Differential Privacy

Diferansiyel gizlilik (DP), verileri analiz eden algoritmalar için geliştirilmiş matematiksel bir gizlilik tanımıdır: Bir kişinin kaydı girdiye eklendiğinde veya girdiden çıkarıldığında çıktı dağılımı neredeyse hiç değişmiyorsa algoritma diferansiyel gizlilik sağlar. Bir gözlemcinin çıktıdan öğrendikleri, o kişinin verileri olmadan da neredeyse aynı olacağından sonuç, o kişi hakkında neredeyse hiçbir özgül bilgi açığa çıkarmaz. Bu yöntem, veri analitiği sonuçlarını yayımlamak ve tıbbi görüntüler ile klavye girişi gibi hassas veriler üzerinde makine öğrenimi modelleri eğitmek için kullanılır. Cynthia Dwork, Frank McSherry, Kobbi Nissim ve Adam Smith tanımı 2006 tarihli Özel Veri Analizinde Gürültüyü Duyarlılığa Göre Ayarlama başlıklı makalelerinde ortaya koydu; bu çalışma onlara 2017 Gödel Ödülü'nü kazandırdı. Bu güvence, her miktarda harici bilgiye sahip saldırganlara karşı geçerlidir; geleneksel anonimleştirmenin başarısız olduğu nokta da budur: Kayıtların tanımlayıcıları kaldırılmış olsa bile başka veritabanlarıyla ilişkilendirilerek kimlikleri yeniden belirlenebilir.

Epsilon, Duyarlılık ve Gizlilik Bütçesi#

Rastgeleleştirilmiş bir M algoritması, tek bir kayıt bakımından farklılık gösteren herhangi iki veri kümesi D ve D′ ile her çıktı kümesi S için Pr[M(D) ∈ S] ≤ e^ε × Pr[M(D′) ∈ S] koşulunu sağlıyorsa ε-diferansiyel gizlilik sunar. Epsilon parametresi (ε), tek bir kişinin çıktıyı ne kadar değiştirebileceğini sınırlar: Daha düşük değerler daha güçlü gizlilik ve daha gürültülü sonuçlar demektir. Gevşetilmiş (ε, δ) sürümü, sınırın çok küçük bir δ olasılıkla aşılmasına izin verir; δ genellikle kayıt sayısının tersinden çok daha küçüktür.

Gürültü, tek bir kaydın sonucu en fazla ne kadar değiştirebileceğini belirleyen duyarlılığa göre ayarlanır. Bir sayım en fazla 1 değişebildiğinden Laplace mekanizması, gerçek sayımı ölçeği 1/ε olan Laplace gürültüsü ekleyerek yayımlar. Gizlilik kaybı da birikir: Her biri ε değerinde k sorguya yanıt vermek, toplamda en fazla k × ε harcar. Bu nedenle kuruluşlar bir veri kümesi için gizlilik bütçesi belirler ve bütçe tükendiğinde yanıt vermeyi durdurur. Aşağıdaki kod parçacığı, üç gizlilik düzeyinde tek bir sayımı yayımlar ve hem hatayı hem de çıktıyı gören bir saldırganın bir kişinin veriler arasında bulunup bulunmadığını ne sıklıkla anlayabildiğini ölçer:

import numpy as np

rng = np.random.default_rng(0)

# A count over 1,000 records, and a neighboring dataset with one person removed
true_count = 412
neighbor_count = true_count - 1

for epsilon in (0.1, 1.0, 10.0):
    # Laplace mechanism: a count has sensitivity 1, so the noise scale is 1 / epsilon
    released = true_count + rng.laplace(scale=1 / epsilon, size=100_000)
    released_neighbor = neighbor_count + rng.laplace(scale=1 / epsilon, size=100_000)

    # Utility: average error. Privacy: accuracy of guessing whether the person is included
    error = np.abs(released - true_count).mean()
    threshold = true_count - 0.5
    attack = ((released > threshold).mean() + (released_neighbor <= threshold).mean()) / 2
    print(f"epsilon={epsilon:<4} mean error={error:6.2f}  attacker accuracy={attack:.1%}")

ε = 0,1 olduğunda ortalama hata 9,98, saldırganın doğru tahmin oranı ise %52,5'tir; bu sonuç yazı tura atmaktan ancak biraz daha iyidir. ε = 1'de hata 1,00'a düşer ve saldırgan %69,5 doğruluk elde eder. ε = 10'da hata 0,10 olurken saldırgan %99,7 oranında başarılı olur. ε-diferansiyel gizlilikli bir yayıma karşı herhangi bir saldırganın ulaşabileceği en iyi doğruluk e^ε / (1 + e^ε) kadardır; bu oran ε = 0,1 için %52,5, ε = 1 için %73,1'dir.

Diferansiyel Gizlilikli Eğitim#

2016'da Google'da Martín Abadi ve çalışma arkadaşlarının ortaya koyduğu DP-SGD, stokastik gradyan inişini değiştirerek derin öğrenime diferansiyel gizlilik kazandırır. Tek bir örneğin model ağırlıklarını aşırı ölçüde değiştirmesini önlemek için her eğitim örneğinin gradyanını en yüksek bir norm değeriyle sınırlar, her grubun gradyan toplamına Gauss gürültüsü ekler ve eğitim boyunca harcanan toplam ε değerini izlemek için bir gizlilik muhasebecisi kullanır. Sonuç, eğitilmiş modelin herhangi bir örneği ne ölçüde ezberleyebileceğini sınırlar ve böylece üyelik çıkarımı saldırılarını doğrudan kısıtlar. Bunun bedeli daha düşük doğruluk ve daha fazla hesaplama olduğundan DP modelleri genellikle daha büyük gruplara ve veri kümelerine ihtiyaç duyar. Google'ın 2025'te yayımladığı VaultGemma, ε ≤ 2,0 ve δ ≤ 1,1e-10 değerlerinde tamamen DP-SGD ile önceden eğitilmiş, 1 milyar parametreli bir büyük dil modelidir.

Meta'nın Opacus gibi PyTorch kütüphaneleri, DP-SGD'nin gerektirdiği örnek başına gradyanları hesaplar ve örnekler arasında bilgi karıştıran katmanları reddeder. Her örneğin normalize edilmiş değerinin kendi grubundaki diğer örneklere bağlı olması nedeniyle yaygın örnek yığın normalizasyonudur. Evrişimli bir algılayıcı olan Ultralytics YOLO26 modelinin evrişim blokları, her evrişimden sonra yığın normalizasyonu uygular. Bu modelin DP-SGD ile eğitilebilmesi için söz konusu katmanların grup normalizasyonuyla değiştirilmesi gerekir; Opacus'un ModuleValidator.fix() aracı bu değişikliği otomatik olarak uygular.

Diferansiyel Gizliliğin Kullanım Alanları#

• Resmî istatistikler: 2020 ABD Nüfus Sayımı, sonuçlarını diferansiyel gizlilik kapsamında yayımlayan ilk on yıllık nüfus sayımı oldu.
• Yerel diferansiyel gizlilik: Chrome'daki Google RAPPOR (2014) ve Apple'ın iOS özellikleri (2016), veriler cihazdan çıkmadan önce cihaza gürültü ekler. Böylece şirket, emoji popülerliği gibi genel eğilimleri öğrenirken hiçbir kullanıcının gerçek değerlerini toplamaz.
• Federe öğrenme: Verileri cihazlarda tutar; ortak model güncellemelerine DP eklemek, bu güncellemelerin herhangi bir kullanıcının verileri hakkında açığa çıkardığı bilgiyi sınırlar.
• Sentetik veri: DP ile eğitilen üreticiler, özgün verilerdeki kişiler için aynı ε güvencesini taşıyan, paylaşılabilir veri kümeleri oluşturur.

Diferansiyel gizlilik, daha geniş veri gizliliği alanındaki tekniklerden biridir ve depolama ile işleme sırasında verileri yetkisiz erişime karşı koruyan veri güvenliği ve gizli yapay zekâyı tamamlar. Mart 2025'te son hâli yayımlanan NIST'in SP 800-226 belgesi, diferansiyel gizlilik güvencelerinin değerlendirilmesine yönelik yönergeler sunar ve ε iddiasının yalnızca olay veya kişi gibi koruduğu gizlilik birimiyle birlikte anlam taşıdığı konusunda uyarır.