Resumo Técnico: ScoreShield

Declaração do Problema

Um número crescente de aplicações, incluindo verificação biométrica e geração aumentada por recuperação (RAG), depende de pontuações de similaridade de cosseno computadas entre embeddings vetoriais. Esses sistemas frequentemente liberam pontuações de similaridade (seja como vetores para correspondência consulta-coleção ou como matrizes de Gram para análises pareadas) via APIs. No entanto, tais liberações podem vazar informações sobre registros individuais, permitindo ataques de inferência de associação e ataques de subida de encosta guiados por pontuação (score-guided hill-climbing attacks).

Embora a privacidade diferencial (DP) ofereça um arcabouço principiológico para mitigar esses riscos, a aplicação ingênua de mecanismos de DP padrão — especificamente a adição de ruído Gaussiano independente e identicamente distribuído (i.i.d.) às entradas de vetores ou elementos de matriz — prova-se inadequada. Essa abordagem trata os vetores de pontuação de cosseno e matrizes de Gram como arrays euclidianos sem restrições. Consequentemente, os outputs perturbados violam as restrições geométricas inerentes às similaridades de cosseno:

1. Vetores: As pontuações devem estar dentro de $[-1, 1]$.
2. Matrizes de Gram: A matriz deve ser simétrica, semidefinida positiva (PSD), possuir entradas diagonais unitárias (visto que os embeddings possuem norma unitária) e entradas fora da diagonal limitadas em $[-1, 1]$.

A perturbação Gaussiana ingênua falha em preservar essas restrições, levando a uma distorção excessiva (baixa utilidade) para um determinado orçamento de privacidade. Além disso, o escalonamento de erro dos mecanismos ingênuos é ruim; para a liberação de Gram pareada total sob substituição de nível de registro, o erro quadrático esperado da norma de Frobenius escala como $\Theta(n^3)$, o que degrada rapidamente conforme o tamanho da galeria $n$ aumenta.

Metodologia: ScoreShield

Os autores propõem o ScoreShield, um mecanismo de "perturbar-e-projetar" projetado para liberar pontuações de similaridade sob privacidade diferencial central $(\varepsilon, \delta)$ enquanto impõe estritamente a viabilidade geométrica. O arcabouço opera em dois regimes:

1. Liberação de Vetor Consulta-para-Coleção (Regime i)

Neste regime, um curador libera um vetor de pontuação privatizado $s = Eq$ que representa a similaridade entre um embedding de consulta público $q$ e uma galeria de $n$ embeddings armazenados.

• Mecanismo: O curador computa o vetor de pontuação limpo, adiciona ruído Gaussiano calibrado para a sensibilidade $\ell_2$-global ($\Delta_{query} = 2$) e, em seguida, projeta o vetor ruidoso no conjunto de viabilidade $C_{query} = [-1, 1]^n$.
• Projeção: A projeção é uma operação simples de clipping coordenada a coordenada: $\text{proj}_{C_{query}}(s')_i = \max(-1, \min(1, s'_i))$.
• Privacidade: Como a projeção é um passo de pós-processamento determinístico independente dos dados privados, a garantia de $(\varepsilon, \delta)$-DP do mecanismo Gaussiano é preservada.

2. Liberação de Matriz de Gram Pareada Total (Regime ii)

Neste regime, o curador libera uma matriz de Gram de cosseno pareada privatizada $S = EE^\top$ para análises não interativas (ex: agrupamento, auditoria de viés).

• Mecanço: O curador adiciona ruído Gaussiano à matriz de Gram, calibrado para a sensibilidade de Frobenius global. Sob adjacência de nível de registro, essa sensibilidade é $\Delta_{full} = 2\sqrt{2(n-1)} = \Theta(\sqrt{n})$.
• Projeção: A matriz ruidosa é projetada no conjunto de viabilidade de cosseno-Gram $C_{coll}$, definido como o conjunto de matrizes simétricas, PSD, com diagonal unitária e entradas fora da diagonal em $[-1, 1]$.
• Algoritmo: Como a projeção exata sobre este conjunto (um eliptóide) é computacionalmente cara (exigindo um Programa Semidefinido - SDP), os autores empregam um algoritmo de Projeção Alternada Média Rápida (AAP). Este itera entre projetar no cone PSD (via clipping de autovalores) e projetar na caixa de diagonal unitária (via clipping de entrada). Os autores provam a convergência R-linear para a viabilidade sob regularidade linear limitada.

Principais Contribuições

1. Melhoria Quantitativa sobre a DP Gaussiana Ingênua:

   • Para a liberação de matriz de Gram sob adjacência de nível de registro, o mecanismo Gaussiano ingênuo produz um erro quadrático esperado de Frobenius de $\Theta(n^3)$. O ScoreShield, utilizando a geometria do conjunto de viabilidade, melhora este limite para $O(n^2)$ para parâmetros de privacidade fixos.
   • Sob adjacência de espaço de saída (matriz de Gram), a melhoria é de $\Theta(n^2)$ para $O(n^{3/2})$.
   • Para a liberação de vetores, o ScoreShield preserva o escalonamento de pior caso $\Theta(n)$ do mecanismo ingênuo, mas oferece ganhos de fator constante ao reduzir o erro em coordenadas saturadas via projeção.

2. Garantias de Utilidade para Métricas de Nível de Decisão (Regime i):

   • O artigo fornece garantias teóricas para tarefas de verificação, caracterizando a probabilidade de inversões de decisão (aceitar/rejeitar) devido ao ruído.
   • Prova a existência e unicidade de uma recalibração de limiar que restaura qualquer ponto operacional atingível (Taxa de Falso Positivo, Taxa de Verdadeiro Positivo) alcançável pelas pontuações privatizadas.
   • Estabelece estabilidade uniforme para ROC/AUC, mostrando que, sob CDFs de pontuação Lipschitz, o desvio é no máximo $O(\sigma)$, o que é estritamente de primeira ordem.

3. Projeção Escalável com Garantias de Convergência:

   • Os autores introduzem um solver AAP escalável para impor restrições de cosseno em grandes matrizes de Gram.
   • Fornecem provas teóricas para a convergência R-linear deste solver para o conjunto de viabilidade, garantindo aplicabilidade prática para liberações de grande escala onde a projeção SDP exata é intratável.

4. Avaliação Abrangente:

   • Regime (i): Avaliado em Reconhecimento Facial (usando LFW, IJB-B/C e outros benchmarks) e DP-RAG (usando o benchmark FRAMES). Os resultados demonstram que o ScoreShield mantém a utilidade de nível de decisão (precisão de verificação, TAR) significativamente melhor do que o ruído Gaussiano ingênuo, particularmente em pontos operacionais rigorosos.
   • Regime (ii): Avaliado em similaridade de imagem (CIFAR-10/100, Oxford-IIIT Pets), similaridade textual semântica (STS-B) e sistemas de recomendação (MovieLens-100K). As matrizes de Gram projetadas superam consistentemente as matrizes ruidosas não projetadas em tarefas downstream como agrupamento (NMI), recuperação (Recall@1) e filtragem colaborativa (RMSE).

Significância e Alegações

O artigo afirma fornecer a primeira análise sistemática de modelo central de $(\varepsilon, \delta)$-DP de liberações de pontuação de correspondência em sistemas de reconhecimento facial profundo que conecta a recalibração de limiar a garantias de nível de decisão. Ele aborda uma lacuna crítica na literatura, onde trabalhos anteriores focaram ou em DP local (perturbando entradas) ou em métodos criptográficos, deixando as garantias de modelo central para pontuações de similaridade liberadas amplamente inexploradas.

Os autores posicionam o ScoreShield como um invólucro (wrapper) de pós-processamento geral e agnóstico a modalidades. Ao impor as restrições estruturais da similaridade de cosseno (PSD, diagonal unitária, entradas limitadas) através de projeção, o mecanismo alcança um tradeoff privacidade-utilidade superior comparado à adição de ruído sem restrições. Os resultados sugerem que a privatização consciente das restrições é um primitivo necessário para que sistemas baseados em similaridade permaneçam funcionais enquanto fornecem proteções de privacidade rigorosas contra ataques de inferência de associação e ataques guiados por pontuação.

O trabalho é modesto em seu escopo, focando em liberações de um único passo (one-shot), não interativas sob adjacência de substituição de nível de registro. Ele nota explicitamente que não aborda consultas adaptativas repetidas (que exigem contabilidade de composição) ou a derivação de distribuições de ruído otimizadas por instância, deixando essas como direções para trabalhos futuros.