Differential Privacy

الخصوصية التفاضلية (DP) تعريف رياضي لخصوصية الخوارزميات التي تحلل البيانات: تكون الخوارزمية محققة للخصوصية التفاضلية إذا لم يتغير توزيع مخرجاتها إلا تغيرًا طفيفًا عند إضافة سجل أي شخص إلى المدخلات أو حذفه منها. وأيًا كان ما يتعلمه المراقب من المخرجات، فكان سيتعلم تقريبًا الشيء نفسه لولا بيانات ذلك الشخص، لذا لا تكشف النتيجة إلا قدرًا ضئيلًا للغاية من المعلومات الخاصة به. وتُستخدم لنشر نتائج تحليلات البيانات وتدريب نماذج التعلم الآلي على بيانات حساسة مثل الصور الطبية ومدخلات لوحة المفاتيح. وقد قدمت سينثيا دوورك وفرانك ماكشيري وكوبي نيسيم وآدم سميث هذا التعريف في ورقتهم البحثية لعام 2006 معايرة الضوضاء وفق الحساسية في تحليل البيانات الخاصة، وهو عمل نالوا عنه جائزة غودل عام 2017. ويسري الضمان على المهاجمين مهما بلغ ما لديهم من معلومات خارجية، وهذا ما يعجز عنه إخفاء الهوية التقليدي: إذ يمكن إعادة تحديد هوية السجلات المنزوعة المعرفات بربطها بقواعد بيانات أخرى.

إبسيلون والحساسية وميزانية الخصوصية#

تكون الخوارزمية العشوائية M محققة للخصوصية التفاضلية ε إذا تحقق، لأي مجموعتي بيانات D وD′ تختلفان في سجل واحد وأي مجموعة من المخرجات S، Pr[M(D) ∈ S] ≤ e^ε × Pr[M(D′) ∈ S]. تحدد المعلمة إبسيلون (ε) مقدار تأثير شخص واحد في المخرجات: فالقيم الأصغر تعني خصوصية أقوى ونتائج أكثر تشويشًا. وتسمح الصيغة المخففة (ε, δ) بإخفاق الحد باحتمال ضئيل جدًا δ، يكون عادةً أقل بكثير من واحد مقسومًا على عدد السجلات.

تُعاير الضوضاء وفق الحساسية، أي أقصى مقدار يمكن أن يغير به سجل واحد النتيجة. يتغير العدد بمقدار لا يتجاوز 1، لذا تطلق آلية لابلاس العدد الحقيقي مضافًا إليه ضوضاء لابلاس بمقياس 1/ε. وتتراكم خسارة الخصوصية أيضًا: فالإجابة عن k استعلامات، يستهلك كل منها ε، تنفق ما يصل إلى k × ε إجمالًا؛ لذا تحدد المؤسسات ميزانية خصوصية لمجموعة بيانات وتتوقف عن الإجابة عند نفادها. يطلق المقتطف أدناه عددًا واحدًا عند ثلاثة مستويات للخصوصية، ويقيس الخطأ ومدى نجاح مهاجم يرى الناتج في معرفة ما إذا كان شخص واحد ضمن البيانات:

import numpy as np

rng = np.random.default_rng(0)

# A count over 1,000 records, and a neighboring dataset with one person removed
true_count = 412
neighbor_count = true_count - 1

for epsilon in (0.1, 1.0, 10.0):
    # Laplace mechanism: a count has sensitivity 1, so the noise scale is 1 / epsilon
    released = true_count + rng.laplace(scale=1 / epsilon, size=100_000)
    released_neighbor = neighbor_count + rng.laplace(scale=1 / epsilon, size=100_000)

    # Utility: average error. Privacy: accuracy of guessing whether the person is included
    error = np.abs(released - true_count).mean()
    threshold = true_count - 0.5
    attack = ((released > threshold).mean() + (released_neighbor <= threshold).mean()) / 2
    print(f"epsilon={epsilon:<4} mean error={error:6.2f}  attacker accuracy={attack:.1%}")

عند ε = 0.1، يبلغ متوسط الخطأ 9.98 وتكون إجابة المهاجم صحيحة في 52.5% من الحالات، وهي نتيجة أفضل قليلًا من رمية عملة. وعند ε = 1، ينخفض الخطأ إلى 1.00 وتصل نسبة نجاح المهاجم إلى 69.5%، أما عند ε = 10 فيبلغ الخطأ 0.10 وينجح المهاجم بنسبة 99.7%. وأفضل دقة يمكن أن يحققها أي مهاجم ضد إصدار محقق للخصوصية التفاضلية ε هي e^ε / (1 + e^ε)، أي 52.5% عند ε = 0.1 و73.1% عند ε = 1.

التدريب المحقق للخصوصية التفاضلية#

يجعل DP-SGD، الذي قدمه مارتين أبادي وزملاؤه في Google عام 2016، التعلم العميق محققًا للخصوصية التفاضلية عبر تعديل الانحدار المتدرج العشوائي. إذ يقص تدرج كل مثال تدريبي عند حد أقصى للمعيار، بحيث لا يستطيع أي مثال منفرد تحريك أوزان النموذج كثيرًا، ويضيف ضوضاء غاوسية إلى تدرجات الدفعة المجمعة، ويستخدم محاسبًا للخصوصية لتتبّع إجمالي ε المستهلك أثناء التدريب. وتحد النتيجة من مقدار ما يمكن للنموذج المدرّب حفظه من أي مثال واحد، مما يحد مباشرةً من هجمات استدلال العضوية. ويتمثل المقابل في انخفاض الدقة وزيادة الحوسبة، لذا تحتاج نماذج DP عادةً إلى دفعات ومجموعات بيانات أكبر. ويمثل VaultGemma من Google، الذي صدر عام 2025، نموذجًا لغويًا كبيرًا يضم مليار مُعامل، ودُرّب مسبقًا بالكامل باستخدام DP-SGD عند ε ≤ 2.0 وδ ≤ 1.1e-10.

تحسب مكتبات مثل Opacus من Meta، المخصصة لـPyTorch، التدرجات لكل مثال التي يتطلبها DP-SGD، وترفض الطبقات التي تمزج المعلومات بين الأمثلة. ويُعد تطبيع الدُفعات الحالة الشائعة، لأن القيمة المطبّعة لكل مثال تعتمد على بقية أمثلته في الدفعة. ويحتاج كاشف التفاف مثل Ultralytics YOLO26، الذي تطبق كتل الالتفاف فيه تطبيع الدُفعات بعد كل عملية التفاف، إلى استبدال تلك الطبقات بتطبيع المجموعات قبل أن يتمكن DP-SGD من تدريبه؛ ويطبق Opacus هذا الاستبدال تلقائيًا باستخدام ModuleValidator.fix().

مواضع استخدام الخصوصية التفاضلية#

• الإحصاءات الرسمية: كان تعداد الولايات المتحدة لعام 2020 أول تعداد عشري ينشر نتائجه باستخدام الخصوصية التفاضلية.
• الخصوصية التفاضلية المحلية: تضيف RAPPOR من Google في Chrome (2014) وميزات iOS من Apple (2016) ضوضاء على الجهاز قبل مغادرة البيانات له، فتتعلم الشركة الاتجاهات الإجمالية، مثل الرموز التعبيرية الشائعة، من دون جمع القيم الحقيقية لأي مستخدم.
• التعلم الاتحادي: يُبقي البيانات على الأجهزة، كما أن إضافة DP إلى تحديثات النموذج المشترك تحد من المعلومات التي تكشفها عن بيانات أي مستخدم.
• البيانات الاصطناعية: تنتج المولّدات المدرّبة باستخدام DP مجموعات بيانات قابلة للمشاركة وتوفر للأشخاص في البيانات الأصلية ضمان ε نفسه.

الخصوصية التفاضلية إحدى التقنيات ضمن المجال الأوسع لـخصوصية البيانات، وهي تكمّل أمن البيانات والذكاء الاصطناعي السري، اللذين يحميان البيانات من الوصول غير المصرح به أثناء التخزين والمعالجة. وتقدم SP 800-226 الصادرة عن NIST، والتي اعتُمدت نهائيًا في مارس 2025، إرشادات لتقييم ضمانات الخصوصية التفاضلية، وتحذّر من أن ادعاءً بقيمة ε لا يكون ذا معنى إلا عند اقترانه بوحدة الخصوصية التي يحميها، مثل حدث واحد أو شخص واحد.