Resumen Técnico: Análisis de Privacidad Diferencial Convergente para Aprendizaje Federado General

1. Enunciado del Problema

El Aprendizaje Federado (FL) combinado con Privacidad Diferencial (DP) ofrece un paradigma para entrenar modelos en datos de clientes privados a gran escala sin fugas directas de datos. Sin embargo, los análisis teóricos existentes de los marcos FL-DP dependen en gran medida del teorema de composición (por ejemplo, $(\epsilon, \delta)$-DP o Rényi-DP). Estos enfoques tradicionales suelen producir límites de privacidad que divergen (se vuelven arbitrariamente laxos) a medida que aumenta el número de rondas de comunicación $T$.

Esta divergencia implica una conclusión contra intuitiva y empíricamente no respaldada: que los marcos FL-DP pueden eventualmente perder todas sus capacidades de protección de privacidad bajo perturbaciones ruidosas de nivel constante durante el entrenamiento a largo plazo. Esto crea una discrepancia significativa entre las predicciones teóricas (que sugieren una falla de privacidad inevitable) y los resultados experimentales (que a menudo muestran una privacidad estable). El desafío central radica en analizar la privacidad de los métodos FL con objetivos no convexos y actualizaciones locales heterogéneas, donde el entrenamiento local de múltiples pasos introduce modelos sesgados que complican el análisis estándar de sensibilidad.

2. Metodología

Los autores proponen un análisis integral basado en Privacidad Diferencial $f$ ($f$-DP), utilizando específicamente la Privacidad Diferencial Gaussiana (GDP), que ofrece una definición de privacidad sin pérdida teórica de la información a través del compromiso entre los errores de Tipo I y Tipo II en la prueba de hipótesis.

Los componentes metodológicos clave incluyen:

• Técnica de Interpolación Desplazada: Para evitar los límites laxos asociados con la amplificación de privacidad estándar por iteración, el artículo adopta una secuencia de interpolación desplazada. En lugar de analizar la relación directa entre los modelos globales en conjuntos de datos adyacentes a lo largo de $T$ rondas, los autores definen una secuencia auxiliar $\tilde{w}_t$ que interpola entre las trayectorias de los dos conjuntos de datos adyacentes. Esto permite un análisis de amplificación de privacidad más ajustado sobre un intervalo específico $[t_0, T]$.
• Descomposición de la Sensibilidad Global: El término de sensibilidad global $\|\phi(w_t) - \phi'(\tilde{w}_t)\|$ se descompone en dos componentes:
  1. Sensibilidad de Datos: El error resultante del entrenamiento en diferentes conjuntos de datos comenzando desde la misma inicialización.
  2. Sensibilidad del Modelo: El error resultante del entrenamiento en el mismo conjunto de datos comenzando desde diferentes inicializaciones.
     Los autores derivan límites específicos para estas sensibilidades bajo los algoritmos Noisy-FedAvg y Noisy-FedProx.
• Optimización de los Coeficientes de Interpolación: El límite de privacidad se formula como un problema de minimización sobre los coeficientes de interpolación $\lambda_t$ y una ronda de inicio $t_0$. Para garantizar la convergencia, los autores relajan el problema estableciendo $t_0 = 0$, eliminando la divergencia causada por la brecha de estabilidad inicial mientras mantienen un límite ajustado sobre la sensibilidad acumulada.
• Estrategias de Tasa de Aprendizaje: El análisis cubre cuatro estrategias distintas de decaimiento de la tasa de aprendizaje: constante, decaimiento cíclico, decaimiento por etapas y decaimiento iterativo.

3. Contribuciones Clave

El artículo proporciona el primer análisis de privacidad convergente para métodos generales FL-DP bajo objetivos no convexos y suaves. Las contribuciones específicas son:

• Privacidad Convergente para Noisy-FedAvg: Los autores demuestran que la privacidad del peor caso de Noisy-FedAvg no diverge con respecto al número de rondas de comunicación $T$. Proporcionan límites convergentes ajustados para cuatro estrategias diferentes de decaimiento de la tasa de aprendizaje. Esto desafía la creencia de larga data de que los presupuestos de privacidad deben aumentar indefinidamente con la duración del entrenamiento.
• Privacidad Estable para Noisy-FedProx: Al analizar el término proximal en Noisy-FedProx, los autores demuestran que la peor privacidad converge a un límite inferior constante general. Muestran que el coeficiente proximal $\alpha$ actúa como un regularizador que puede desacoplar la privacidad del intervalo de entrenamiento local $K$, siempre que $\alpha > L$ (donde $L$ es la constante de suavidad).
• Agnosticismo del Marco: Los límites $f$-DP derivados pueden convertirse sin pérdida a otros marcos estándar, incluyendo $(\epsilon, \delta)$-DP y Rényi-DP (RDP), proporcionando comprensiones de grano fino para los sistemas FL-DP existentes.
• Resolución Teórica de la Discrepancia: El análisis resuelve la brecha entre la divergencia teórica y la estabilidad empírica, demostrando que el ruido de nivel constante es suficiente para mantener garantías de privacidad convergentes en FL.

4. Resultados

Los hallazgos teóricos se resumen en la Tabla 1 y la Tabla 3 del artículo:

• Noisy-FedAvg:
  • Bajo tasas de aprendizaje constantes, el límite de privacidad converge a un valor dependiente de $K$, $m$ (escala de clientes) y $\sigma$ (ruido), pero permanece acotado cuando $T \to \infty$.
  • Bajo tasas de aprendizaje de decaimiento por etapas e iterativo, el límite de privacidad converge a una forma proporcional a $\sqrt{2 - 1/T}$, asegurando la convergencia.
  • Los límites son más ajustados que trabajos anteriores que a menudo requerían que la varianza del ruido $\sigma^2$ escalara con $T$ o $TK$.
• Noisy-FedProx:
  • El límite de privacidad converge a un límite inferior constante independiente de $T$ y $K$.
  • El límite es inversamente proporcional a $\sqrt{\alpha}$, lo que indica que un coeficiente proximal $\alpha$ más grande mejora significativamente la privacidad (reduce la sensibilidad) sin requerir un aumento del ruido.
• Validación Empírica:
  • Los experimentos en MNIST y CIFAR-10 con LeNet-5 y ResNet-18 confirman que la sensibilidad global se estabiliza a medida que avanza el entrenamiento, independientemente de $T$ o $K$.
  • Los estudios de sensibilidad muestran que aumentar el número de clientes ($m$) reduce la sensibilidad ($O(1/\sqrt{m})$), mientras que el intervalo local $K$ afecta la tasa de convergencia pero no el límite asintótico.
  • Los ataques de inferencia de membresía e inversión de gradientes confirman que las tasas de éxito del ataque se estabilizan en lugar de acercarse al 100% bajo ruido constante, validando la teoría de privacidad convergente.

5. Significado

El artículo afirma establecer una base teórica sólida para la fiabilidad de la privacidad en los marcos FL-DP. Su significado radica en:

1. Corrección de Conceptos Erróneos Teóricos: Refuta la inferencia de que FL-DP pierde inevitablemente la protección de privacidad durante el entrenamiento a largo plazo bajo ruido constante, alineando la teoría con las observaciones empíricas.
2. Habilitación del Entrenamiento a Largo Plazo: Al demostrar límites convergentes, el trabajo sugiere que los sistemas FL pueden operar durante períodos extendidos sin requerir aumentos ilimitados en la intensidad del ruido, lo que de otro modo degradaría la utilidad del modelo.
3. Compromiso entre Optimización y Privacidad: El análisis de Noisy-FedProx revela que la regularización local (el término proximal) puede servir como un mecanismo para lograr una solución "ganar-ganar", mejorando simultáneamente la estabilidad de la optimización y las garantías de privacidad.
4. Guía de Diseño: Los resultados proporcionan información práctica para diseñar sistemas FL, como los beneficios de escalas de clientes más grandes y la selección estratégica del decaimiento de la tasa de aprendizaje y los coeficientes proximales para maximizar la privacidad sin comprometer la convergencia.

Los autores concluyen que su trabajo llena una brecha teórica crítica, demostrando que las interacciones locales y globales adecuadamente estructuradas en FL pueden preservar garantías rigurosas de privacidad sin comprometer fundamentalmente el marco de aprendizaje.