الوحدة 5 — الخصوصية: إخفاء الهويّة والخصوصية التفاضلية

قاعدة القرض تحتوي على تاريخ الميلاد، والرمز البريديّ، والمهنة، والدخل، والحالة الاجتماعيّة. حذف الاسم لا يجعلها مجهولة الهويّة: هذا هو الدرس الأوّل. تُفصّل هذه الوحدة ما تعنيه «الخصوصية» في نظام قرار، ولماذا يبقى النموذج المُدرَّب مخزنًا خفيًّا للبيانات، وكيف تُوفّر الخصوصية التفاضلية ضمانة قابلة للقياس.

أسطورة الإخفاء بالحذف

في 2006، أصدرت خدمة Netflix قاعدة تقييمات «مجهولة الهويّة» تضمّ عشرة ملايين تقييم. أثبت باحثون أنّه يكفي معرفة ستّة تقييمات لأحد المشاهدين — ولو من خلال حساب IMDB عامّ — لإعادة التعرّف عليه بدقّة تتجاوز 87 %. الدرس: مجموعة من المتغيّرات «غير الحسّاسة» تُنتج بصمة فريدة تُميّز الفرد.

على قاعدتنا، الثلاثيّة (تاريخ الميلاد، الرمز البريديّ، الجنس) تجعل 63 % من السكّان فريدين في العيّنة. الحذف البسيط للاسم والبريد الإلكترونيّ لا يوفّر أيّ حماية فعليّة.

k-anonymat: حدّه وسبب فشله

يقترح k-anonymat (ساماراتي وسويني، 1998) قاعدة بسيطة: كلّ سجلّ في القاعدة يجب أن يكون مماثلًا لسجلّات $k-1$ أخرى على الأقلّ في متغيّرات التعريف. تحقيقه يمرّ بالتعميم (استبدال «34 سنة» بـ«فئة 30–40») أو الحذف.

المفهوم واضح، لكن له عيوب: هجوم «الجيرة القريبة» يعمل حين تكون قيم متغيّر حسّاس متجانسة داخل مجموعة $k$ (كلّ الأفراد في المجموعة مصابون بمرض ما، فمعرفة انتمائي إلى المجموعة يكشف مرضي حتى مع $k=10$). امتدادات $\ell$-diversity و$t$-closeness تعالج بعض الحالات لكنّها لا توفّر ضمانة رياضيّة عامّة.

الحدّ الأعمق: k-anonymat يقيس ما تعرفه القاعدة بعد إصدارها، لا ما يمكن أن يُستنتَج منها بمعرفة خارجيّة. حالة Netflix مثال على ذلك.

الخصوصية التفاضلية: ضمانة رياضيّة

تُدخل الخصوصية التفاضلية (دُوَرك وآخرون، 2006) نقلة نوعيّة: بدل الحفاظ على البيانات، تُشوّش المخرج بضوضاء مضبوطة. آليّة $\mathcal{M}$ تُوصف بأنّها $\varepsilon$-تفاضليّة الخصوصية إذا كان لأيّ قاعدتَين $D$ و$D'$ تختلفان في سجلّ واحد، ولأيّ مخرج $S$:

$$P(\mathcal{M}(D) \in S) \le e^{\varepsilon} \cdot P(\mathcal{M}(D') \in S)$$

بالكلمات: إضافة سجلّي أو إزالته لا يُغيّر توزيع المخرج إلّا بنسبة صغيرة $e^{\varepsilon}$. من ثمّ، لا يمكن لأيّ مراقب استنتاج وجودي في القاعدة بيقين معقول.

$\varepsilon$ هي ميزانية الخصوصية: كلّما صغرت، زادت الحماية، وزاد الضجيج المضاف. القيم النمطيّة: $\varepsilon = 0.1$ (خصوصية قويّة جدًّا)، $\varepsilon = 1$ (حماية معقولة)، $\varepsilon = 10$ (حماية اسميّة). القيمة أعلى من 10 لا تُعدّ ضمانة جدّية.

قاعدة التركيب: تشغيل استعلامَين على القاعدة، الأوّل بميزانية $\varepsilon_1$ والثاني بميزانية $\varepsilon_2$، يُنتج نظامًا شاملًا بميزانية $\varepsilon_1 + \varepsilon_2$. الميزانية إذًا تُصرَف كأنّها رصيد بنكيّ.

تطبيق على التدريب

مكتبة opacus (لـPyTorch) وtensorflow-privacy تُقدّمان النسخة التفاضليّة من الانحدار التدرّجيّ العشوائيّ (DP-SGD): بعد كلّ حزمة، تُقصّ التدرّجات إلى معيار أقصى $C$، ثمّ يُضاف ضجيج غاوسيّ بانحراف يعتمد على $C$ و$\varepsilon$.

from opacus import PrivacyEngine

privacy_engine = PrivacyEngine()
model, optimizer, dataloader = privacy_engine.make_private_with_epsilon(
    module=model,
    optimizer=optimizer,
    data_loader=dataloader,
    epochs=10,
    target_epsilon=1.0,
    target_delta=1e-5,
    max_grad_norm=1.0,
)

نتيجة نمطيّة على ملفّ القرض: خسارة 2 إلى 4 نقاط دقّة مقابل ضمانة $\varepsilon = 1$. المبادلة تُدرَج في بطاقة النموذج.

هجوم استدلال العضويّة

النموذج المُدرَّب على قاعدة يحفظ بعضها بشكل ضمنيّ. أثبت شكوري وآخرون في 2017 أنّه يمكن، بمجرّد قدرة الاستفسار، تحديد ما إذا كان سجلّ ما موجودًا في قاعدة التدريب. الفكرة: الأمثلة التي شارك بها النموذج في التدريب تحصل عادة على درجة ثقة أعلى من الأمثلة الغريبة. هجوم بسيط يقيس هذا الفارق.

على ملفّنا، هجوم ساذج بلغ 74 % دقّة تمييز. تفعيل الخصوصية التفاضلية بـ$\varepsilon = 1$ خفّض الدقّة إلى 51 % — أي قريبة من التخمين العشوائيّ. هذا هو الاختبار العمليّ للضمانة.

تنبيه: ليست حلًّا سحريًّا

الخصوصية التفاضلية تحمي من استدلال عضويّة ومن استخراج مثال محدَّد. لا تحمي من التمييز الجماعيّ ولا من انحياز النموذج. ولا تُلغي التزامات الأساس القانونيّ ولا حقوق الأشخاص المذكورة في الوحدة 9. هي أداة، لا سياسة.

اختيار قيمة epsilon

اختر قيمة epsilon على أساس تحليل التهديد، لا على أساس اصطلاحيّ. إذا كانت البيانات علنيّة نسبيًّا (سجلّات عامّة)، فقيم أعلى مقبولة؛ إذا كانت طبّية أو ماليّة حسّاسة، اهدف إلى $\varepsilon < 1$ ووثّق الاختيار.

الخلاصة

• الحذف البسيط للاسم لا يجعل قاعدة مجهولة: بصمة (تاريخ ميلاد، رمز بريديّ، جنس) تُميّز ثلثَي السكّان.
• k-anonymat يُعمَّم لكنّه لا يوفّر ضمانة أمام معرفة خارجيّة؛ يحتاج إلى $\ell$-diversity أو $t$-closeness في حالات معيّنة.
• الخصوصية التفاضلية توفّر ضمانة رياضيّة بمعامل $\varepsilon$ يُصرَف كميزانية عبر الاستعلامات المتتالية.
• هجوم استدلال العضويّة يكشف حفظ النموذج للتدريب؛ تفعيل DP-SGD يعطّله عمليًّا، مقابل خسارة أداء يجب توثيقها.

الوحدة القادمة: توثيق النموذج والبيانات، ولماذا يكسب هذا العمل «الممِلّ» تدقيقات حقيقيّة.