[논문 리뷰] Take it or Leave it: Running a Survey when Privacy Comes at a Cost

Katrina Ligett, Aaron Roth|arXiv (Cornell University)|2012. 02. 21.

Privacy-Preserving Technologies in Data참고 문헌 7인용 수 12

한 줄 요약

이 논문은 개인의 비밀유지 비용을 고려한 제안을 통해 민감한 인구 통계를 정직하게 추정하는 데 목적이 있는 '받을 것인지 여부를 선택하는' 메커니즘을 제안한다. 이는 직접 공개 메커니즘에서 발생하는 불가능성 결과를 우회한다. 비밀유지 비용을 미분적 비밀보장과 함수로 모델링하고, 임의의 샘플링과 임계값 기반 수락을 사용함으로써, 비밀유지 비용이 개인의 비밀 데이터와 상관관계를 가질 경우에도 예상 비용이 유한하고 정확한 추정이 가능하도록 보장한다.

ABSTRACT

In this paper, we consider the problem of estimating a potentially sensitive (individually stigmatizing) statistic on a population. In our model, individuals are concerned about their privacy, and experience some cost as a function of their privacy loss. Nevertheless, they would be willing to participate in the survey if they were compensated for their privacy cost. These cost functions are not publicly known, however, nor do we make Bayesian assumptions about their form or distribution. Individuals are rational and will misreport their costs for privacy if doing so is in their best interest. Ghosh and Roth recently showed in this setting, when costs for privacy loss may be correlated with private types, if individuals value differential privacy, no individually rational direct revelation mechanism can compute any non-trivial estimate of the population statistic. In this paper, we circumvent this impossibility result by proposing a modified notion of how individuals experience cost as a function of their privacy loss, and by giving a mechanism which does not operate by direct revelation. Instead, our mechanism has the ability to randomly approach individuals from a population and offer them a take-it-or-leave-it offer. This is intended to model the abilities of a surveyor who may stand on a street corner and approach passers-by.

연구 동기 및 목표

• 개인의 비밀 데이터와 관련된 비밀유지 비용이 존재할 때 민감한 인구 통계를 추정하는 데 도전하는 것.
• 비밀유지 비용이 개인의 비밀 유형과 상관관계를 가지는 경우, 직접 공개 메커니즘에서 발생하는 불가능성 결과를 극복하는 것.
• 개별 합리성과 정확한 추정을 보장하면서도, 참가자가 비밀유지 비용을 정직하게 보고할 필요가 없는 메커니즘을 설계하는 것.
• 비밀유지 비용을 현실적으로 표현할 수 있고 인centive-compatible 참여를 가능하게 하되, 미분적 비밀보장 보장을 유지할 수 있도록 모델링하는 것.
• 실제 개인 행동에 대한 현실적인 가정 하에 비밀보장과 비용 효율성을 동시에 확보하는 설문 조사 메커니즘의 프레임워크를 제공하는 것.

제안 방법

• 메커니즘은 개인을 순차적으로 접근하는 랜덤 샘플링 과정을 사용하며, 참여에 대해 '받을 것인지 여부를 선택하는' 보상을 제안한다.
• 각 제안은 비밀유지 예산과 미분적 비밀보장 파라미터에 기반하며, 개인의 비밀 비용에 따라 결정되는 임계값에 따라 수락 여부가 결정된다.
• 알고리즘은 에포크 단위로 진행되며, 제안 수준은 증가하고 수락 임계값은 감소하여 비용과 정확도 사이의 균형을 맞춘다.
• 메커니즘은 라플라스 노이즈 메커니즘을 사용하여 미분적 비밀보장을 확보하며, 감도를 제어하기 위해 에포크 간에 비밀보장 파라미터를 조정한다.
• 수용된 집합의 크기와 예상 참여자 수를 기반으로 정지 규칙을 적용하여 안정된 추정치로 수렴하도록 보장한다.
• 비용은 에포크 간에 분석되며, 기하급수적 급수와 확률적 농도를 사용하여 기대 비용의 비선형 성장을 증명한다.

실험 결과

연구 질문

• RQ1 비밀유지 비용이 개인의 비밀 데이터와 상관관계를 가지는 경우, 민감한 통계를 정확하게 추정할 수 있는 메커니즘을 설계할 수 있는가?
• RQ2 직접 공개 메커니즘이 비밀유지 비용 상관관계로 인해 실패하는 환경에서, 개인의 합리성과 정직성 보장을 달성할 수 있는가?
• RQ3 비밀유지 비용을 어떻게 모델링할 수 있는가? 이는 비용 보고의 정직성 요구 없이도 인센티브 호환 참여를 가능하게 해야 한다.
• RQ4 이러한 메커니즘의 기대 비용은 얼마이며, 기준 비용에 대해 유한한 상한선을 가질 수 있는가?
• RQ5 '받을 것인지 여부를 선택하는' 메커니즘과 비밀유지 인식 제안이 기존의 직접 공개 접근 방식보다 비용과 정확도 측면에서 뛰어나게 성능을 발휘할 수 있는가?

주요 결과

• 메커니즘은 기대 비용이 O(log log(α·v(α/8)) · BenchmarkCost + 1/α²)로, 기준 비용에 대해 비선형적 성장을 보이며 정확한 통계 추정을 달성한다.
• 기대 비용은 파라미터 η가 c₁ < η < 3/17 − c₂ 를 만족할 경우 유한한 상한선을 가진다. 여기서 c₁, c₂ 는 0에서 멀리 떨어져 있는 상수이다.
• j* 이전의 에포크 기여 비용은 (1+η)^j* / η · EpochSize(j*) 로 유한하게 제한되며, 선택된 파rameter 하에 작다.
• j* 이후의 에포크에서는 t 시점까지 정지하지 않을 확률이 최대 (17/20)^(t−j*) 이며, 이는 빠른 수렴을 보장한다.
• 메커니즘은 '거의 정직한' 보장을 제공한다: 참여가 자율적이며 엄격하게 유인되더라도, 거짓말을 할 경우의 기대 수익은 무시할 만큼 작다.
• 이 접근은 Ghosh와 Roth의 불가능성 결과를 우회하기 위해 직접 공개를 포기하고, 대신 랜덤화된 순차적 제안 메커니즘을 사용한다.