技术摘要：零次训练运行的隐私审计

1. 问题陈述

隐私审计对于实证确立学习算法差分隐私（DP）参数的下界至关重要，是对理论保证的补充。然而，现有的审计方法（例如多轮运行和单轮运行）依赖于对训练流程的干预式访问。它们要么需要利用随机插入的数据多次重新训练模型，要么需要利用随机化的成员指示符执行一次算法。

这种干预要求使得针对大规模、已部署的基础模型（例如大型语言模型）的审计变得不可行，原因如下：

• 计算限制：重新训练或重新执行训练流程会消耗数千个 GPU 日。
• 后勤障碍：在黑色部署中，通常无法访问内部数据管道，也无法随机化数据包含情况。
• 问责缺口：隐私风险最大的系统往往最难以接受独立评估，迫使人们依赖信任而非验证。

此外，试图在不进行干预的情况下进行审计（使用已知成员和非成员的静态数据集）会失败，因为它引入了混淆分布偏移。如果成员数据集和非成员数据集遵循不同的底层分布（$P_1 \neq P_0$），成员推断攻击（MIA）可能会利用这些分布差异而非算法泄露取得成功，从而导致假阳性并产生无效的隐私界限。

2. 方法论：零次运行审计

作者提出了零次运行审计，这是一种将隐私审计视为观测推断问题（类似于因果推断）的后验框架。该框架在不修改算法或数据管道的情况下运行，仅依赖模型输出和两个固定数据集：

1. $D_1$（成员）：训练数据的一个子集（或已知的预训练数据）。
2. $D_0$（非成员）：已知被排除在训练之外的数据集（例如，训练后数据或合成样本）。

该框架分为四个步骤：

1. 观测：审计员观测模型输出 $\theta = A(D_{train})$ 和观测数据 $\{X_i\} = D_1 \cup D_0$。
2. 成员推断：标准的 MIA 为每个 $X_i$ 生成原始猜测 $T_i \in \{-1, 0, 1\}$。
3. 倾向性估计：审计员估计倾向性得分 $\hat{\pi}(X_i) \approx P(S_i=1 | X_i)$，表示仅基于特征的数据点属于成员的概率。这将结构性选择可能性与算法信号隔离开来。
4. 修正：该框架应用修正措施，利用两种互补方法来解耦分布偏移与算法泄露。

修正方法

本文形式化了两种方法来修正分布偏移的混淆效应：

• 全局修正（自适应组合）：

  • 将观测到的泄露建模为两种机制的自适应组合：分布偏移机制（$M_{DS}$）和被审计算法（$A$）。
  • 将总泄露视为 $f_{Tot} = f \otimes f_{DS}$，其中 $\otimes$ 是权衡函数的张量积。
  • 结果：产生保守的全局界限。它假设所有数据点都存在最坏情况的分布偏移泄露，如果偏移是异质的，这可能导致统计功效的损失。

• 条件修正（逐点审计）：

  • 以观测到的示例 $X_i$ 为条件。它认识到分布偏移对推断的贡献是局部的，由对数几率 $\epsilon_{DS}(x_i) = |\log \pi(x_i) - \log(1-\pi(x_i))|$ 定义。
  • 篡改机制：为了防止因分布偏移而产生的过度自信，该框架会“篡改”MIA 猜测。对于倾向性得分高度不平衡的示例（例如 $\pi(x) \approx 1$），正确的猜测对算法泄露的指示性较弱。该框架以较低的概率 $b_i$ 保留此类猜测，有效地随机化弃权。
  • 结果：产生更锐利、依赖于实例的界限，这些界限对分布偏移具有鲁棒性，且不会受到全局最坏情况方法的严重惩罚。

不确定性量化

由于倾向性得分必须从数据中估计，该框架结合了**自助法（bootstrapping）**来量化不确定性。通过对倾向性估计数据集进行重采样，该方法产生考虑估计误差的经验下界，确保最终审计以高概率保持有效。

3. 主要贡献

1. 零次运行审计的形式化：本文定义了一种后验审计制度，其中成员身份未被随机化。它证明了在此类数据上进行朴素审计会高估泄露，并明确将此设置与观测因果推断联系起来，要求成员和非成员分布之间存在“重叠”假设（正定性）。
2. 泄露修正框架：
   • 一种组合视角，通过自适应组合将分布偏移与算法泄露解卷积。
   • 一种条件视角，根据倾向性得分调整逐点成员猜测，产生鲁棒的、依赖于偏移的修正。
3. 不确定性量化：整合自助法，提供统计上有效的下界，以考虑倾向性得分估计中的误差。
4. 可扩展性：证明了可以在大型已部署模型上进行隐私审计，而在这些模型上重新训练在计算上或后勤上是不可能的。

4. 实验结果

作者在合成数据和现实世界基准（iWildCam）上评估了零次运行审计：

• 合成数据：在分布偏移幅度增加的情况下，标准的单轮运行审计（忽略偏移）会产生无效界限。全局修正由于最坏情况惩罚而迅速失去统计功效。相比之下，感知倾向性的条件修正在偏移水平上保持了信息丰富且相对平坦的经验界限。
• 现实世界数据（iWildCam）：在存在严重自然分布偏移（地理/环境）的情况下，全局和未感知倾向性的方法产生非正（无用）界限。感知倾向性的条件修正成功地为分布外（OOD）数据提取了有效的隐私下界（$\hat{\mu} = 0.645$），与理想独立同分布（IID）划分实现的界限（$\hat{\mu} = 0.652$）非常接近。
• 成本：与理想的单轮运行审计相比，零次运行方法在 $\mu$-GDP 指标上产生了约 $\approx 1$ 个单位的惩罚，这归因于倾向性得分估计和不确定性量化的成本。

5. 意义与主张

本文主张后验隐私审计是可能的，但必须被视为观测推断问题。其关键意义在于：

• 弥合问责缺口：为监管机构和研究人员提供工具，以验证基础模型的隐私保证，而无需访问训练基础设施。
• 因果类比：成功将因果推断原则（倾向性得分、混淆调整）应用于隐私审计领域。
• 实用性：在理论保证不透明且实验性重新执行不可行的场景中实现隐私评估。

作者保持谦逊，承认局限性：

• 倾向性估计：该框架依赖于准确的倾向性得分估计，这在有限样本的高维设置中具有挑战性。
• 继承的局限性：零次运行审计继承了单轮运行方法的有限样本低效性，并且依赖于底层 MIA 的基线强度。
• 可证伪性：虽然审计是有效的，但倾向性得分界限本身无法被正式认证；它们可以通过对抗性测试在计算上被证伪，但依赖于实证验证。

总之，本文确立了分布偏移是成员信息的独特来源，必须对其进行量化和修正。通过使用倾向性得分，零次运行审计将这些混淆因素转化为算法隐私泄露的有效经验下界。