pac

Automatische Abfrageprivatisierung mit dem PAC-Privacy-Framework

Maintainer: ila

Installation und Laden

INSTALL pac FROM community;
LOAD pac;

Beispiel

-- Generate TPC-H benchmark data
INSTALL tpch;
LOAD tpch;
CALL dbgen(sf=1);

-- Mark customer as the privacy unit
ALTER TABLE customer ADD PAC_KEY (c_custkey);
ALTER TABLE customer SET PU;

-- Protect sensitive customer columns
ALTER PU TABLE customer ADD PROTECTED (c_custkey);
ALTER PU TABLE customer ADD PROTECTED (c_name);
ALTER PU TABLE customer ADD PROTECTED (c_address);
ALTER PU TABLE customer ADD PROTECTED (c_acctbal);

-- Define join chain: lineitem -> orders -> customer
ALTER TABLE orders ADD PAC_LINK (o_custkey) REFERENCES customer(c_custkey);
ALTER TABLE lineitem ADD PAC_LINK (l_orderkey) REFERENCES orders(o_orderkey);

-- Aggregates on linked tables are automatically noised
SELECT l_returnflag, l_linestatus, SUM(l_extendedprice)
FROM lineitem GROUP BY ALL;

Über pac

PAC (Probably Approximately Correct) ist eine DuckDB-Erweiterung, die SQL-Abfragen automatisch privatisiert und vor Membership-Inference-Angriffen schützt, indem sie kalibriertes Rauschen zu Aggregatergebnissen hinzufügt. Anders als Differential Privacy arbeitet PAC transparent — eine datenschutzrechtliche Analyse jeder einzelnen Abfrage durch Spezialisten ist nicht nötig.

So funktioniert es:

1. Deklarieren Sie eine Privacy-Unit-Tabelle mit CREATE PU TABLE oder ALTER TABLE SET PU und geben Sie einen PAC_KEY (eindeutigen Identifikator) und PROTECTED-Spalten an
2. Geschützte Spalten können nicht direkt projiziert werden — sie dürfen nur innerhalb von Aggregaten vorkommen
3. Die Erweiterung schreibt Abfragepläne automatisch um, um kalibriertes Rauschen einzufügen
4. Join-Ketten propagieren den Datenschutz über PAC_LINK-Fremdschlüsseldeklarationen

Unterstützte Aggregate: SUM, COUNT, AVG, MIN, MAX, COUNT(DISTINCT)

Wichtige Einstellungen:

• pac_mi — Mutual-Information-Schranke für den Privacy-Utility-Tradeoff (Standard: 1/128). Niedrigere Werte = mehr Rauschen = mehr Datenschutz. Setzen Sie 0 für den deterministischen Modus (ohne Rauschen).
• pac_seed — RNG-Seed für reproduzierbare verrauschte Ergebnisse

Datenschutz-Propagation: PAC folgt automatisch Fremdschlüsselketten, die mit PAC_LINK deklariert sind, um die Privacy Unit zu finden. Wenn Sie beispielsweise lineitem mit einer Link-Kette lineitem -> orders -> customer abfragen, wird automatisch zu customer gejoint, um den Privacy-Unit-Schlüssel zu hashen, ohne Änderungen an Ihrer Abfrage.

Weitere Informationen: Siehe das PAC-Repository für vollständige Dokumentation, Beispiele und Benchmarks.

Anforderungen:

• DuckDB 1.5.0+

Hinzugefügte Funktionen

Überladene Funktionen

Diese Erweiterung fügt keine Funktionsüberladungen hinzu.

Hinzugefügte Typen

Diese Erweiterung fügt keine Typen hinzu.

Hinzugefügte Einstellungen