技术摘要：举报人的合理推诿保证

问题陈述

举报人是防止组织失当行为的关键保障，然而对报复的恐惧显著阻碍了举报行为。虽然现有的法律框架（如《欧盟举报人保护指令》）强制要求建立保密报告渠道，但未能就审计员后续行动所能推断出的信息提供正式保证。

核心隐私挑战在于，当一个组织作为“强对手”观察审计决策序列（审计转录）但无法观察到报告本身时，会产生问题。如果审计员在收到报告后不久对某个组织进行调查，且只有少数员工能够接触到相关信息，该组织便可以推断出举报人的身份。本文将需求形式化为合理推诿（Plausible Deniability）：确保可观测的审计转录在“存在特定报告”的世界与“不存在该报告”的世界之间，不会让对手获得超出微小优势的辨别能力。

现有的方法，例如随机响应（Randomized Response）（将 Warner 1965 年的机制应用于举报场景），存在根本性的效用-隐私权衡。为了满足隐私约束，它们迫使审计员几乎均匀随机地选择审计目标，这使得审计过程无法对实际的报告量做出响应。此外，标准的差分隐私（DP）机制通常并不直接针对这种特定的威胁模型——即被审计实体本身即是观察完整决策序列的对手。

方法论

正式框架

作者提出了一个定义在时间跨度 $T$ 和 $C$ 个审计目标上的审计框架。

• 输入： 报告计数流 $R_T = (r_1, \dots, r_T)$，其中 $r_{t,c}$ 是在时间 $t$ 针对目标 $c$ 的新增报告数。
• 输出： 审计转录 $a_T = (a_1, \dots, a_T)$，其中 $a_t \in [C]$ 是在时间 $t$ 被选中的审计目标。
• 隐私定义： 本文采用针对**逐报告相邻性（per-report adjacency）**的 $(0, \delta)$-差分隐私 (DP)。两个报告流是相邻的，如果它们在特定时间和目标处仅有一个报告的差异。
• 威胁模型： 对手是审计目标本身，拥有近乎完全的内部知识并观察完整的转录 $a_T$。目标是限制对手在区分特定报告是否已提交时的优势。
• 效用指标： 误差定义为机制未能选择具有最高“活跃”计数（自上次审计该目标以来收到的报告）目标的概率。

负面结果：随机响应

本文证明了在选择步骤应用随机响应（RR）——即审计员以概率 $p_{rand}$ 忽略报告并审计一个随机目标，否则审计计数最高的目标——其表现无法比均匀随机审计高出超过 $\delta$ 的水平。

• 定理 2： 对于任何时间跨度 $T$，如果 RR 满足 $(0, \delta)$-DP，那么在存在唯一最大值时，选择错误目标的概率下界为 $\frac{C-1}{C} - \delta$。
• 启示： RR 是“间隙不敏感（gap-insensitive）”的。即使领先者与次优者之间的报告差距巨大，误差仍然很高，因为隐私要求强制机制几乎总是进行“探索”（随机审计）。

提议的解决方案：归约为隐私持续计数

为了克服 RR 的局限性，作者提出了一个从隐私审计到隐私持续计数（private continual counting）的通用归约。

1. 机制设计 (算法 1)：
   • 对于每个审计目标 $c$，维护一个独立的 $(0, \delta)$-DP 持续计数器实例。
   • 在每个时间步，将每个目标的新报告计数输入到其各自的计数器中。
   • 选择具有最高噪声计数（计数器的输出）的目标。
   • 重置条件： 在审计某个目标后，重启其计数器实例并将其活跃计数重置为零。这确保了过去报告的隐私不会因未来的决策而受到损害。
2. 隐私保证： 审计转录是计数器输出的后处理。由于计数器满足 $(0, \delta)$-DP，且重置机制确保单个报告仅影响一个活跃的计数器实例，因此整个转录继承了 $(0, \delta)$-DP 保证。
3. 具体实例化： 作者使用 Toeplitz 分解计数器（Fichtenberger 等人，2023；Dvijotham 等人，2024）来实例化该框架。该机制实现的噪声缩放为 $O(\sqrt{\log T})$，这在持续计数中接近最优。

效用分析

论文通过一个效用定理（定理 6）得出结论，显示选择误差随真实领先者与挑战者之间的**有效间隙（effective gap）**增大而减小。

• 有效间隙包括真实的报告计数差加上累积的噪声差。
• 与 RR 不同，每当噪声报告间隙增长速度快于 $\sqrt{\log T}$ 时，提议机制的误差就会消失。这使得该机制能够在保持严格隐私的同时，对报告量保持高度响应。

核心贡献

1. 形式化： 本文将举报人审计形式化为在强对手模型（目标即对手）下的逐报告 $(0, \delta)$-DP 审计转录。
2. 对 RR 的负面结果： 证明了随机响应在本质上是受限的，无论时间跨度或报告间隙如何，它都始终处于接近均匀审计的状态。
3. 通用归约： 建立了从隐私审计到隐私持续计数的归约，允许使用任何 $(0, \delta)$-DP 计数器作为插件组件。
4. 具体机制 (TCA)： 通过使用 Toeplitz 分解实例化该归约，作者创建了一个机制（Toeplitz 持续审计，TCA），它实现了噪声缩放为 $O(\sqrt{\log T})$ 的 $(0, \delta)$-DP。
5. 效用定理： 提供了一个理论界限，表明随着报告间隙的增加，选择误差会下降，这相比于 RR 的恒定误差是一个显著的改进。

结果

• 理论层面： 效用定理表明，随着领先组织与竞争对手之间的间隙增大，提议机制的误差趋于零，而 RR 的误差则保持不变且维持在高位。
• 实证层面： 在静态（间隙扫描）和动态（在线审计）设置下的模拟证实了理论发现：
  • 静态： TCA 的误选率随着报告间隙的增加而迅速下降，而 RR 对间隙保持不敏感。
  • 动态： 在带有报告重置的在线设置中，TCA 与 RR 及均匀随机审计相比，保持了显著较低的“活跃计数赤字（active-count deficit）”（遗憾值），接近非隐私贪婪基准的性能。

重要性与主张

本文声称提供了第一个有效的、可量化的举报人合理推诿保证，该保证能在不牺牲效用的情况下在长周期内有效运行。

• 可信度： 通过确保审计决策无法确定性地与特定报告联系起来，该机制使举报渠道对于担心报复的潜在举报人来说更具可信度。
• AI 治理： 这项工作特别受到需要可靠内部报告机制的 AI 治理需求的驱动，在 AI 治理中，内部信息是安全审计的关键信号。该机制确保开发者无法根据模型评估的时间或目标来推断特定员工是否提交了报告。
• 局限性： 作者谦虚地指出，单名举报人的保证会随提交报告的数量 ($k\delta$) 线性下降，且模型假设存在一个不会泄露私有计数的受信任审计员。他们承认，现实世界的操作失败（例如访问日志泄露）超出了这种密码学/算法保证的范围。

总之，本文认为，虽然随机响应是经典的隐私原语，但在效用至上的高风险审计场景中是不够的。通过利用持续计数的进展，可以构建出既能提供严格、正式的合理推诿保证，又能对数据保持高度响应的审计策略。