela necessidade de denúncias internas credíveis na governança de IA, onde informações privilegiadas são sinais fundamentais para auditorias de segurança. O mecanismo garante que um desenvolvedor não possa inferir que um funcionário específico registrou uma denúncia com base no tempo ou no alvo de uma avaliação de modelo.
• Limitações: Os autores observam modestamente que a garantia por denunciante degrada linearmente com o número de relatórios registrados ($k\delta$) e que o modelo assume um auditor confiável que não vaza contagens privadas. Eles reconhecem que falhas operacionais do mundo real (por exemplo, vazamentos de logs de acesso) estão fora do escopo desta garantia algorítmica/criptográfica.

Em resumo, o artigo argumenta que, embora a Resposta Aleatória seja um primitivo de privacidade canônico, ela é insuficiente para auditorias de alto risco onde a utilidade é primordial. Ao aproveitar os avanços na contagem contínua, é possível construir políticas de auditoria que ofereçam uma negação plausível forte e formal, permanecendo altamente responsivas aos dados que foram desenhadas para proteger.