Adversary-Aware Private Inference over Wireless Channels

Resumen Técnico: Inferencia Privada Consciente del Adversario sobre Canales Inalámbricos

Planteamiento del Problema
El artículo aborda los riesgos de privacidad inherentes a la detección basada en IA en dispositivos de borde inalámbricos, específicamente dentro de marcos de inferencia colaborativa. En estos sistemas, los dispositivos de borde extraen características de los datos de detección brutos (por ejemplo, imágenes) y las transmiten a un servidor remoto para su predicción. Si bien esto reduce la carga computacional en el dispositivo, expone las representaciones de características intermedias sensibles a la interceptación. Los mecanismos de privacidad existentes, como la Privacidad Diferencial (DP), se centran típicamente en proteger conjuntos de datos finitos o en garantizar la indistinguibilidad de la salida de un conjunto de datos. Sin embargo, el artículo señala que la protección para características individuales transmitidas a través de canales inalámbricos, particularmente contra ataques de reconstrucción por parte de un adversario que observa la transmisión, no ha sido abordada rigurosamente. El desafío central es diseñar un flujo de transmisión que minimice la sobrecarga de comunicación mientras garantiza un error de reconstrucción elevado para un adversario, sin degradar significativamente la precisión de la inferencia del servidor.

Metodología
Los autores proponen un flujo de transmisión de extremo a extremo para la inferencia colaborativa que integra la preservación de la privacidad directamente en las capas física y de procesamiento de señales. El marco opera a través de las siguientes etapas:

1. Extracción de Características y Reducción de Dimensionalidad: Un dispositivo de borde extrae un vector de características $F(x)$ a partir de una entrada bruta $x$. Este vector es recortado para asegurar una sensibilidad acotada y luego proyectado en un espacio de menor dimensión ($r \leq d$) utilizando una matriz de codificación lineal $W$.
2. Inyección de Privacidad Local: Para garantizar la privacidad local, el dispositivo aplica el mecanismo Gaussiano añadiendo ruido Gaussiano al vector codificado. Este paso está gobernado por las restricciones de la $(\epsilon, \delta)$-privacidad diferencial de características (DP).
3. Transmisión Inalámbrica: El vector perturbado es escalado por un coeficiente de potencia de transmisión y transmitido a través de un canal inalámbrico de desvanecimiento por bloques. El modelo tiene en cuenta las degradaciones del canal y el ruido Gaussiano aditivo.
4. Procesamiento en el Lado del Servidor: El servidor recibe la señal ruidosa, la reescala y aplica un decodificador lineal para reconstruir la representación de la característica para la clasificación.
5. Modelo Adversario: Un adversario es modelado como un interceptor que observa la transmisión a través de un canal inalámbrico separado con su propio coeficiente de canal y ruido. El adversario intenta reconstruir las características originales utilizando un estimador lineal.

El artículo analiza los compromisos entre la dimensión de las características proyectadas, la magnitud del ruido de privacidad y las condiciones del canal inalámbrico. Derivan límites teóricos sobre la precisión de la clasificación del servidor y el Error Cuadrático Medio (MSE) del adversario en la reconstrucción de las características.

Contribuciones Clave
El artículo introduce un nuevo marco de privacidad denominado privacidad diferencial de características, diseñado específicamente para proteger las representaciones de características intermedias durante la transmisión inalámbrica. Las principales contribuciones incluyen:

• Garantías Teóricas sobre la Reconstrucción Adversaria: Los autores derivan un límite inferior riguroso para el MSE del adversario en función de los parámetros del modelo, las condiciones del canal, la potencia de transmisión y el ruido. Este límite cuantifica la dificultad que enfrenta un adversario para recuperar información sensible.
• Dimensión de Proyección Óptima: El artículo establece la dimensión de proyección óptima $r^*$ requerida para satisfacer un umbral objetivo de MSE adversario mientras se minimiza la latencia. Identifica dos regímenes: un régimen "limitado por la privacidad", donde la dimensionalidad escala con los parámetros de privacidad ($r^* \propto \epsilon^2/d$), y un régimen "limitado por el ruido", donde la dimensionalidad se satura en una constante determinada por el ruido del canal.
• Límites de Precisión de Clasificación: Se deriva un límite inferior en la precisión de la clasificación bajo restricciones de privacidad diferencial, capturando explícitamente los compromisos entre las dimensiones de las características, el ruido de privacidad y las degradaciones del canal inalámbrico.
• Extensión a Massive MIMO: El marco se extiende a un entorno Massive MIMO, demostrando que el endurecimiento del canal (channel hardening) y la propagación favorable pueden suprimir inherentemente la fuga de información hacia los interceptores, causando que el error de reconstrucción del adversario se aproxime asintóticamente a la dimensión del espacio de características (obteniendo efectivamente ninguna información) a medida que aumenta el número de antenas.

Resultados
El análisis teórico y las visualizaciones (por ejemplo, Fig. 2 y Fig. 3) demuestran lo siguiente:

• Compromiso Privacidad-Utilidad: A medida que el parámetro de privacidad $\epsilon$ disminuye (privacidad más estricta), el MSE del adversario aumenta, indicando una mayor protección. Sin embargo, aumentar la dimensión de la característica $d$ sin ajustar el ruido de privacidad puede degradar la precisión de la clasificación del servidor debido a la amplificación del ruido de perturbación.
• Impacto de la Dimensionalidad: En regímenes de alta privacidad, aumentar la dimensionalidad amplifica el ruido, reduciendo la precisión. Por el contrario, en regímenes de baja privacidad, una mayor dimensionalidad puede ayudar a la clasificación hasta alcanzar un punto de inflexión crítico.
• Resiliencia Adversaria: Los límites inferiores derivados confirman que el mecanismo propuesto limita eficazmente la capacidad del adversario para reconstruir las características. El uso de una matriz de compresión aleatoria (con entradas de una distribución Laplaciana) combinado con ruido Gaussiano asegura que el mecanismo satisfaga la $(\epsilon, \delta)$-DP de características.
• Beneficios de Massive MIMO: En el límite de Massive MIMO, la capacidad del adversario para recuperar las características transmitidas desaparece asintóticamente, resaltando los beneficios de privacidad inherentes a las características de la capa física.

Significancia
El artículo afirma proporcionar un marco de transmisión integral y eficiente para la detección basada en IA inalámbrica que se alinea con los criterios de privacidad estándar mientras considera explícitamente el canal inalámbrico. Al integrar la privacidad en el proceso de transmisión mediante la aleatoriedad calibrada y la reducción de dimensionalidad, el marco ofrece conocimientos teóricos rigurosos sobre cómo la codificación consciente del canal y la perturbación preservadora de la privacidad interactúan para salvaguardar la información sensible. El trabajo cierra la brecha entre las garantías de privacidad teórica y las restricciones prácticas de la comunicación inalámbrica, ofreciendo una base para diseñar sistemas de inferencia en el borde conscientes de la privacidad. Los autores señalan que el trabajo futuro explorará modelos de adquisición de datos estructurados y mecanismos de reducción de dimensionalidad no lineales para cerrar aún más la brecha entre la teoría y las restricciones prácticas de la detección.