監査の選択履歴が内部告発者を露出するリスクと差分プライバシー

導入

内部告発制度において重要なのは、告発を受け付けることだけではない。告発後に、その存在が組織側へ間接的に伝わり、告発者が推測されてしまうリスクも大きな問題である。arXiv 論文「Plausible Deniability Guarantees for Whistleblowers」は、このリスクを監査対象の選択履歴という観点から分析している。

論文が注目するのは、告発内容そのものではなく、監査機関がいつ、どの組織を監査対象に選んだかという transcript である。被監査組織がその履歴を観察できるなら、ある告発によって自分たちが監査される確率が上がったかどうかを推測できる可能性がある。

主要ポイント

• 現実的な強い敵対者モデル。 論文は、被監査組織が監査選択の履歴を観察する状況を想定する。これは、監査や調査の優先順位が完全には隠せない制度において重要な前提である。

• 差分プライバシーによる否認可能性。 著者らは、保護を監査 transcript に対するレポート単位の $(0, \delta)$-差分プライバシーとして定式化する。直感的には、1 件の告発を追加または削除しても、外部から見える監査選択列が確実に区別できるほど変わってはならない、という条件である。

• ランダム化応答の限界。 監査対象を選ぶ段階でランダム化応答を使うのは自然な発想に見える。しかし論文は、この枠組みでは、ランダム化応答が一様ランダム監査を任意の期間で $\delta$ 以上大きく上回ることはできないと示す。単に最終的な選択をランダム化するだけでは、強いプライバシーと高い有用性を両立しにくい。

• 私的監査を継続的カウントへ帰着。 提案手法は、各組織への告発数を $(0, \delta)$-DP の continual counter で私的に追跡し、その結果を後処理して監査対象を決める。差分プライバシーは後処理で失われないため、監査 transcript も同じレポート単位の保証を引き継ぐ。

• 時間に対して緩やかなノイズ増加。 最近の継続的カウント手法を用いると、$T$ 回の監査決定にわたりノイズは $O(\sqrt{\log T})$ でスケールする。さらに、最も多く報告された組織と次点とのノイズ付きギャップが $\sqrt{\log T}$ より速く成長すれば、選択誤差は消えるという効用定理も示されている。

意義と影響

この研究は、ガバナンスシステムの「行動」自体が情報漏えいの経路になり得ることを示している。AI ガバナンス、企業コンプライアンス、プラットフォーム安全性、公共監査などでは、内部からの報告に基づいて調査優先度が決まることが多い。その優先度の変化が特定の告発と強く結びついていれば、保護すべき人物を危険にさらす可能性がある。

また、単発のデータ公開ではなく、連続する意思決定を対象にしたプライバシー設計の重要性も浮き彫りにしている。攻撃者は一度の選択だけでなく、時間を通じて観察を蓄積するからだ。

この論文は、法制度や運用手順まで含む完全な内部告発保護策ではない。それでも、告発者を露出させずに監査の有用性を高めるための、より厳密な技術的土台を提供している。

出典：arXiv