Client-Cooperative Split Learning

Each language version is independently generated for its own context, not a direct translation.

¡Claro que sí! Imagina que este paper es como una historia sobre cómo un grupo de vecinos muy inteligentes pero desconfiados deciden construir una casa juntos, sin que nadie tenga que mostrar sus planos secretos ni sus herramientas personales.

Aquí tienes la explicación de CLICOOPER en lenguaje sencillo, con analogías creativas:

🏠 El Problema: "Quiero tu receta, pero no quiero enseñarte mi cocina"

Imagina que tienes una receta secreta increíble (tus datos) para hacer un pastel (entrenar una Inteligencia Artificial), pero tu cocina es muy pequeña y no tienes horno (poca potencia de computación). Necesitas hornear el pastel, pero no puedes llevar los ingredientes a un horno público porque te robarían la receta.

Antes, la solución era enviar los ingredientes a un "Horno Maestro" (un servidor central) que era de confianza. Pero, ¿qué pasa si no hay un Horno Maestro, o si no confías en él?

CLICOOPER es la solución: Es como si tú (el dueño de la receta) y varios vecinos (los entrenadores) se pusieran de acuerdo para hornear el pastel sin que nadie vea los ingredientes crudos ni la receta final.

🛡️ Las Tres Reglas de Oro (Los 3 Problemas que Resuelven)

El sistema tiene que resolver tres miedos principales:

Privacidad: ¿Cómo evito que mis vecinos sepan qué ingredientes uso?
Propiedad: ¿Cómo sé que el vecino que mezcló la masa realmente trabajó y no solo trajo un pastel comprado?
Robo: ¿Cómo evito que alguien robe el pastel final y lo venda como suyo?

🎭 La Magia: ¿Cómo funciona CLICOOPER?

El sistema usa dos trucos de magia principales:

1. El Truco de las "Etiquetas Falsas" (Expansión de Etiquetas Secretas)

Imagina que tienes 10 tipos de frutas reales (Manzana, Pera, Uva...).
En lugar de decirles a tus vecinos "esto es una Manzana", tú les das etiquetas falsas.

La "Manzana" real se convierte en "Fruta-A1", "Fruta-A2" y "Fruta-A3".
La "Pera" se convierte en "Fruta-B1", "Fruta-B2", etc.

¿Por qué es genial?

Tus vecinos ven miles de etiquetas diferentes y no saben que "Fruta-A1" y "Fruta-A2" son en realidad la misma Manzana.
Si intentan adivinar qué fruta es, se confunden porque hay muchas opciones falsas.
Solo tú tienes el "diccionario secreto" para traducir las etiquetas falsas a las reales al final. Si alguien roba el pastel, solo verá un caos de etiquetas que no entiende.

2. El Truco de la "Niebla Mágica" (Privacidad Diferencial)

Antes de enviar los ingredientes a los vecinos, tú los cubres con una niebla mágica (ruido matemático).

Imagina que envías una foto de tu ingrediente, pero con un filtro de "niebla" que borra los detalles finos.
Los vecinos pueden ver la forma general (para aprender a hornear), pero no pueden ver la textura exacta ni reconstruir la foto original.
Si intentan limpiar la niebla, solo obtienen una imagen borrosa y sin sentido.

🔗 El "Collar de Perlas" (Marca de Agua Encadenada)

Aquí viene la parte más inteligente para evitar robos y estafas.

Imagina que el pastel se hace en pasos.

Tú preparas la masa base (con la niebla).
El Vecino 1 la mezcla.
El Vecino 2 le añade el relleno.
El Vecino 3 le pone el glaseado.

Para asegurarse de que cada vecino realmente trabajó, CLICOOPER usa un Collar de Perlas Encadenado:

Cuando el Vecino 1 termina su parte, deja una huella digital única (una marca de agua) en el pastel. Pero esta huella no es aleatoria; se crea usando una parte del trabajo del paso anterior (la masa base).
Cuando el Vecino 2 recibe el pastel, su huella digital debe estar conectada matemáticamente con la del Vecino 1.
Si el Vecino 2 intenta saltarse el trabajo y poner un pastel ya hecho de su casa, la cadena se rompe. La huella no encajará con la del Vecino 1.

El resultado: Es como un sello de autenticidad que viaja de mano en mano. Si falta un eslabón o está roto, el "Inspector" (el Verificador) sabe que alguien hizo trampa y no paga.

🧪 ¿Funciona de verdad? (Los Resultados)

Los autores probaron esto con muchos experimentos (reconociendo números, imágenes de gatos, noticias, etc.) y los resultados fueron increíbles:

El pastel sale perfecto: La inteligencia artificial aprende igual de bien que si no hubiera niebla ni etiquetas falsas. ¡La precisión se mantiene o incluso mejora un poco!
Los ladrones fallan:
- Si un vecino intenta agrupar los ingredientes para adivinar qué son (ataque de agrupación), falla el 100% de las veces. Se vuelve un caos.
- Si intentan reconstruir la imagen original desde la niebla, solo obtienen manchas de nieve (similitud bajó de 0.50 a 0.03).
- Si intentan robar el modelo final para hacer uno propio, su modelo nuevo solo acierta 1 de cada 100 veces (como adivinar al azar).

🏁 En Resumen

CLICOOPER es como un equipo de cocina colaborativo seguro:

Tú (el dueño de los datos) nunca muestras tus ingredientes crudos.
Ellos (los entrenadores) hacen el trabajo pesado sin poder espiar tu cocina.
El sistema asegura que cada uno hizo su parte con un "collar de huellas" que no se puede falsificar.
El resultado es un modelo de IA potente, privado y con dueños claros, listo para usarse sin miedo a que te roben la propiedad intelectual.

¡Es la forma de cocinar un pastel gigante entre muchos, sin que nadie sepa la receta secreta ni se lleve el crédito sin trabajar! 🍰🔒

Each language version is independently generated for its own context, not a direct translation.

Aquí presento un resumen técnico detallado del artículo "Client-Cooperative Split Learning" (Aprendizaje Dividido Cooperativo entre Clientes), que introduce el marco CLICOOPER.

1. Planteamiento del Problema

El aprendizaje dividido (Split Learning - SL) tradicional permite a propietarios de datos con recursos limitados entrenar modelos sin exponer sus datos crudos, delegando el cómputo a un servidor centralizado. Sin embargo, este paradigma enfrenta limitaciones en escenarios modernos:

Dependencia del Servidor: La mayoría de los enfoques asumen un servidor potente y totalmente confiable, lo cual no siempre es viable en entornos de borde o con dispositivos heterogéneos.
Escenario Multi-Cliente Descentralizado: Existe una necesidad de un modelo "sin servidor" (serverless) donde múltiples clientes con recursos computacionales fragmentados (pero suficientes en conjunto) actúen como entrenadores, mientras un cliente proporciona los datos.
Riesgos de Confianza Parcial: En este entorno colaborativo, los participantes son "honestos pero curiosos". Surgen tres desafíos críticos no resueltos adecuadamente por los marcos actuales:
1. Privacidad de Datos (RQ1): ¿Cómo proteger las entradas crudas y las etiquetas verdaderas del cliente proveedor de datos frente a los entrenadores que observan las activaciones intermedias?
2. Propiedad de Capas (RQ2): ¿Cómo pueden los entrenadores probar criptográficamente su contribución real para recibir compensación, evitando el "free-riding" (uso de modelos preentrenados ajenos)?
3. Defensa contra Uso No Autorizado (RQ3): ¿Cómo evitar que un modelo entrenado colaborativamente sea extraído o reutilizado por actores externos sin autorización?

2. Metodología: El Marco CLICOOPER

CLICOOPER es un marco de SL cooperativo diseñado para entornos heterogéneos y de confianza parcial. Integra tres mecanismos principales para abordar los desafíos anteriores:

A. Expansión de Etiquetas con Mapeo Secreto (Secret-Mapping Label Expansion)

Para proteger la semántica de las etiquetas y su cantidad:

El cliente de datos ( $C$ ) no revela las etiquetas verdaderas ( $Y$ ). En su lugar, utiliza un mapa secreto uno-a-muchos ( $G_Y$ ) para expandir cada clase verdadera en un conjunto de etiquetas pseudo ( $Y^*$ ).
Esto oculta la cantidad real de clases y la semántica del tarea.
Los datos se aumentan para alinearse con el espacio de etiquetas expandido.
Solo las partes autorizadas que poseen el mapeo inverso ( $G_Y^{-1}$ ) pueden interpretar correctamente las predicciones, haciendo que el uso del modelo sea inútil para atacantes no autorizados.

B. Activaciones Protegidas por Privacidad Diferencial (DP-Guarded Activations)

Para prevenir ataques de inversión (reconstrucción de datos) y agrupamiento (inferencia de clases):

Antes de enviar las activaciones intermedias a los entrenadores, el cliente aplica Privacidad Diferencial (DP).
Se realiza un recorte ( $\ell_1$ -clipping) de las activaciones para limitar la sensibilidad y se añade ruido de Laplace calibrado.
Esto garantiza que las activaciones enviadas ( $M_C^{DP}$ ) no permitan inferir las entradas originales ni las etiquetas verdaderas, incluso si un atacante intenta reconstruir los datos o agrupar muestras por similitud.

C. Marca de Agua Encadenada Dinámica (Dynamic Chained Watermarking)

Para garantizar la trazabilidad, la propiedad y la integridad del entrenamiento:

Se implementa un esquema de marca de agua que vincula criptográficamente las etapas de entrenamiento entre los diferentes entrenadores.
Generación: Cada entrenador ( $T_i$ ) genera su marca de agua ( $\Lambda_{Ti}$ ) derivándola determinísticamente de la digestión de la activación recibida del entrenador anterior ( $T_{i-1}$ ), junto con un nonce secreto y su identidad.
Incrustación: La marca se incrusta en los parámetros del segmento del modelo del entrenador mediante un proceso de regularización durante una época adicional tras la convergencia.
Verificación: Un verificador ( $V$ ) puede reconstruir la cadena de marcas de agua. Si un entrenador intenta usar un modelo preentrenado o saltarse el entrenamiento, no podrá generar la marca de agua correcta vinculada a la cadena, siendo detectado como fraude.

3. Contribuciones Clave

Protección de Privacidad Integral: Resuelve el problema de la privacidad en SL multi-cliente mediante la combinación de expansión de etiquetas (ocultando semántica y cardinalidad) y ruido de DP en las activaciones, previniendo tanto la inferencia de etiquetas como la inversión de datos.
Trazabilidad y Propiedad Verificable: Introduce un esquema de marca de agua encadenada que vincula criptográficamente los segmentos del modelo a la ejecución específica del entrenamiento, permitiendo auditorías de propiedad y compensación justa sin revelar parámetros internos de los entrenadores.
Defensa contra Uso No Autorizado: El modelo resultante es funcionalmente degradado para cualquier entidad que no posea el mapeo secreto de etiquetas, haciendo que la extracción de modelos (model extraction) sea ineficaz.
Validación Empírica a Gran Escala: Se valida en múltiples arquitecturas (DeepLeNet, ResNet, MiniBert, etc.) y conjuntos de datos (MNIST, CIFAR-10/100, AG News).

4. Resultados Experimentales

Los experimentos demuestran que CLICOOPER mantiene la utilidad del modelo mientras mitiga eficazmente las amenazas:

Precisión del Modelo: Se preserva la precisión base e incluso mejora en algunos casos (hasta un 2% de ganancia) debido a la regularización implícita del ruido de DP.
Resistencia a Ataques de Agrupamiento (Clustering): La tasa de éxito de los atacantes para inferir grupos de etiquetas a partir de activaciones intermedias se reduce al 0% en tareas visuales complejas (CIFAR-10/100).
Resistencia a Ataques de Inversión (Inversion): La similitud estructural (SSIM) entre las imágenes originales y las reconstruidas por atacantes cae drásticamente de 0.50 (sin protección) a 0.03 (con protección), haciendo la reconstrucción visualmente inútil.
Resistencia a Extracción de Modelos (Model Extraction): Los modelos sustitutos entrenados por atacantes mediante consultas a la API (sin acceso a las etiquetas verdaderas) alcanzan una precisión de aproximadamente 1%, equivalente a una adivinanza aleatoria.
Verificación de Marca de Agua: La tasa de detección de la marca de agua supera el 99% en todos los escenarios, validando la integridad de la cadena de entrenamiento.
Overhead: El tiempo adicional para la incrustación y verificación de marcas de agua es mínimo (milisegundos), y el aumento en el tiempo de entrenamiento debido a la expansión de etiquetas es manejable.

5. Significado e Impacto

El trabajo de CLICOOPER es significativo porque:

Descentraliza el SL: Permite un modelo de entrenamiento colaborativo sin depender de un servidor centralizado potente, aprovechando mejor los recursos de borde heterogéneos.
Equilibra Privacidad y Utilidad: Logra un equilibrio fino donde la privacidad de los datos y la propiedad intelectual se protegen sin sacrificar la calidad del modelo final.
Habilita Mercados de IA Confiables: Proporciona los mecanismos necesarios (privacidad de datos y trazabilidad de contribuciones) para que existan mercados de servicios de entrenamiento de IA donde los participantes pueden compensarse mutuamente de forma segura y verificable, incluso en entornos de confianza parcial.
Establece un Nuevo Estándar: Supera las limitaciones de los enfoques anteriores (como SL Vanilla o U-shaped) al abordar simultáneamente la privacidad de etiquetas, la privacidad de datos y la protección de derechos de autor en un solo marco unificado.

En resumen, CLICOOPER representa un avance crucial hacia la implementación práctica y segura del aprendizaje dividido en ecosistemas distribuidos y descentralizados.