技术摘要：战略响应下的差分隐私审计

问题陈述

本文解决了 AI 系统审计中的一个关键缺口：差分隐私（DP）约束与开发者战略行为之间的相互作用。虽然 DP 是审计期间保护训练数据和模型内部的标准手段，但它引入的噪声会导致不同危害维度（例如人口统计子群体、故障模式）之间的可观测性不均。

核心问题在于，具有战略思维的开发者会预判哪些维度因隐私预算分配而噪声更大或查询频率更低，从而有动机重新分配缓解努力。他们会将残余危害集中在“盲区”——即可检测性低的维度——同时在高可检测性区域过度缓解，以最小化审计暴露风险。这导致了一种错位：审计在某些领域成功检测到危害，却未能检测到集中在其他领域的、经福利加权后的真实残余危害。

作者将此形式化为一个斯塔克尔伯格博弈（Stackelberg game）：

1. 审计方（领导者）： 承诺一个查询策略（$\pi$）和跨 $d$ 个维度的隐私预算分配（$\varepsilon$），受限于总预算 $\varepsilon_{tot}$。
2. 开发者（跟随者）： 观察审计接口，并策略性地重新分配固定的缓解预算（$B$），以最小化预期的审计暴露（检测到的危害 + 缓解成本），而非最小化经福利加权的真实危害。

目标是最小化福利加权漏检差距（$B_w$），定义为审计未能检测到的经福利加权残余危害之和。

方法论

模型形式化

• 危害空间： 系统在 $d$ 个维度上造成危害，具有基准危害 $h$ 和福利权重 $w$。
• 可检测性： 审计在维度 $j$ 上检测危害的能力由函数 $\alpha_j(\varepsilon_j)$ 建模，该函数随隐私预算 $\varepsilon_j$ 严格递增。有效可检测性为 $\pi_j \alpha_j(\varepsilon_j)$。
• 开发者目标： 开发者最小化 $\sum \pi_j \alpha_j(\varepsilon_j) g_j(h_j, m_j) + C(m)$，其中 $g_j$ 是残余危害函数，$C(m)$ 是缓解成本。
• 审计方目标： 审计方最小化 $B_w(\pi, \varepsilon) = \sum w_j (1 - \pi_j \alpha_j(\varepsilon_j)) g_j(h_j, m^*(\pi, \varepsilon))$，并预判开发者的最优响应 $m^*$。

理论分析

本文证明，在特定条件下，朴素 DP 审计（均匀分配或按危害比例分配）会导致比非战略基线严格更大的 $B_w$：

1. 各维度间有效可检测性存在异质性。
2. 福利权重与可检测性不共单调。
3. 开发者的最优解是内点解。

驱动这种“战略盲区”的机制是开发者将危害重新分配至低可检测性区域。本文推导了审计方的四因素最优性条件，需平衡以下因素：

1. 福利权重（$w_j$）。
2. 审计漏检概率（$1 - \pi_j \alpha_j(\varepsilon_j)$）。
3. 可检测性弹性（$\alpha'_j(\varepsilon_j)$）。
4. 缓解成本曲率（与危害曲率结合）。

算法解法：SPAD

为求解双层优化问题，作者：

1. 通过代入开发者的 Karush-Kuhn-Tucker (KKT) 条件，将问题重构为单层的带有均衡约束的数学规划（MPEC）。
2. 提出战略隐私审计设计（SPAD），这是一种投影梯度算法。
3. 通过对开发者的最优响应进行微分（通过 KKT 系统的隐式微分或有限差分），计算超梯度（目标函数关于审计方变量的梯度）。

主要结果

理论发现

• 战略盲区： 当开发者采取战略行动时，朴素策略（均匀分配或按危害比例分配）被证明是次优的。检测到的危害与真实危害之间的差距严格为正。
• 非比例性： 最优分配在一般情况下不与基准危害成比例。它取决于福利权重、可检测性弹性和成本曲率之间的相互作用。
• 下界： 在严格的隐私预算下，本文建立了不可避免危害的下界，表明如果预算过低以至于无法使任何维度具有高可检测性，开发者将至少保留一个维度处于接近基准的危害水平。

实证评估

作者提出了一种合成评估协议，并报告了初步的消融研究：

• 设置： 实验变化维度（$d \in \{5, 10, 20\}$）、隐私预算（$\varepsilon_{tot}$）和开发者类型（完全战略型、有限理性型、非战略型）。
• 性能：
  • 在均匀福利权重下，与均匀分配相比，SPAD 将 $B_w$ 降低了5–14%；与按危害比例分配相比，降低了5–12%。
  • 在非均匀福利权重（狄利克雷分布）下，与均匀分配相比，SPAD 将 $B_w$ 降低了20–44%；与按福利比例分配相比，降低了13–20%。
• 结果显著性： 改进具有统计学显著性（超出 95% 自助法置信区间一个数量级）。结果表明，考虑战略响应能显著提升审计质量，特别是在福利优先级存在异质性时。

意义与主张

本文声称是首个联合建模以下内容的研究：

1. DP 组合与每维度预算分配。
2. 审计方承诺一个对开发者可见的固定策略。
3. 开发者对缓解措施进行战略性的最优响应重新分配。

局限性与谦逊声明：
作者明确指出，其结果基于合成评估和初步消融。他们并不声称现实世界的开发者目前确实如此行事；相反，他们提出，如果确实如此，朴素审计则是不够的。本文承认了局限性，例如假设精确的最优响应（而非有限理性）以及一次性承诺。他们将更广泛的实证验证和现实世界开发者行为的研究留待配套论文。

主要贡献是分析性的：为监管机构提供一个原则性基础，要求其制定能预判规避行为的战略审计设计，而不是假设审计仅是被动观察工具。本文指出，若无此类设计，旨在保护数据的隐私机制可能会无意中助长系统性危害的掩盖。