Resumen Técnico: Aprendizaje Federado de Orden Cero Mejorado para la Privacidad mediante xMK-CKKS sobre Canales Inalámbricos

1. Planteamiento del Problema

El Aprendizaje Federado (FL) permite que los dispositivos de borde entrenen modelos de forma colaborativa sin compartir datos crudos, pero las actualizaciones de modelo transmitidas siguen siendo vulnerables a ataques de inferencia. Si bien la Criptografía Homomórfica (HE) permite una agregación que preserva la privacidad al permitir que los servidores calculen sobre datos cifrados, los métodos existentes de "HE a través del aire" enfrentan dos limitaciones críticas:

1. Vulnerabilidad de Seguridad: La mayoría de los métodos dependen de HE de clave única, donde todos los clientes comparten una clave secreta. Esto hace que el sistema sea vulnerable a clientes "honestos pero curiosos" (HBC) que pueden descifrar las actualizaciones de otros usuarios, y el compromiso de un solo cliente pone en peligro toda la red.
2. Dependencia de la Estimación del Canal: Las implementaciones existentes de HE de múltiples claves (específicamente xMK-CKKS) requieren parámetros criptográficos grandes (por ejemplo, módulo $q \approx 2^{109}$ a $2^{218}$). Cuando se combinan con la agregación a través del aire (OTA), las técnicas estándar de estimación del canal y pre-equalización fallan. Cualquier error residual de estimación del canal se multiplica por el gran módulo $q$ durante el descifrado, enterrando la señal del mensaje (escalada por $\Lambda \approx 2^{40}$) bajo un piso de ruido masivo, causando el fallo del descifrado.

La pregunta central abordada es: ¿Se puede combinar la HE de múltiples claves con la agregación a través del aire sin estimar ni compensar el canal inalámbrico?

2. Metodología

Los autores proponen un protocolo de cuatro fases que integra xMK-CKKS (un esquema de HE de múltiples claves) con FL de Orden Cero (ZO) sobre canales inalámbricos lentamente variables y dominados por línea de vista (LoS) (por ejemplo, THz de corto alcance en interiores).

Mecanismo Central: Cancelación Algebraica mediante Retransmisión del Canal

El protocolo evita la estimación del canal asegurando que las claves públicas parciales y los textos cifrados experimenten la misma realización exacta del canal dentro de una sola ronda de comunicación. Esto permite que los términos de cifrado dominantes de gran módulo se cancelen algebraicamente durante el descifrado.

Las Cuatro Fases:

1. Agregación de Claves Frescas (Enlace Ascendente): Cada dispositivo $i$ transmite su clave pública parcial $b_i$ simultáneamente. El servidor recibe la superposición $\tilde{b}_k = \sum h_{i,k} b_i + \text{ruido}$. Crucialmente, el servidor no estima $h_{i,k}$; simplemente transmite $\tilde{b}_k$.
2. Cifrado (Enlace Ascendente): Los dispositivos codifican sus estimaciones de gradiente ZO ($m_{i,k}$) utilizando el $\tilde{b}_k$ recibido como clave pública y transmiten los textos cifrados $(c_{0}, c_{1})$. El servidor los agrega a través del aire.
3. Compartición de Descifrado (Enlace Ascendente): El servidor transmite la $c_1$ agregada. Los dispositivos calculan las participaciones de descifrado parciales $D_j$ utilizando sus claves secretas y las transmiten.
4. Recuperación (Enlace Descendente): El servidor combina el texto cifrado agregado y las participaciones de descifrado. Debido a que la clave pública $\tilde{b}_k$ y las participaciones de descifrado se generaron utilizando los mismos coeficientes de canal $h_{i,k}$, el término que involucra el gran módulo $q$ se cancela algebraicamente:
   $$\tilde{b}_k + \tilde{S}_k a = \text{términos de ruido pequeños}$$
   donde $\tilde{S}_k$ es la suma ponderada por el canal de las claves secretas. El resultado es un término de ruido acotado independiente de $q$, lo que permite al servidor recuperar el mensaje agregado.

Integración de Orden Cero

El protocolo utiliza la estimación de gradiente de orden cero, donde cada dispositivo transmite solo un escalar cifrado único por ronda. Esto asegura que la sobrecarga de comunicación y cifrado sea independiente de la dimensión del modelo $d$, haciendo que el esquema sea escalable. La perturbación del canal se trata como una perturbación acotada dentro del algoritmo de aprendizaje en lugar de un error a eliminar.

3. Contribuciones Clave

• HE de Múltiples Claves Agnóstica al Canal: El artículo propone el primer protocolo que permite la agregación xMK-CKKS sobre un canal inalámbrico compartido sin adquisición de Información de Estado del Canal (CSI) ni pre-equalización.
• Cancelación Algebraica: Demuestra que retransmitir claves públicas parciales y textos cifrados a través de la misma realización del canal hace que los términos de cifrado a escala $q$ se cancelen algebraicamente. Esto evita que la incertidumbre del canal aparezca como un error amplificado por $q$ que de otro modo destruiría el descifrado.
• Análisis de Convergencia: Los autores demuestran que el protocolo preserva la tasa de convergencia estándar de ZO-FL de $O(1/\sqrt{K})$ hasta un piso de ruido negligible. El ruido residual del canal y del cifrado ingresa al estimador de gradiente como perturbaciones acotadas.
• Seguridad Mejorada: El esquema es seguro contra un servidor HBC que colude con hasta $N-1$ clientes, una mejora significativa sobre los esquemas de HE de clave única donde un solo cliente comprometido rompe el sistema.
• Validación de Viabilidad: Resultados numéricos en MNIST validan que el protocolo funciona con parámetros RLWE estándar ($n=4096, 8192$) y que el ruido decodificado es negligible en comparación con el ruido del canal.

4. Resultados

• Convergencia: El análisis teórico (Teorema 2) muestra que el algoritmo converge a una vecindad de la solución óptima con un piso de ruido $\rho$. Para los parámetros probados ($n=4096/8192$, $\Lambda=2^{40}$), el piso de ruido es aproximadamente $10^{-16}$, lo cual es negligible en comparación con el ruido típico del canal.
• Rendimiento: Los experimentos en MNIST (clasificación 0-vs-1) muestran que el protocolo cifrado logra una precisión de prueba dentro del 1% de la línea base no cifrada.
• Fallo de Alternativas: El artículo demuestra que la pre-equalización basada en CSI estándar (Zero-Forcing o MMSE) falla completamente en el entorno de múltiples claves. Incluso con pequeños errores de estimación del canal ($\sigma_{pilot}=0.1$), el error residual se multiplica por $q$, causando que la pérdida de entrenamiento diverja inmediatamente (saturando cerca de $10^{14}$).
• Sobrecarga: La sobrecarga de comunicación por dispositivo es independiente de la dimensión del modelo. Con un ancho de banda de 1 THz, los tiempos de transmisión son inferiores a 8 ms, ajustándose dentro del tiempo de coherencia de los canales THz estáticos en interiores.

5. Significado y Afirmaciones

El artículo afirma que el CKKS de clave única puede escalar a grandes módulos a través del aire utilizando formación de haces, pero el entorno de múltiples claves es fundamentalmente diferente. En la HE de múltiples claves, la cancelación de términos de clave grandes depende de una identidad algebraica entre la clave pública agregada y las participaciones de descifrado. Si estos términos experimentan diferentes coeficientes de canal (debido a errores de estimación o canales variables en el tiempo), la cancelación falla y el residual a escala $q$ destruye el mensaje.

El significado de este trabajo radica en resolver este conflicto sacrificando la estimación del canal por la consistencia del canal. Al retransmitir claves y datos a través de la misma realización de desvanecimiento, el protocolo asegura que la cancelación algebraica se mantenga sin necesidad de conocer el canal. Esto permite:

1. Seguridad Más Fuerte: Protección de múltiples claves contra colusión.
2. Robustez: Operación sin adquisición compleja de CSI ni formación de haces.
3. Escalabilidad: Sobrecarga de comunicación de orden cero que no crece con el tamaño del modelo.

Los autores concluyen que, aunque el protocolo es actualmente adecuado para enlaces dominados por LoS de variación lenta (como THz fijos en interiores), establece un método fundamental para combinar una privacidad criptográfica fuerte con la eficiencia de la computación a través del aire. El trabajo futuro sugerido incluye reducir la sobrecarga de retransmisión de claves y combinar el protocolo con privacidad diferencial.