Resumen Técnico: FinP: Equidad en la Privacidad en el Aprendizaje Federado mediante el Abordaje de las Disparidades en el Riesgo de Privacidad

1. Planteamiento del Problema

El Aprendizaje Federado (FL, por sus siglas en inglés) mitiga los riesgos de la centralización masiva de datos, pero no logra garantizar una protección de la privacidad equitativa para todos los clientes participantes. En entornos de FL centrados en el ser humano, la heterogeneidad estadística (datos no IID) conduce a una distribución inequitativa de los riesgos de privacidad. Específicamente, los clientes con distribuciones de datos únicas o atípicas (por ejemplo, individuos con discapacidades físicas específicas en el Reconocimiento de Actividad Humana) son propensos al sobreajuste local. Este sobreajuste provoca que sus modelos locales memoricen puntos de datos únicos, lo que los hace desproporcionadamente vulnerables a los Ataques de Inferencia de Fuente (SIA).

A diferencia de los Ataques de Inferencia de Membresía (MIA), que determinan si un registro fue utilizado durante el entrenamiento, el SIA identifica al cliente específico que contribuyó con dicho registro. Esto rompe el pseudonimato al vincular datos sensibles con un contexto del mundo real (dispositivo o ubicación). Las defensas de privacidad existentes, como la Privacidad Diferencial (DP), a menudo inyectan ruido uniforme que degrada la utilidad global sin resolver la disparidad en la exposición por cliente; en algunos casos, exacerban la falta de equidad al penalizar a los clientes bien representados mientras fallan en ocultar las actualizaciones distintivas de los clientes sesgados. El artículo identifica una brecha crítica: la falta de un marco que formalice y haga cumplir la equidad en la privacidad, asegurando que ningún grupo individual cargue con una responsabilidad desproporcionada de vulnerabilidad de la privacidad.

2. Metodología: El Marco de Trabajo FinP

FinP es un marco novedoso diseñado para operacionalizar la equidad en la privacidad abordando tanto los síntomas (agregación desigual de riesgos) como las causas fundamentales (sobreajuste local). Emplea una estrategia de defensa de dos vertientes y ciclo cerrado que involucra intervenciones tanto en el servidor como en el cliente.

2.1 Modelo de Amenaza

El marco opera bajo un supuesto de servidor "honesto pero curioso". El servidor ejecuta fielmente el protocolo FL, pero intenta inferir información sensible del cliente a partir de las actualizaciones del modelo y las métricas de curvatura. La amenaza principal es un ataque de dos etapas:

1. Ataque de Inferencia de Membresía (MIA): Determinar si un punto de datos $x$ pertenece al conjunto de entrenamiento global.
2. Ataque de Inferencia de Fuente (SIA): Si se confirma que $x$ es parte del entrenamiento, identificar al cliente específico $C_i$ que lo generó.

2.2 Intervención del Cliente: Reducción Colaborativa del Sobreajuste

Para abordar la causa raíz de la vulnerabilidad (el sobreajuste local), FinP introduce un mecanismo de regularización basado en retroalimentación:

• Estimación Relativa del Sobreajuste: Los clientes estiman localmente su nivel de sobreajuste utilizando el autovalor superior de la Hessiana ($\lambda_{max}$) y la traza de la Hessiana ($H_T$) de su modelo local. Estas métricas caracterizan la nitidez del paisaje de pérdida; paisajes más nítidos indican un sobreajuste severo.
• Ranking Relativo ($\rho_k$): El servidor agrega estas métricas escalares para calcular un rango de sobreajuste relativo ($\rho_k$) para cada cliente, que representa su vulnerabilidad en relación con la federación. Este rango se transmite de vuelta al cliente como retroalimentación dirigida.
• Regularización Adaptativa: Al recibir $\rho_k$, el cliente modifica su función de pérdida local añadiendo un término de regularización limitado por la constante de Lipschitz (aproximada por la norma espectral de la Jacobiana). La pérdida modificada es:
  $$L^*_k = L_k + \beta \cdot \rho_k \cdot ||J_k||$$
  Aquí, $\beta$ es un parámetro dependiente de la tarea. Los clientes con rangos de sobreajuste relativo más altos ($\rho_k$) son sometidos a una regularización más fuerte, lo que los obliga a aprender representaciones más generalizables y reduce su susceptibilidad al SIA.

2.3 Intervención del Servidor: Agregación Adaptativa

Para abordar los síntomas de la disparidad, el servidor ajusta dinámicamente los pesos de agregación de las actualizaciones de los clientes:

• Cuantificación del Riesgo: El servidor utiliza el rango de sobreajuste relativo del cliente ($\rho_k$) como un sustituto (proxy) del riesgo de privacidad.
• Agregación Ligera Adaptativa (ALA): El servidor calcula los pesos de agregación ($\alpha_k$) inversamente proporcionales al rango de riesgo:
  $$\alpha_k = \frac{1 - \rho_k}{\sum_{i=1}^K (1 - \rho_i)}$$
  Este mecanismo reduce la influencia de los clientes altamente vulnerables en el modelo global, evitando que sus representaciones atípicas y memorizadas den forma desproporcionada a los parámetros globales.
• Línea Base Alternativa: El artículo también evalúa una estrategia basada en PCA para la cuantificación del riesgo, pero destaca a ALA como la solución computacionalmente eficiente y escalable adecuada para el despliegue en el mundo real.

3. Contribuciones Clave

El artículo describe cuatro contribuciones principales:

1. Definición Formal: Introduce una definición formal de equidad en la privacidad (FinP) adaptada para sistemas de aprendizaje automático centrados en el ser humano del mundo real, enfocándose en la distribución equitativa del riesgo de privacidad.
2. Operacionalización: Operacionaliza la medición de FinP dentro de FL, cuantificando específicamente las vulnerabilidades ante los Ataques de Inferencia de Fuente (SIA).
3. Marco de Trabajo Novedoso: Propone un marco técnico de dos vertientes que combina la agregación adaptativa en el servidor y la regularización basada en la Hessiana en el cliente para optimizar FinP.
4. Validación Empírica: Proporciona evaluaciones exhaustivas en conjuntos de datos del mundo real (HAR) y estándar (FEMNIST, CIFAR-10), demostrando mejoras significativas en la equidad de la privacidad con una pérdida mínima de la utilidad de la tarea.

4. Resultados Experimentales

El marco fue evaluado en tres conjuntos de datos: Reconocimiento de Actividad Humana (HAR), CIFAR-10 y FEMNIST, comparando FinP contra FedAvg (estándar), defensas de heterogeneidad de última generación (FedAlign) y Privacidad Diferencial (DP-SGD).

4.1 Mejoras en la Equidad de la Privacidad

• Conjunto de Datos HAR: FinP redujo el Coeficiente de Variación (CoV) de la precisión del SIA de 0.94 (Línea base) a 0.89, mejorando el Índice de Equidad (FI) en un 5.56%. Redujo la Diferencia de Oportunidad Igualitaria (EOD) en un 5.45%, indicando una tasa de éxito del adversario más uniforme entre los clientes.
• Conjunto de Datos CIFAR-10: FinP logró una mejora del 43.1% en el Índice de Equidad para la pérdida de predicción (FI(Loss)) en comparación con FedAlign. Redujo la EOD en un 57.14%, garantizando matemáticamente una tasa de verdaderos positivos más uniforme para el adversario.
• Privacidad Absoluta: En CIFAR-10, FinP redujo la precisión media del SIA de ~30.86% (FedAvg) a 10.07%, reduciendo efectivamente la tasa de éxito del ataque al nivel de un simple azar (1/10).

4.2 Utilidad y Eficiencia

• Utilidad del Modelo: Contrario al típico compromiso entre privacidad y utilidad, FinP mantiene o incluso mejora ligeramente la utilidad del modelo global. En CIFAR-10, FinP alcanzó una precisión de prueba del 78.46%, ligeramente superior al 77.62% de FedAvg. En HAR, la degradación fue mínima (aprox. 1.75%).
• Eficiencia: El marco requirió solo un aumento marginal en las rondas de comunicación para converger (por ejemplo, 10 rondas frente a las 9 de la línea base en HAR).
• Comparación con DP: Se encontró que la Privacidad Diferencial (DP-SGD) degrada drásticamente la utilidad (por ejemplo, una caída del 34.7% en la precisión en HAR) mientras falla en mejorar la equidad empírica de la privacidad, a menudo empeorando el Índice de Equidad.

4.3 Estudios de Ablación

• Sinergia de Componentes: El sistema de ciclo cerrado completo (Servidor + Cliente) produjo las mayores ganancias de equidad. La agregación en el lado del servidor por sí sola abordaba los síntomas, pero era insuficiente para la equidad estructural; la regularización en el lado del cliente por sí sola reducía el sobreajuste, pero carecía de la coordinación global para equilibrar la distribución del riesgo.
• Practicidad Computacional: La estrategia de Agregación Ligera Adaptativa (ALA) logró mejoras de equidad idénticas a la línea base basada en PCA (computacionalmente costosa), consumiendo solo el 17% del tiempo de computación de esta última.

5. Significación y Reivindicaciones

El artículo afirma que FinP establece protecciones de privacidad equitativas al reducir las disparidades de vulnerabilidad hasta en un 57.14% mientras preserva la utilidad del modelo global dentro de un margen de ±1.75% respecto a las líneas base estándar de federación.

Los autores argumentan que FinP es significativo porque:

1. Desplaza el enfoque de las garantías de privacidad promedio hacia una distribución equitativa del riesgo, abordando la realidad de "confianza cero" donde cierta filtración es inevitable.
2. Demuestra que las fuertes garantías de equidad en la privacidad no tienen por qué comprometer la utilidad del modelo; de hecho, al penalizar la memorización localizada, el marco puede mejorar la generalización y la precisión global.
3. Proporciona una solución escalable y práctica (vía ALA) que evita los cuellos de botella computacionales de los métodos tradicionales, haciéndola viable para despliegues de FL en el mundo real con recursos limitados.
4. Ofrece a los responsables de políticas y diseñadores de sistemas métricas tangibles (como EOD y FI) para hacer cumplir protecciones equitativas y fomentar la confianza pública en los sistemas de IA.

El artículo concluye que, sin abordar explícitamente la distribución inequitativa del riesgo, el FL corre el riesgo de reforzar las mismas desigualdades sociales que pretende evitar, y FinP ofrece un mecanismo estructural para prevenir esta desigualdad digital.