機械学習において、モデルの隠れ状態のプライバシー保護は重要な課題である。最近のarXiv論文「隠れ状態プライバシーには『空の中間』が存在する」は、ガウスメカニズムにおけるプライバシーと有用性の間の根本的なトレードオフを明らかにした。著者Alexander Okezue Bellは、単層隠れ状態プライバシーのために1,536のガウス放出共分散をテストした。その結果、適応的検索攻撃者に対して中程度の有用性と中程度のプライバシーを同時に達成するものは一つもなかった。これは、ガウスメカニズムの設計空間内に「空の中間」が存在することを意味する。つまり、プライバシーが十分であれば有用性が低く、有用性が十分であればプライバシーが大きく漏洩するかのどちらかである。
この現象を説明するため、著者は補完的なFisher球下限を証明した。O(1) Fisher有用性の下で任意のフルランクガウス放出は、隠れ幅に線形に増大するマハラノビス信号を持つ方向を許す。これにより、ガウスクラス内での統一的な安全性が理論的に排除され、経験的に観察された「空の中間」と完全に一致する。この下限は、モデルの隠れ層の幅が増加するにつれて、攻撃者が利用できるマハラノビス距離信号が強化され、プライバシー保護が損なわれることを示している。
多くのメカニズムの中で、対角逆Fisher放出 Σ*_diag(K) = (2K/d) diag(1/F_ii) が際立っている。これは一次KL予算Kの下で唯一のミニマックス最適対角メカニズムであり、32のモデル層グリッドの各点で最悪攻撃者のtop-1 ≤ 0.001を唯一達成する。しかし、このメカニズムは実際にはプライバシー/有用性の境界に位置しており、中間を埋めるものではない。つまり、非常に強力なプライバシー保護を提供するが、実用的なバランスを取るには有用性を犠牲にしすぎる可能性がある。
さらなる実験はより厳しい問題を明らかにする。ユークリッド検索の下で13倍のパレート削減を達成する一般化固有メカニズムは、適応マハラノビス攻撃者の前で完全に崩壊し、top-1精度が100%に達する。また、全軌跡シーケンス反転器はクリーンなGPT-2プレフィックスの94%を回復できるが、対角逆Fisher放出の下では回復率が0%である。これは、攻撃者がメカニズムの特性に適応することで、特定の尺度で有効だった保護が無効化されることを示している。
ガウスメカニズムの限界に直面し、著者はアーキテクチャの共同設計に目を向ける。彼らはスクラッチから分割メモリTransformerを訓練し、90Mパラメータ規模でG_Mah ∈ [20, 33]を達成した。さらに、30Mから1Bパラメータの範囲で、固定トークン言語モデリング損失ペナルティの下で、同予算のGPTベースラインに対して6〜24倍の優位性を維持する。対照的に、事前訓練モデルは最大9.3にとどまる。これらの結果は、隠れ状態放出の問題をガウスクラス内のメカニズム設計から、アーキテクチャまたは放出の共同設計へと再枠組みする必要性を強く示唆している。
全体として、この研究はガウスメカニズムにおける隠れ状態プライバシー保護の根本的な限界を体系的に明らかにし、アーキテクチャの革新によってこの限界を突破する可能性を示した。論文は74ページ、61の図表を含み、将来のプライバシー保護機械学習システムの開発に重要な理論的および実験的基盤を提供する。