見えないことが安全とは限らない：タスク限定ロボット知覚出力からのプライバシー漏洩

本論文は、家庭用ロボットがタスク実行のために外部（プランナー、クラウドサービス、ログ、学習パイプライン）へ書き出す構造化表現（perception exports）から、プライバシー情報が漏洩する問題を扱う。生のセンサーデータがローカルに留まっても、書き出された表現の意味論・幾何学・空間構造・タスク目標を通じて世帯情報が推測され得ると指摘し、タスクスコープの表現書き出しフレームワークであるTask-Functional Perception Distillation (TFPD)を提案する。TFPDは、リッチな知覚をローカルに保ちつつ、タスク有用性、直接露出、複数の残差推論リスクに基づいて書き出し表現をプロファイリングする。

従来研究は、生データのローカル処理やフィールド除去（例えば顔のぼかし）がプライバシー保護に十分と見なすことが多かったが、本論文は構造化表現の書き出し自体がプライバシー漏洩の経路になることを体系的に示す。特に、タスク等価性（同じタスク性能）を保ちながらも表現間でリンカビリティ（同一性の追跡可能性）や属性推論リスクが大きく異なることを実証し、単純な抽象化やフィールド除去が普遍的なプライバシー順序を生まないことを明らかにした点が新しい。

TFPDは、タスク実行に必要な表現を選択的に書き出すフレームワークである。具体的には、書き出し表現をタスク有用性（タスク成功率や経路比）、直接露出（表現に含まれる情報）、および複数の残差推論リスク（リンカビリティ、ターゲットカテゴリ推論、オブジェクトカテゴリ推論など）の観点から評価する。実験では、AI2-THORシミュレータの120シーンを使用し、シーン分割（train/validation/test）を分離、攻撃者選択を凍結、表現を考慮したheld-out攻撃を実施する。ナビゲーション、衝突チェック、オブジェクトゴール実行の3タスクで、異なる表現（例：正規化座標、トポロジカル表現、ターゲット領域など）を比較する。

AI2-THORの120シーンで、シーン非重複のtrain/validation/test分割、凍結した攻撃者選択、表現を考慮したheld-out攻撃を用いて検証した。ナビゲーションタスクでは、3つの書き出し表現が同一の成功率（1.000）と平均経路比（0.898）を達成する一方、表現レベルのリンカビリティは0.532から0.970まで変動した。明示的なターゲットラベルをターゲット領域に置き換えると、ターゲットカテゴリのmacro-F1が1.000から0.077に低下する一方、成功率は0.995を維持した。幾何学的粗視化はオブジェクトカテゴリmacro-F1を0.704から0.556に低下させるが、衝突ユーティリティのコストが測定された。ProcTHORでの再現実験でも、ナビゲーションのタスク等価性とプライバシー非等価性の知見は維持されたが、正規化表現とトポロジカル表現の相対順序は変化した。

結果は、フィールド除去やより強い抽象化が普遍的なプライバシー順序を誘導しないことを示しており、タスク固有の多リスク評価の重要性を強調している。しかし、シミュレーション環境（AI2-THOR, ProcTHOR）に限定されており、実環境での検証は要旨からは不明である。また、攻撃者の知識や能力に関する仮定（凍結攻撃者選択など）が現実の脅威モデルとどの程度一致するかは議論の余地がある。さらに、プライバシーとユーティリティのトレードオフの定量化はタスクや表現に依存するため、一般化にはさらなる研究が必要である。

要旨で参照されている関連研究として、AI2-THORとProcTHORのシミュレータ、およびタスクスコープの表現書き出しに関する研究が挙げられる。具体的には、AI2-THOR (Kolve et al.) とProcTHOR (Deitke et al.) の論文、およびロボット知覚のプライバシー保護に関する既存研究（例：ローカル処理、表現の抽象化）が関連する。