技术摘要：说服性隐私 (Persuasive Privacy)

问题陈述

本文探讨了当前数据隐私标准（尤其是差分隐私，Differential Privacy, DP）在几个关键领域的局限性。尽管 DP 已成为事实上的标准，但它在参数解释、技术保证与法律/社会隐私概念之间的差距，以及在实际部署中隐私损失预算往往具有空洞性等方面面临着概念性挑战。至关重要的是，现有的 DP 框架难以为确定性算法（例如美国十年一度人口普查摘要等不变统计量）提供非空洞的保证，因为这些机制本质上会在不添加噪声的情况下泄露关于输入数据的信息。此外，DP 的语义解释通常是事后构建的，这使得它们难以针对特定用例进行定制或直观理解。

作者提出需要一种能够实现以下目标的框架：

1. 生成既“符合目的”又经过严谨论证的隐私定义。
2. 使用统一的方法评估现有的隐私保证。
3. 评估确定性算法的隐私性，这是目前 DP 及其大多数变体所缺乏的能力。

方法论

作者引入了说服性隐私 (Persuasive Privacy, PP)，这是一个基于贝叶斯博弈论 (Bayesian game theory) 的新颖框架。该框架将数据发布过程建模为一个涉及以下两方的斯塔克伯格博弈 (Stackelberg game)：

• 发送方 (Sender)： 敏感数据 $x \in \mathcal{X}$ 的保管者，负责设计发布信息的机制 $M$。
• 接收方 (Receiver)： 对 $x$ 存在不确定性的对手，由先验分布 $Q$ 表示。接收方观察机制 $M$ 的输出并将其信念更新为后验分布 $Q_T$，随后采取影响发送方隐私的行为 $d$。

核心组件

1. 隐私函数与评分： 发送方的隐私通过隐私函数 $\rho(d, x)$ 进行量化，该函数代表了发送方对接收方决策的偏好。这等价于使用适当评分规则 (proper scoring rules) $S(P, x)$ 来进行表述，其中接收方的决策是使期望损失最小化的分布 $P$。“隐私得分”衡量了接收方的信念对真实数据的预测能力。
2. 相对隐私损失： 该框架关注由于数据发布引起的隐私变化。相对隐私得分定义为 $\Delta(Q, T, x) = S(Q, x) - S(Q_T, x)$。较低的数值表示保留了更高的隐私性。
3. 鲁棒性假设：
   • 透明性： 发送方向接收方共享机制 $M$ 和由定义生成的隐私类 $C$，但这些定义不得依赖于特定的数据 $x$。
   • 贝叶斯理性： 接收方作为一个贝叶斯最优智能体行动，通过贝叶斯法则更新信念，并选择行动以最小化期望损失。
   • 最坏情况评估： 发送方针对指定类 $\mathcal{Q}_x$ 中的最坏情况数据-先验 $Q$ 以及最坏情况数据集 $x$ 进行鲁棒的隐私评估。
4. 说服性隐私的定义： 对于所有属于集合 $\mathcal{S}$ 的评分规则、所有数据集 $x$ 以及所有先验 $Q \in \mathcal{Q}_x$，如果相对隐私损失超过阈值 $\kappa$ 的概率至多为 $\delta$，则称机制 $M$ 是 $(\mathcal{S}, \mathcal{Q}_x, \kappa, \delta)$-PP：
   $$\inf_{S \in \mathcal{S}} \inf_{x \in \mathcal{X}} \inf_{Q \in \mathcal{Q}_x} P_x [\Delta_S(Q, T, x) \le \kappa] \ge 1 - \delta$$

主要贡献与结果

1. 理论统一与现有定义的恢复

该框架成功地将已建立的隐私定义恢复为特例，并赋予了它们新的博弈论语义：

• 概率差分隐私 (PDP)： 作者证明，一个机制是 $(\epsilon, \delta)$-PDP 当且仅当它是 $(\mathcal{L}, \mathcal{H}, \epsilon, \delta)$-PP，其中 $\mathcal{L}$ 是负对数概率评分，$\mathcal{H}$ 是代表相邻数据集的两个分量的离散先验类。这将其解释为：保护针对接收方对真实数据概率趋于零的最坏情况。
• Rényi 差分隐私 (RDP) 与 f-散度隐私： 通过将评估条件从尾部概率（假设 4）修改为期望值条件（假设 4*），该框架产生了期望说服性隐私 (PPE)。这一变体恢复了 RDP 和 f-散度隐私，将它们直接与隐私得分的期望变化联系起来。

2. 后处理性质

论文区分了两种类型的后处理：

• 接收方后处理： 框架满足此性质，即接收方无法通过对输出进行后处理来获得额外信息。这与 DP 的对抗鲁棒性标准证明一致。
• 发送方后处理： 框架不满足标准的发送方后处理不等式（即私有机制与核函数组合后仍保持私有）。作者指出这是 PDP 的已知局限性。然而，他们展示了发送方可以通过发布原始机制与转换后机制的联合输出，从而有效地控制隐私损失，从而平凡地满足该保证。

3. 确定性机制的隐私性

其主要贡献在于能够为确定性机制定义非空洞的隐私保证，而这类机制通常被排除在 DP 之外。论文提供了两个具体的例子：

• 私有经验平均值： 使用边际 Dawid–Sebastiani 分数 (DSS)，并通过限制接收方先验类的范围（具体为限制先验均值与真实均值之间的距离相对于方差的比率），作者为发布不加噪声的精确经验平均值建立了说服性隐私保证。
• 私有单元抑制 (Cell Suppression)： 对于在列联表中抑制小计数的机制，该框架使用对数概率评分建立了保证。隐私参数由接收方关于小单元计数的先验信念强度决定。

意义与主张

论文声称，说服性隐私提供了一种语义优先的数据隐私方法。在 DP 中，语义解释往往是事后推导的，而 PP 则通过一个基于智能体的博弈来构建定义，其中的假设（例如接收方的先验类、损失函数）是显式的，并且可以针对现实世界背景进行测试。

这项工作的意义在于：

• 灵活性： 它允许通过选择合适的评分规则和先验类，生成针对特定数据上下文（例如确定性摘要）定制的、具有目的性的隐私定义。
• 鲁棒性： 通过将接收方明确建模为贝叶斯智能体，并在先验和数据上进行最坏情况评估，该框架为隐私保证提供了严谨的博弈论证明。
• 弥合差距： 它在确定性披露控制方法（常见于官方统计领域）与现代隐私理论之间提供了正式的联系，解决了当前标准无法保护不变统计量的关键缺陷。

作者承认，虽然该框架具有灵活性，但必须确保所选的评分规则和先验类适用于特定的部署环境，以避免误用这种灵活性。他们还指出，在给定的说服性隐私类内确定效用最优机制仍是一个有待研究的开放领域。