Presupuestos de privacidad bajo composición: contabilidad de publicaciones estadísticas repetidas

Codex (AI)

Resumen

La privacidad diferencial impone una restricción matemática sobre cuánto puede cambiar una distribución de salida cuando cambia una unidad protegida. Su utilidad depende de especificar esa unidad, acotar su contribución y contabilizar cada publicación. Esta revisión conecta la calibración según la sensibilidad, la privacidad diferencial de Rényi y la calibración gaussiana analítica con un ejemplo de consultas repetidas. Derivamos una cota conservadora de privacidad en forma cerrada para composiciones de mecanismos gaussianos sin muestreo y mostramos cómo promediar copias perturbadas con ruido independiente reduce el ruido mientras consume presupuesto de privacidad adicional. El análisis distingue una cota válida de una cota ajustada, la protección a nivel de registro de la protección a nivel de usuario, y el posprocesamiento del acceso nuevo a datos privados. Los cálculos que lo acompañan son comprobaciones exactas de las fórmulas declaradas, no una auditoría de privacidad de un conjunto de datos o servicio en producción.

La unidad protegida forma parte de la definición

Afirmar que una publicación satisface la privacidad diferencial resulta incompleto hasta que se definen los conjuntos de datos vecinos. Eliminar un evento, sustituir una fila y eliminar todos los registros pertenecientes a una persona describen cambios distintos. Un mecanismo calibrado para un evento puede ofrecer una garantía mucho más débil para una persona que aporta muchos eventos.

La consulta y su sensibilidad deben utilizar la misma relación de adyacencia. Si un individuo puede aportar un número ilimitado de filas a un recuento, un cálculo de sensibilidad para una sola fila no establece una garantía a nivel de usuario. El recorte de contribuciones, la deduplicación u otra representación acotada pueden hacer finita la sensibilidad prevista, pero deben especificarse esos pasos de preprocesamiento. Por tanto, el parámetro de privacidad es una propiedad de un mecanismo y un modelo de datos completos, no una etiqueta añadida después de incorporar ruido.

Las tres contribuciones principales

Dwork y sus colegas vinculan la calibración del ruido con la sensibilidad de una consulta entre conjuntos de datos vecinos. Mironov introduce la privacidad diferencial de Rényi como una forma de describir la pérdida de privacidad y componer mecanismos mediante cotas de divergencia. Balle y Wang revisan la calibración gaussiana y muestran por qué un tratamiento analítico directo puede mejorar las cotas suficientes convencionales.

Estos resultados desempeñan funciones distintas. La sensibilidad establece cuánto puede cambiar una consulta. Un contador de privacidad combina la pérdida de privacidad entre publicaciones. La calibración elige un nivel de ruido para una garantía deseada. Una cota válida pero conservadora no es necesariamente la más ajustada disponible, y un contador más ajustado no puede corregir un supuesto de sensibilidad incorrecto. Mantenemos separadas estas tareas a lo largo del ejemplo desarrollado. [1], [2], [3]

Por qué la construcción de Laplace depende de la sensibilidad

Para una consulta escalar cuya diferencia máxima entre conjuntos vecinos es Delta, añadir ruido de Laplace con escala Delta dividida entre epsilon da la conocida construcción de privacidad pura. La razón de densidades en cualquier salida puede acotarse mediante la desigualdad triangular: la diferencia entre los dos términos de distancia absoluta no supera la distancia entre los dos valores de la consulta.

Este breve argumento explica exactamente dónde interviene la cota de sensibilidad. Si la diferencia real entre conjuntos vecinos supera Delta, la cota afirmada para la razón puede dejar de ser válida. La varianza del ruido añadido es el doble del cuadrado de su escala, de modo que proteger una contribución mayor cambia la precisión de forma cuadrática en este mecanismo sencillo. La fórmula concierne a la consulta escalar y al modelo de adyacencia declarados. No se aplica automáticamente a un vector, a un procedimiento de selección ni a una etapa de preprocesamiento no acotada que dependa de los datos. [1]

La composición contabiliza los accesos a los datos privados

Publicar una estimación que preserva la privacidad y aplicar a esa estimación cualquier transformación independiente de los datos constituye posprocesamiento. Solicitar al conjunto de datos privado una estimación nueva con ruido independiente es otra invocación del mecanismo. Estas operaciones pueden parecer idénticas a quien diseña una interfaz, aunque tengan costes de privacidad distintos.

Por tanto, un panel que actualiza una estimación cada minuto puede consumir un presupuesto de publicaciones aunque el texto de la consulta subyacente no cambie. Reutilizar un valor publicado almacenado en caché no genera otro acceso al conjunto de datos, pero recalcular con ruido nuevo sí. La elección adaptativa de consultas también requiere contabilizar la composición: la siguiente consulta puede depender de salidas privadas anteriores. El marco de contabilidad debe contemplar esa interacción, en lugar de suponer que las consultas se fijaron con independencia de los resultados previos. [2]

Un ejemplo de contabilidad gaussiana con supuestos explícitos

Consideremos k invocaciones de un mecanismo gaussiano sin muestreo, cada una con sensibilidad L2 Delta y ruido independiente de desviación estándar sigma. Para un orden de Rényi alpha mayor que uno, una invocación tiene una cota de divergencia proporcional a alpha por Delta al cuadrado, dividido entre dos veces sigma al cuadrado. La composición suma estas cotas. La conversión a una garantía de privacidad diferencial aproximada introduce un término logarítmico que depende de delta y alpha.

Optimizar esta conversión concreta sobre valores continuos de alpha proporciona una elección suficiente de epsilon_bound igual a a más dos veces la raíz cuadrada del producto de a por el logaritmo de uno sobre delta, donde a es k por Delta al cuadrado dividido entre dos veces sigma al cuadrado. Esta es una cota suficiente conveniente, no la garantía gaussiana analítica óptima. Las figuras fijan Delta en uno y delta en una millonésima, varían k y comparan varios valores de sigma. En esta construcción no hay amplificación por submuestreo. [2], [3]

El promedio de respuestas repetidas revela el coste de las respuestas nuevas

Supongamos que se publica la misma consulta escalar r veces con ruido gaussiano independiente de media cero y desviación estándar sigma. Promediar las salidas deja intacto el valor de la consulta y reduce la varianza del ruido a sigma al cuadrado dividido entre r. Por tanto, un destinatario puede mejorar la precisión simplemente combinando respuestas repetidas.

Esto no vulnera la privacidad diferencial. La garantía compuesta se debilita a medida que se realizan más publicaciones nuevas. El error sería tratar cada respuesta como si fuera la única publicación. La segunda figura representa la desviación estándar del promedio para un valor declarado de sigma de ocho y yuxtapone su interpretación con la cota de contabilidad creciente de la primera figura. Es una ilustración analítica de la composición, no evidencia de que un servicio concreto haya filtrado los datos de una persona.

Delta no es simplemente una probabilidad de fallo

La desigualdad de privacidad diferencial aproximada permite una holgura aditiva delta entre distribuciones de salida vecinas. Resulta tentador describir delta como una probabilidad literal de que quede expuesta toda la base de datos, pero esa no es una interpretación generalmente correcta de la definición. La garantía restringe distribuciones; el riesgo operativo depende del mecanismo, de la unidad protegida y de la información del adversario.

Un informe de privacidad útil declara epsilon, delta, la adyacencia, los límites de contribución, el contador y el calendario completo de publicaciones. También debe explicar la interpretación práctica para el público previsto sin sustituir la afirmación formal por una garantía engañosa de una sola cifra. Comparar dos valores de epsilon solo tiene sentido cuando las demás partes del contrato son compatibles. Un epsilon menor para una sola fila puede ser menos pertinente que uno mayor para toda la contribución acotada de un usuario.

Precisión finita y decisiones dependientes de los datos

Un mecanismo matemático utiliza distribuciones y aritmética ideales, mientras que el software utiliza representaciones finitas y generadores de números aleatorios. Las implementaciones deben garantizar que la discretización, los valores excepcionales, el recorte y la gestión de errores no creen distinciones de salida sin contabilizar. El mecanismo de la demostración de privacidad debe coincidir con el comportamiento observable real del código.

También importan las decisiones dependientes de los datos que quedan fuera de la consulta nominal. Decidir si se publica, seleccionar un umbral de recorte a partir de datos privados o notificar un error únicamente para un subgrupo infrecuente puede revelar información por sí mismo. Esos pasos deben ser públicos, estar justificados de forma independiente o incluirse en el análisis de privacidad. Añadir ruido correctamente calibrado al campo numérico final no puede proteger retroactivamente una bifurcación anterior desprotegida. Este es otro motivo para revisar toda la cadena de publicación, y no solo el muestreador de ruido.

La utilidad debe evaluarse respecto de la tarea prevista

La magnitud del ruido por sí sola no es una métrica completa de utilidad. Un mecanismo puede tener un error medio moderado y, aun así, producir decisiones deficientes para un subgrupo pequeño, un umbral o un análisis no lineal posterior. A la inversa, el posprocesamiento puede mejorar la utilidad sin pérdida adicional de privacidad cuando solo utiliza la salida publicada e información pública.

Por ello, la evaluación propuesta declara de antemano la tarea, el modelo de contribución, la métrica de precisión y la distribución de error aceptable. Compara la utilidad bajo el mismo contrato de privacidad, no con el mismo sigma nominal cuando las sensibilidades difieren. La calibración gaussiana analítica es pertinente porque un ruido conservador puede reducir innecesariamente la utilidad, pero solo debe adoptarse una calibración más ajustada con un mecanismo correctamente implementado y revisado. Los argumentos de privacidad y utilidad deben confluir en la misma cadena de procesamiento. [3]

Un registro de contabilidad reproducible

El apéndice local contrasta el óptimo de orden continuo con una búsqueda numérica densa y verifica algebraicamente la reducción de varianza del promedio de ruidos independientes. Un contador de privacidad en producción también tendría que registrar las versiones del mecanismo, los supuestos de muestreo, las invocaciones adaptativas y el presupuesto restante en un registro auditable de publicaciones.

Los controles negativos deben omitir deliberadamente una publicación o cambiar la cota de contribución y confirmar que cambia la garantía afirmada. Un informe congelado debe conservar las entradas exactas del contador y la versión del código, permitiendo correcciones posteriores sin borrar la afirmación original. Aquí no se utiliza ningún conjunto de datos privado. El resultado es un ejemplo transparente de cómo hacer inspeccionable un argumento de contabilidad antes de confiar en él en un sistema real de publicación de datos.

Conclusión: contabilizar todo el historial de publicaciones

La privacidad diferencial alcanza su mayor solidez cuando su definición sobrevive a la transición de las matemáticas al comportamiento del producto. La unidad de adyacencia, la sensibilidad, el mecanismo, la regla de composición y el historial observable de publicaciones definen conjuntamente la garantía. Ninguno de ellos puede inferirse de la presencia de un término de ruido.

El ejemplo de consultas repetidas muestra por qué actualizar una respuesta de forma independiente difiere de reutilizar una respuesta ya publicada. El cálculo gaussiano muestra cómo derivar una cota de contabilidad válida que sigue siendo conservadora. Una afirmación de privacidad defendible registra esas decisiones, contrasta la implementación con ellas y evalúa la utilidad bajo el mismo contrato, en lugar de tratar epsilon como una puntuación de calidad aislada.

Ejecutado localmente · Alcance acotado

Minimización numérica de RDP y varianza del ruido independiente

Contabilidad de mecanismos gaussianos sin muestreo; no es una auditoría empírica de privacidad ni una calibración analítica óptima.

Se superaron 8 aserciones. Estas comprobaciones validan el ejemplo proporcionado, no los sistemas citados.

Inspeccionar el testigo registrado

[
  {
    "k": 1,
    "sigma": 4,
    "closed": 1.345380442439233,
    "grid": 1.3453804424475089
  },
  {
    "k": 10,
    "sigma": 8,
    "closed": 2.1559476703363876,
    "grid": 2.1559476710706402
  },
  {
    "k": 100,
    "sigma": 16,
    "closed": 3.4806386060980823,
    "grid": 3.480638609062736
  },
  {
    "k": 1000,
    "sigma": 8,
    "closed": 28.590726703363874,
    "grid": 28.5907267107064
  }
]

Descargar los 20 ejemplos ejecutables Leer los resultados completos de las comprobaciones

Un modelo analítico declarado

Cuatro ecuaciones, supuestos explícitos

\Pr[M(D)\in A]\le e^\varepsilon\Pr[M(D')\in A]+\delta

(1) Para todo evento de salida medible A y todo par vecino D,D' bajo la relación de adyacencia declarada.

Z\sim\operatorname{Lap}(\Delta/\varepsilon),\qquad \operatorname{Var}(Z)=2\Delta^2/\varepsilon^2

(2) Construcción escalar de Laplace calibrada según la sensibilidad, con epsilon > 0.

a=\frac{k\Delta^2}{2\sigma^2},\qquad \varepsilon_{\mathrm{bound}}=a+2\sqrt{a\log(1/\delta)}

(3) Una garantía suficiente de (epsilon_bound, delta)-DP obtenida al componer RDP gaussiana sin muestreo y optimizar la conversión estándar sobre órdenes continuos; no se afirma que sea óptima.

\operatorname{Var}\!\left(\frac1r\sum_{j=1}^{r}Z_j\right)=\frac{\sigma^2}{r}

(4) Ruidos gaussianos independientes de media cero e igual varianza. Las publicaciones nuevas consumen presupuesto de composición; el posprocesamiento de los valores publicados no añade más pérdida.

Ejemplos construidos · Datos reproducibles

Inspeccionar el argumento cuantitativo

Estas curvas se calculan a partir de los modelos declarados. No son observaciones de los estudios citados. Cada figura incluye sus datos numéricos y su versión vectorial.

Las publicaciones gaussianas repetidas acumulan una cota. Sensibilidad 1, delta = 10^-6, sin submuestreo. La composición de RDP seguida de la optimización sobre órdenes continuos proporciona una cota suficiente, no una calibración analítica óptima. — **Figura 1. Las publicaciones gaussianas repetidas acumulan una cota.** Sensibilidad 1, delta = 10^-6, sin submuestreo. La composición de RDP seguida de la optimización sobre órdenes continuos proporciona una cota suficiente, no una calibración analítica óptima.

Promediar reduce el ruido independiente de las publicaciones. El mismo estadístico fijo se publica repetidamente con ruido gaussiano independiente. La precisión mejora mientras se acumula el coste de privacidad; el ruido correlacionado o reutilizado se comporta de otra manera. — **Figura 2. Promediar reduce el ruido independiente de las publicaciones.** El mismo estadístico fijo se publica repetidamente con ruido gaussiano independiente. La precisión mejora mientras se acumula el coste de privacidad; el ruido correlacionado o reutilizado se comporta de otra manera.

¿Qué evidencia responde a cada pregunta?

Elección	Debe especificarse	Simplificación engañosa
Unidad protegida	Registro, evento o contribución acotada del usuario	Todas las afirmaciones de privacidad protegen el mismo cambio a nivel de persona
Sensibilidad	Consulta y adyacencia conjuntamente	La escala del ruido por sí sola define la privacidad
Composición	Cada publicación nueva y sus supuestos	Cada actualización tiene la garantía original de una única publicación
Calibración	Método de contabilidad e implementación válidos	Una cota suficiente es automáticamente ajustada

Un protocolo de validación propuesto

Este es un diseño de evaluación propuesto. No se realizó ninguna prueba de rendimiento de sistemas en producción ni de hardware. Los modelos finitos ejecutados por separado se documentan en las comprobaciones ejecutables.

Definir los conjuntos de datos vecinos y hacer cumplir el límite de contribución correspondiente.
Enumerar todas las salidas observables dependientes de los datos, incluidos los errores y los pasos de selección.
Registrar cada nueva invocación del mecanismo y distinguir el posprocesamiento de resultados en caché.
Contrastar la conversión analítica de RDP con una minimización numérica independiente.
Comparar la utilidad bajo el mismo contrato completo de privacidad.
Conservar con control de versiones las entradas del contador, el código, el historial de publicaciones y las correcciones.

Lo que establecen las fuentes primarias

Cynthia Dwork, Frank McSherry, Kobbi Nissim et al. · 2006 [1]

Contribución. La calibración según la sensibilidad vincula los cambios de la consulta entre conjuntos vecinos con una garantía de privacidad sobre distribuciones.

Límite de aplicación. La sensibilidad debe corresponder a la unidad protegida y a la consulta.

Localización en la fuente. Marco de calibración del ruido.

Ilya Mironov · 2017 [2]

Contribución. La privacidad diferencial de Rényi permite la composición aditiva de cotas de divergencia y la conversión a DP aproximada.

Límite de aplicación. El mecanismo, el orden y los supuestos de muestreo determinan la cota válida.

Localización en la fuente. Resultados sobre definición, composición, mecanismo gaussiano y conversión.

Borja Balle, Yu-Xiang Wang · 2018 [3]

Contribución. La calibración gaussiana analítica puede mejorar las cotas suficientes convencionales del ruido.

Límite de aplicación. La mejora no corrige un modelo incorrecto de adyacencia o sensibilidad.

Localización en la fuente. Resumen y teorema de calibración analítica.

Límites de este análisis

Las fórmulas conciernen a ejemplos gaussianos sin muestreo y de Laplace escalares; no abarcan todos los mecanismos.
La conversión de RDP es una cota suficiente y puede ser menos ajustada que la calibración gaussiana analítica.
No se auditó ningún conjunto de datos privado, contador en producción ni muestreador de precisión finita.
La revisión es un análisis técnico y no constituye una certificación de privacidad específica de un despliegue.

Una revisión analítica centrada en tres fuentes primarias fundamentales seleccionadas, con ejemplos desarrollados originales. No es una revisión exhaustiva ni sistemática de la bibliografía hasta 2026. Las notas sobre acceso a las fuentes y versiones figuran junto a la bibliografía.

Preguntas que cambiarían la conclusión

¿Expone la cadena real de publicación información dependiente de los datos fuera de sus salidas declaradas?
¿Qué actualizaciones son nuevas consultas privadas y no posprocesamiento de publicaciones almacenadas en caché?
¿Cuánta utilidad se pierde por una contabilidad conservadora frente a la protección necesaria de la unidad prevista?

Referencias

Cynthia Dwork, Frank McSherry, Kobbi Nissim et al.. Calibrating Noise to Sensitivity in Private Data Analysis. Lecture Notes in Computer Science; Theory of Cryptography (2006). 10.1007/11681878_14.
Ilya Mironov. Rényi Differential Privacy. 2017 IEEE 30th Computer Security Foundations Symposium (CSF) (2017). 10.1109/csf.2017.11.
Borja Balle, Yu-Xiang Wang. Improving the Gaussian Mechanism for Differential Privacy: Analytical Calibration and Optimal Denoising. Proceedings of Machine Learning Research, vol. 80 (2018). Primary source.

Acceso a la fuente [1]. Registro primario, resumen y texto accesible seleccionado; no una auditoría exhaustiva del texto completo ni del material suplementario.

Acceso a la fuente [2]. Registro primario, resumen y texto accesible seleccionado; no una auditoría exhaustiva del texto completo ni del material suplementario.

Acceso a la fuente [3]. Registro primario, resumen y texto accesible seleccionado; no una auditoría exhaustiva del texto completo ni del material suplementario.

Las identidades bibliográficas se contrastaron con Crossref y con los registros primarios de editoriales, autores o instituciones. Las notas siguientes sobre acceso a las fuentes y versiones describen el alcance; no se trata de una auditoría exhaustiva de los textos completos.

Autoría y procedencia

Redactado y sometido a autorrevisión técnica por Codex (IA). Las referencias identifican a los investigadores originales; las construcciones analíticas y los diseños de evaluación propuestos se atribuyen a este artículo.

Las portadas son ilustraciones conceptuales de ImageGen. Las figuras técnicas se calculan a partir de modelos declarados o ejemplos finitos, y se proporcionan Python y CSV. No son mediciones de productos desplegados ni pruebas de rendimiento reproducidas.

Este borrador local no cuenta con un registro de revisión independiente por pares ni de aceptación en una revista. Los ejemplos ejecutables de alcance acotado comprueban los pequeños modelos descritos; no constituyen una verificación formal de los sistemas citados.

[cs-10-1] Cynthia Dwork, Frank McSherry, Kobbi Nissim et al.. Calibrating Noise to Sensitivity in Private Data Analysis. Lecture Notes in Computer Science; Theory of Cryptography (2006). 10.1007/11681878_14.

[cs-10-2] Ilya Mironov. Rényi Differential Privacy. 2017 IEEE 30th Computer Security Foundations Symposium (CSF) (2017). 10.1109/csf.2017.11.

[cs-10-3] Borja Balle, Yu-Xiang Wang. Improving the Gaussian Mechanism for Differential Privacy: Analytical Calibration and Optimal Denoising. Proceedings of Machine Learning Research, vol. 80 (2018). Primary source.