Local Information Disclosure: privacy metric для 1-to-N voice anonymisation
Статья критикует привычную оценку voice anonymisation через EER: EER измеряет 1-to-1 verification, тогда как реальный attacker часто делает 1-to-N linkage search по базе enrolled identities. Из-за этого система может выглядеть почти приватной по EER около 48%, но все равно иметь отдельные utterances, где attacker получает сильный локальный сигнал. Авторы предлагают Local Information Disclosure (LID), которая переводит score vector attacker-а в posterior confidence и измеряет privacy loss в bits для каждого trial.
Метод. Для каждого anonymised trial attacker сравнивает utterance со всеми N enrolled identities, а scores калибруются в posterior probabilities. LID_i = log2(N * p_i,mi), где p_i,mi - posterior probability правильной identity; положительное значение означает, что evidence повысил confidence attacker-а выше random guess. Затем авторы агрегируют risk profile: ALID, Positive Disclosure Rate, LID+, LID-, LIDmax и другие показатели.
Результаты. На voice anonymisation baselines таблица показывает, что global EER не видит локальные провалы. Например, T12-5 и T25-1 имеют одинаковый EER 0.48 и Cllr 0.99, но LIDmax различается: 1.05 bit у T12-5 и 0.82 bit у T25-1. У T8-5 EER 0.46, но LIDmax 1.16 bit; у plain speech EER 0.00 и LIDmax 4.86 bit, что соответствует почти полной linkability. Random baseline дает EER 0.50, ALID 0.00 и LIDmax 0.12 bit.
Ограничения. LID зависит от калибровки attacker scores; если calibration dataset или attacker model не соответствуют реальному adversary, bits of disclosure тоже будут смещены. Работа фокусируется на closed-set 1-to-N linkage с LibriSpeech-style splits и ASV attackers, а longitudinal leakage и multi-modal biometric linkage остаются future work. Кроме того, LID не заменяет utility metrics: оно измеряет privacy risk, но не говорит, насколько anonymised speech полезна для ASR или human listening.
Фишка из статьи. Самый полезный negative result - EER может быть почти идеальным, но LIDmax все равно показывает локальную уязвимость. Для privacy audit это важнее среднего: один trial с большим disclosure может быть именно тем случаем, где происходит singling out.
| Experiment | EER | ALID | PDR | LID+ | LIDmax | Комментарий |
|---|---|---|---|---|---|---|
| T12-5 | 0.48 | 0.04 bit | 63.4% | 0.26 bit | 1.05 bit | EER выглядит безопасно, но есть локальная утечка |
| T25-1 | 0.48 | 0.04 bit | 63.9% | 0.20 bit | 0.82 bit | тот же EER, меньший worst-case |
| T8-5 | 0.46 | 0.10 bit | 65.8% | 0.35 bit | 1.16 bit | хуже локальный хвост |
| random | 0.50 | 0.00 bit | 49.9% | 0.03 bit | 0.12 bit | практически unlinkable baseline |
Как это читать: одинаковый EER 0.48 не означает одинаковую privacy. LIDmax раскрывает worst-case evidence, а PDR показывает, в какой доле trials attacker вообще получает положительную информацию.