🤖 machine learning

Quotient Semivalues for False-Name-Resistant Data Attribution

本文介绍了商半值机制，该机制将数据贡献聚合为有证据支持的簇，以实现机器学习数据归因中的防假名性，从而防止贡献者通过身份拆分或复制来虚增奖励，同时在来源不完美的情形下提供关于操纵收益和公平性损失的理论界限。

原作者： Florian A. D. Burnat, Brittany I. Davidson

发布于 2026-05-11

📖 1 分钟阅读☕ 轻松阅读

原作者： Florian A. D. Burnat, Brittany I. Davidson

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

以下是用通俗语言和日常类比对该论文的解读。

核心难题：数据市场中的“假身份”骗局

想象一个人们出售数据（如照片或文本）以训练人工智能的市场。AI 公司希望根据数据对 AI 智能提升的贡献程度，公平地支付给卖家。通常，他们使用一种名为**沙普利值（Shapley Value）**的数学公式来计算每个人应得的份额。这个公式非常棒，因为只要所有人都遵守规则，它就是公平的。

但问题在于： 在现实世界中，卖家并非被动的。他们很精明，想要赚更多的钱。

卖家可以通过使用假名（也称为“女巫攻击”）来作弊。

拆分： 卖家不再用一个名字提交一个大数据集，而是将其拆分成十个小碎片，并用十个不同的假名提交。
复制： 卖家将自己最好的照片复制十份，并将它们作为十个不同的“新”数据集提交。
结果： 因为数学公式将每个名字视为独立的人，卖家获得的报酬是他们应得金额的十倍，尽管他们只贡献了一个数据集。这就像魔术师将一张一美元的钞票分裂成十张不同的钞票，然后要求支付十美元的报酬。

论文指出：你无法同时拥有一个完美公平的系统（沙普利值）和一个能阻止这种作弊的系统。 如果你试图对屏幕上的每个名字保持绝对公平，作弊者就会利用数学漏洞变得更有钱。

解决方案：“商半值”（分组策略）

作者提出了一种新的支付人员方式。系统不再关注屏幕上的“名字”，而是查看数据的内容，并将相似的内容归为一组。

这就像是一场百家宴（Potluck Dinner），而不是一排排单独的顾客。

证据图（侦探工作）：
系统扮演侦探的角色。它检查每一份提交的数据。如果它发现两张照片几乎一模一样（或者是完全相同的副本），它就在它们之间画一条线。它对文本、图像和其他数据也这样做。
- 类比： 想象俱乐部门口的保安。如果有人试图用假身份证混进去，保安会检查他的脸。如果这张脸与已经 inside 的人匹配，他们就会被归入同一个“组”。
聚类（分组）：
系统将所有连接的数据归入“聚类”中。
- 如果作弊者在十个假名下提交了同一张照片的十份副本，系统会发现它们完全相同，并将它们全部归入一个单一的组。
- 然后，系统为该组挑选一个“代表”（例如挑选最清晰的照片）来代表整个组。
支付（商半值）：
现在，数学计算（沙普利值）是基于组进行的，而不是基于假名。
- 该组因其贡献获得一次支付。
- 然后，该笔款项在提交数据到该组的人员之间进行分配。
- 关键规则： 如果作弊者将数据拆分为十个假名，但这十个名字最终都落入同一个组，系统确保他们只能获得一个人的份额。他们无法欺骗系统让他们获得十次支付。

为什么这行得通（“魔法”规则）

论文证明，该系统在两个主要条件下有效：

“禁止双重获利”规则： 在组内，系统必须保持中立。无论你以“鲍勃”、“鲍勃 -1"还是“鲍勃 -2"的名义提交数据，结果都一样。该组获得的总金额是根据实际独特内容公平分配的，而不是根据名字的数量。
“稳定分组”规则： 系统必须善于识别“假”副本实际上与“真”副本是相同的。如果系统混淆了，认为假副本是一个全新的独立个体，作弊者仍然可以得逞。

当系统不完美时会发生什么？

作者承认，有时“侦探”（相似度检查）会犯错。

错误拆分： 系统认为两张相同的照片是不同的。（作弊者得以逃脱并获得一点点额外利益）。
错误合并： 系统认为两个完全不同的人的照片是相同的。（诚实的人得到的报酬变少）。

论文提供了一个数学上的“安全网”。它指出，即使系统犯错，作弊者能窃取的资金也是有限且可预测的。这取决于：

作弊者成功隐藏了多少个“逃脱”的副本。
系统的数学计算偏差有多大。
数据点在系统内存中的距离有多远。

现实世界测试（“健身房”）

作者构建了一个名为DataMarket-Gym的类视频游戏环境来测试这一机制。

他们创建了一个包含 AI 模型和数据卖家的虚假市场。
他们让“作弊者”尝试拆分和复制数据。
结果：
- 旧方法（标准沙普利值）： 作弊者可以将支付增加74%（获得比应得金额多 1.74 倍的钱）。
- 新方法（商半值）： 作弊者只能将支付增加1%（获得 0.96 倍，这基本上就是诚实的金额）。

他们在真实图像（如猫和狗）和真实文本（新闻文章）上进行了测试。两种情况都有效，但他们发现“侦探”的“敏感度”（相似度检查需要多么严格）会根据你是查看图片还是文字而有所不同。

一句话总结

这篇论文发明了一种新的 AI 数据支付系统，通过将相同的数据归为一组并将该组作为一个整体单位进行支付，而不是为每个假名单独支付，从而阻止作弊者通过使用假名和复制数据来致富。

技术摘要：抗虚假名称的数据归属商半值

1. 问题陈述

数据估值方法（如 Data Shapley）旨在分配报酬并审计训练数据对机器学习流程的贡献。然而，这些方法通常假设贡献者是一个固定的被动集合。在现实世界的数据市场中，贡献者是战略代理人，他们可能操纵归属机制以夸大其份额。

本文指出虚假名称操纵是一种关键的失效模式。单一潜在提供者可以：

拆分数据集至多个匿名身份（Sybil 攻击）。
复制高价值样本或创建近重复样本（改写、增强、合成变体）。
洗白合成变体以利用评估者的验证集。

核心问题在于，基于报告身份的标准 Shapley 公平归属不具备激励相容性。由于数据价值通常是非加性的且具有互补性，将数据集拆分为多个身份，可能使攻击者获得的 Shapley 值总和高于其作为单一诚实身份时获得的值。

2. 方法论

2.1 形式化模型

作者将场景形式化为关于潜在提供者（ $N$ ）和提交身份（ $m$ ）的机制设计问题。

数据价值博弈：一种单调博弈，其中联盟的价值是训练于该联盟载荷并集之上的学习器的效用。
操纵类别：
- 虚假名称拆分：用一个持有原始数据划分或复制品的 $k \ge 2$ 个身份替换一个身份。
- 变体攻击：在一个或多个身份下提交转换后的副本（重复项、改写、合成数据）。
增益指标：攻击者通过操纵身份结构相对于诚实报告所获得的加性或乘性增益。

2.2 不可能性结果

本文证明了一个基本的不可能定理：基于报告身份的精确 Shapley 公平归属与无限制的抗虚假名称性是不相容的。
即使在二值单调博弈（如一致同意博弈）中，提供者也可以通过将数据拆分为多个伪名来增加其总支付。例如，在一个两玩家一致同意博弈中，若 $v(\{A, B\}) = 1$ ，提供者 $A$ 获得 $1/2$ 。如果 $A$ 拆分为 $A_1, A_2$ ，使得价值需要三者（ $A_1, A_2, B$ ）共同存在，则新的 Shapley 值各为 $1/3$ ，使得 $A$ 的总和达到 $2/3$ 。这种结构性漏洞延伸至一般半值（Banzhaf、Beta-Shapley），尽管增益幅度有所不同。

2.3 商半值机制

为解决此问题，作者提出了商半值机制，将战略单位从原始提交身份转移至证据支持的归属簇。

证据图与聚类：
- 证据函数 $e_\theta(u, u')$ 判定两个单元（样本、文档）是否足够相似（基于哈希、嵌入、来源等），从而被视为同一归属对象。
- 这构成了一个图，其中连通分量即为簇（ $C_1, \dots, C_K$ ）。
簇代表算子（ $R_\theta$ ）：
- 为防止通过簇内复制进行操纵（例如提交 10 个样本副本以增加权重），一个规范代表算子将每个簇映射到一组固定的规范训练单元。
- 策略包括：精确重复项合并、限制每个簇的单元数量，或权重归一化的并集。
商博弈：
- 构建一个新的合作博弈，其中参与者是簇，而非身份。
- 簇联盟的价值是训练于其规范代表并集之上的学习器的效用。
半值计算与分配：
- 在商博弈上计算半值（Shapley、Banzhaf 等）。
- 簇内分配：簇的支付在其内部的提交身份之间分配。该机制要求采用抗虚假名称中立的分配规则（例如，按每个身份贡献的规范单元数量比例分配），以确保在簇内拆分身份不会增加总份额。

3. 主要贡献

形式化模型：一个关于潜在提供者、提交身份及转换攻击的数据提供者操纵的严格框架。
不可能性定理：证明没有任何机制既能对报告身份实现精确的 Shapley 公平，又能具备无限制的抗虚假名称性。
商半值机制：一种构造性解决方案，通过规范代表算子在证据支持的簇上计算半值。
理论保证：
- 精确抗虚假名称性：在“商稳定”操纵（攻击者无法逃离其诚实簇或改变规范代表）和抗虚假名称中立分配下实现。
- 近似保证：关于操纵增益和公平性损失的界限，基于三个可测量量：逃逸簇质量（形成新簇的变体）、价值估计误差和聚类距离（代表的漂移）。
DataMarket-Gym：一个新的基准，用于评估战略提供者攻击下的归属机制，涵盖精确重复项、近重复项、合成洗白和 Sybil 拆分。

4. 实验结果

作者在合成和真实世界数据集（CIFAR-10、AG News、STL-10、IMDB）上评估了该机制。

合成分类：
- 基于原始身份的基线 Shapley 在重复项/Sybil 攻击下显示出 1.74 的操纵增益。
- 带有样本级证据（余弦相似度 $\theta=0.99$ ）的商 Shapley 将此增益降低至 0.96，有效中和了攻击并回归至接近诚实水平。
- 该机制对半值的选择（Shapley、Banzhaf、Beta-Shapley）具有鲁棒性。
阈值敏感性：
- 余弦阈值 $\theta$ 至关重要。阈值过低会导致“错误合并”（独立提供者被归为一组），这可能放大 Sybil 增益。阈值过高则无法捕获近重复项。
- 本文识别出一种领域特定的阈值反转：
  - 在图像领域（CIFAR-10），高范数导致高成对相似度；需要更严格的阈值（ $\theta \ge 0.90$ ）以防止链式攻击。
  - 在文本领域（AG News），单位归一化嵌入的成对相似度较低；更宽松的阈值（ $\theta \le 0.90$ ）为最优，因为严格阈值无法链接近重复项。
- 最优阈值可根据嵌入统计量（成对 p90 和链式地板混合分量比例）进行预测。
真实世界迁移：
- 该机制可迁移至冻结特征管道（ResNet-18、MiniLM）而无需 oracle 访问，证实了其实际可行性。
- 纯拆分攻击（无重叠的不相交数据）仅靠相似度证据无法防御，需要非样本级来源（如账户关联、KYC）。

5. 意义与主张

本文主张，当身份是内生的时，Shapley 公平的数据归属并非自动具备激励相容性。该工作的意义在于：

转移战略负担：将归属单位从可变身份转移至证据支持的簇，允许在 Shapley 式公平与 Sybil 抗性之间进行受控的权衡。
条件可能性：虽然无限制操纵下精确的 Shapley 公平是不可能的，但当相似性和来源信号能够可靠地将操纵变体合并为同一单元时，商机制可恢复一种“受控的权衡”。
实际部署：该机制是“半值无关”的，意味着它可以与各种估值后端（Shapley、Banzhaf 等）一起部署，并且对估计器噪声具有鲁棒性。
互补性：该方法补充了关于“忠实组 Shapley 值”的现有工作（后者防御固定数据集的壳公司聚合），解决了当数据内容可被篡改（复制、改写、合成）时归属单元本身的构建问题。

作者得出结论，归属单位是一种机制设计选择，而商半值为提供者具有战略性的数据市场提供了一个稳健的框架。