Worst-case privacy disclosure: почему EER мало для анонимизации голоса

Статья разбирает слабое место оценки анонимизации голоса: средний EER может выглядеть хорошо, даже если для отдельных дикторов остается сильная утечка личности. Авторы защищают worst-case privacy disclosure, реализованный в privacy-ZEBRA, и связывают его с идеей совершенной секретности по Шеннону. Это полезная методологическая работа: она не обещает новый анонимизатор, а показывает, почему метрика должна смотреть на худший случай в пространстве логарифмических отношений правдоподобия.

Метод. Угроза формулируется через атакующего, который знает алгоритм анонимизации, но не его секретные случайные параметры, и имеет защищенные пробы вместе с открытыми enrollment-записями. Вместо пороговой ошибки верификатора авторы рассматривают, насколько наблюдение меняет апостериорную уверенность атакующего в личности диктора. Практическая часть посвящена тому, как получать оценки log-likelihood ratio: через PAV-калибровку, гауссовские и t-модели, а также ранговый вариант, который авторы показывают как частный случай той же рамки.

Результаты. На системах VPC 2024 видно, что EER и worst-case disclosure расходятся. Например, система T25-1 имеет EER 42.22%, то есть выглядит почти случайной по среднему порогу, но гауссовская оценка дает epsilon 9.86 - сильную максимальную утечку для отдельных случаев. Система T8-5 при EER 41.41% получает rank-based epsilon 8.95, хотя PAV и t-оценка дают около 0.85-2.52. Это означает, что средняя неразличимость дикторов не гарантирует отсутствие опасных хвостов.

Ограничения. Авторы не доказывают, какой estimator всегда лучше: ground-truth LLR в такой задаче недоступен, а разные калибровки дают разные величины epsilon. Работа также почти не обсуждает сохранение полезности речи после анонимизации и не закрывает все варианты полуосведомленного атакующего. Поэтому вывод практический, но аккуратный: EER нельзя использовать как единственное число приватности.

Фишка из статьи. Сильная часть статьи - разбор того, как калибровка сама меняет картину риска. PAV может давать бесконечные отношения правдоподобия, поэтому их приходится сглаживать, и итоговая верхняя оценка начинает зависеть от количества наблюдений.

Как это читать: две системы с похожим EER могут иметь очень разные худшие утечки. Для анонимизации голоса это критично: пользователь рискует не средним случаем, а тем, что конкретная запись окажется легко связываемой с ним.