[논문 리뷰] Privacy-Aware Mechanism Design

Kobbi Nissim, Claudio Orlandi외 1명|arXiv (Cornell University)|2011. 11. 14.

Auction Theory and Applications참고 문헌 9인용 수 6

한 줄 요약

이 논문은 기존 메커니즘 설계에서의 진술성 문제를 해결하기 위해 기여자들의 사생활 우려를 고려한 새로운 모델을 제안한다. 여기서 기여자의 유틸리티는 개인 정보 유출로 인해 감소한다. 이는 사생활 가치가 제한된 기여자들에 대해 inccentive compatibility를 보장하면서도, 차별적 비밀유지(differential privacy)를 유지하는 프레임워크를 도입하며, 사생활 선호에 대한 약간의 분포 가정 하에 약간의 최적 메커니즘을 구성할 수 있음을 보여준다.

ABSTRACT

In traditional mechanism design, agents only care about the utility they derive from the outcome of the mechanism. We look at a richer model where agents also assign non-negative dis-utility to the information about their private types leaked by the outcome of the mechanism. We present a new model for privacy-aware mechanism design, where we only assume an upper bound on the agents' loss due to leakage, as opposed to previous work where a full characterization of the loss was required. In this model, under a mild assumption on the distribution of how agents value their privacy, we show a generic construction of privacy-aware mechanisms and demonstrate its applicability to electronic polling and pricing of a digital good.

연구 동기 및 목표

• 기존 메커니즘 설계에서 기여자들의 사생활 우려로 인해 진술성이 붕괴되는 격차를 해결하기 위해.
• 강력한 사생활 보호 보장(예: 차별적 비밀유지)이 존재하더라도 개인 정보 유출로 인한 불편함을 느끼는 기여자를 모델링하기 위해.
• 중간 정도의 사생활 가치를 가진 기여자들에 대해 메커니즘이 인센티브 호환성을 유지하면서도, 사생활 가치가 높은 기여자들에 대해서는 차별적 비밀유지를 유지하기 위해.
• 디지털 상품 가격 설정과 같은 실용적 메커니즘을 사생활 인식 인센티브 기반으로 약간의 최적성을 갖도록 구성하기 위해.
• 메커니즘 설계에서 사생활 가치, 차별적 비밀유지, 인센티브 호환성 간의 상호작용을 체계적으로 분석하기 위해.

제안 방법

• 기여자들이 사생활 손실 불편도에 대해 완전한 특성화 대신 일관된 상한선을 가진 모델을 제안한다.
• 일정한 사생활 가치 임계값 이하의 기여자들에 대해서만 인센티브 호환성을 보장하는 임계값 기반 메커니즘을 도입한다.
• 사생활 가치가 높은 기여자들의 사생활을 보호하기 위해 차별적 비밀유지를 사용하며, 이로 인해 사생활 손실 정보의 유출이 추가로 발생하지 않도록 보장한다.
• Nissim, Smorodinsky, and Tennenholtz (ITCS 2012)의 일반적 구성 방법을 활용하여 사생활 제약 조건 하에서 약간의 덧셈형 메커니즘을 구축한다.
• 감도 Δf와 사생활 파rameter ε를 활용하여 예상 수익 보장을 유도하기 위해 농도 경계와 유니온 경계를 적용한다.
• 디지털 상품 가격 설정 문제에 이 프레임워크를 적용하여 단일 가격 메커니즘이 어떻게 사생활 인식 가능하고 약간의 최적성을 갖는지 보여준다.

실험 결과

연구 질문

• RQ1 기여자들이 사생활을 고려하더라도, 차별적 비밀유지를 유지하는 한 기존의 인센티브 호환 메커니즘은 여전히 진술성을 유지할 수 있는가?
• RQ2 사생활 가치가 제한된 기여자들에게는 인센티브 호환성을 보장하면서도, 사생활 가치가 높은 기여자들을 보호할 수 있는 메커니즘은 어떻게 설계할 수 있는가?
• RQ3 메커니즘 설계에서 사생활 보호, 인센티브 호환성, 최적 결과에 대한 근접도 사이의 상충 관계는 무엇인가?
• RQ4 약간의 덧셈형 메커니즘을 위한 일반적 구성 방법을 사생활 인식 선호도를 통합할 수 있도록 적응시킬 수 있는가?
• RQ5 사생활 가치 분포의 특성이 사생활 인식 메커니즘의 실현 가능성과 성능에 어떤 영향을 미치는가?

주요 결과

• 기여자들의 사생활 가치가 일정한 임계값 이하일 경우, 사생활 선호의 완전한 특성화 없이도 메커니즘이 인센티브 호환성을 보장한다.
• 모든 기여자들(특히 사생활 가치가 무한히 높은 기여자들 포함)의 차별적 비밀유지가 유지되어 사생활 손실 정보의 유출에 대한 보호가 보장된다.
• 약간의 가정((예: (α,1−α)-허용성) 하에, 메커니즘은 O(Δf n^{(1+α)/2} √(|S| ln(n|S|)/g))의 덧셈 오차 범위 내에서 최적 결과를 복원한다.
• 디지털 상품 가격 설정 예시에서는, Δf=1 및 gap g=1/(2q) 조건 하에 메커니즘이 최적 수익으로부터 O(n^{(1+α)/2} q √(ln(nq)))의 근사 오차를 달성한다.
• 모델의 상대적 정확도는 인구 규모가 커질수록 향상되며, 비사생활 인식 메커니즘의 성능에 비례하여 약 Õ(n^{α/2})의 요소 범위 내에서 접근한다.
• 이 프레임워크는 현실적인 사생활 가치 분포 가정 하에 사생활 인식 메커니즘이 실현 가능하고 약간의 최적성을 갖는다는 것을 입증한다.