🤖 machine learning

PRISM: Gauge-Invariant Tangent-Space Differentially Private LoRA

El artículo presenta PRISM, un mecanismo de privacidad diferencial con invariancia de gauge para la Adaptación de Bajo Rango (LoRA) que resuelve la amplificación de ruido no acotada causada por las factorizaciones de parámetros no identificables al operar directamente sobre el espacio tangente intrínseco de la matriz de actualización.

Autores originales: Shihao Wang, Xueru Zhang

Publicado 2026-06-02

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Shihao Wang, Xueru Zhang

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

La visión general: Enseñar a un robot sin revelar secretos

Imagina que tienes un robot gigante y superinteligente (un "Modelo de Base") que lo sabe todo sobre el mundo. Quieres enseñarle una habilidad específica nueva, como escribir informes médicos o resolver problemas matemáticos, utilizando un pequeño conjunto de datos privados (como registros de pacientes o calificaciones de estudiantes).

No puedes reentrenar a todo el robot; es demasiado costoso y lento. En su lugar, utilizas una técnica llamada LoRA (Adaptación de Bajo Rango). Piensa en LoRA como darle al robot unos "lentes" o un "adaptador" pequeño y desmontable que ajusta su comportamiento lo justo para aprender la nueva tarea.

¿El problema? Si entrenas estos lentes con datos privados, el robot podría memorizar y filtrar accidentalmente esos secretos. Para evitar esto, utilizamos la Privacidad Diferencial (DP), que es como añadir una capa de "estática" al proceso de aprendizaje para que el robot aprenda el patrón, pero olvide los detalles específicos de cualquier persona.

El Problema: La "Regla Rota" de la Privacidad

Los autores descubrieron que la forma estándar de añadir este ruido de privacidad a LoRA es fundamentalmente defectuosa. Aquí está la analogía:

El Problema del "Gauge" (La Regla que se Mueve)
Imagina que estás intentando medir la longitud de una mesa.

La forma estándar (Naive DP-LoRA): Tienes una regla que puede estirarse y encogerse. Si estiras la regla, los números cambian. Si la encoges, los números cambian de nuevo. Pero la longitud real de la mesa no ha cambiado.
En LoRA, la "regla" es la forma matemática en que descomponemos el adaptador en dos partes (llamémoslas A y B). Hay infinitas formas de estirar o encoger A y B siempre que su producto permanezca igual. Esto se llama "no identificabilidad de gauge".
El error: El método antiguo añadía ruido de privacidad directamente a las partes A y B. Debido a que la regla se estiraba y se encogía, la cantidad de "ruido de estática" añadido al resultado final (la actualización real del modelo) se volvía caótica. A veces el ruido era diminuto; otras veces era enorme. Era como intentar pintar una pared mientras estás parado sobre un trampolín que cambia de altura constantemente: las salpicaduras de pintura (el ruido) serían impredecibles y podrían arruinar la pared.

El Problema "Bilineal" (El Doble Impacto)
Cuando añades ruido a A y ruido a B por separado, estos interactúan. Es como añadir un poco de azúcar a una taza de café y un poco de sal a una cuchara, y luego mezclarlos. La interacción crea un efecto "bilineal": un sabor extraño y extra que no estaba en ninguno de los dos ingredientes por sí solos. Este ruido extra se eleva al cuadrado y se amplifica, haciendo que el modelo sea mucho peor al aprender.

La Solución: PRISM (El Lienzo Fijo)

Los autores proponen PRISM (Mecanismo de Subespacio Invariante de Tangente Proyectada).

En lugar de intentar medir la mesa con una regla elástica, PRISM cambia la perspectiva. Ignora las partes elásticas (A y B) y se enfoca enteramente en la mesa real (la actualización intrínseca Z).

El Espacio Tangente (El Lienzo Plano): Imagina que la mesa existe sobre una superficie curva. PRISM proyecta el proceso de aprendizaje sobre un "plano tangente" plano justo al lado de la mesa. En este plano plano, las matemáticas son simples y estables.
Invariancia de Gauge (La Regla Fija): PRISM añade el ruido de privacidad directamente a este plano plano. No importa cómo estires o encojas las partes subyacentes (A y B); el ruido añadido al resultado final es siempre la misma cantidad predecible. Es como pintar la pared mientras estás parado sobre suelo firme.
Sin el Doble Impacto: Debido a que PRISM añade el ruido directamente al resultado final (en el espacio tangente), evita la interacción desordenada entre A y B. No hay una explosión de ruido "bilineal".

El "Optimizador Inteligente" (Manteniendo el Tren en las Vías)

Incluso con el ruido adecuado, el algoritmo de aprendizaje del robot (el optimizador) puede confundirse. Si el robot intenta ser "inteligente" y ajustar su velocidad de aprendizaje basándose en los datos con ruido, podría accidentalmente amplificar el ruido aún más, causando que el modelo colapse o se vuelva inestable.

PRISM incluye una regla especial "consciente de DP" (DP-aware). Coloca un "suelo" bajo los ajustes de aprendizaje. Piensa en ello como un reductor de velocidad o un regulador en el motor de un coche. Si el ruido se vuelve demasiado alto, el suelo evita que la velocidad de aprendizaje se vuelva loca, manteniendo el entrenamiento estable y seguro.

Los Resultados: Mejor Privacidad, Mejor Aprendizaje

Los autores probaron PRISM en varias tareas (como la comprensión del lenguaje y la resolución de problemas matemáticos) utilizando datos privados.

La forma antigua: Cuando intentaban ser privados, el rendimiento del modelo caía significativamente porque el ruido era demasiado caótico o demasiado fuerte.
PRISM: Debido a que el ruido estaba controlado y era predecible, el modelo aprendió las tareas mucho mejor manteniendo la privacidad de los datos. En muchas pruebas, PRISM fue el mejor en rendimiento, especialmente en tareas de razonamiento complejo.

Resumen

El Probleo: La forma estándar de proteger la privacidad en LoRA es como intentar medir un objetivo móvil con una regla elástica. Esto genera un ruido impredecible y masivo que arruina el modelo.
La Solución: PRISM ignora las partes elásticas y añade el ruido directamente a la actualización central y estable. Utiliza un enfoque de "lienzo plano" para asegurar que el ruido sea siempre del tamaño correcto, sin importar cómo se organicen las matemáticas.
El Beneficio: Obtienes una fuerte protección de la privacidad sin sacrificar la capacidad de aprendizaje del modelo. Es estable, eficiente y funciona mejor que los métodos anteriores.

En resumen, PRISM es una nueva forma de enseñar a los modelos de IA con datos privados que evita que el "ruido" se salga de control, asegurando que el robot aprenda la lección sin memorizar los secretos.

Resumen Técnico: PRISM – LoRA con Privacidad Diferencial en el Espacio Tangente Invariante de Calibre

1. Formulación del Problema

El artículo aborda el desafío de aplicar la Privacidad Diferencial (DP) a la Adaptación de Bajo Rango (LoRA), un método dominante de ajuste fino eficiente en parámetros (PEFT). Aunque se puede aplicar DP-SGD directamente a los factores de bajo rango $(A, B)$ de una actualización de LoRA $Z = AB^\top$ , los autores identifican que este enfoque ingenuo está fundamentalmente desalineado con la estructura geométrica de LoRA, lo que conduce a tres problemas críticos:

Dependencia del Calibre (Gauge Dependence): La factorización de LoRA no es identificable; para cualquier matriz invertible $R \in GL(r)$ , los pares $(A, B)$ y $(AR, BR^{-\top})$ representan la misma actualización intrínseca $Z$ . Sin embargo, aplicar DP-SGD a los factores $(A, B)$ resulta en un recorte (clipping) e inyección de ruido que dependen del calibre (factorización) específico elegido. Esto conduce a garantías de privacidad inconsistentes y magnitudes de perturbación variables para la misma actualización del modelo.
Amplificación de Ruido no Acotada: Cuando se inyecta ruido de forma independiente en ambos factores, $A$ y $B$ , la actualización intrínseca resultante de $Z$ contiene un término bilineal de segundo orden ( $\eta^2 \xi_A \xi_B^\top$ ) y un término de primer orden cuya magnitud escala con las normas de los factores ( $\|A\|_F, \|B\|_F$ ). Bajo transformaciones de calibre (por ejemplo, reescalar $A \to cA, B \to c^{-1}B$ ), la energía de ruido efectiva en $Z$ puede crecer sin límites, incluso si la actualización objetivo $Z$ permanece constante.
Inestabilidad con Optimizadores Adaptativos: Los optimizadores adaptativos (por ejemplo, Adam, AdamW) utilizan precondicionadores estimados a partir de gradientes. En presencia de ruido DP, estos precondicionadores pueden adaptarse a las estadísticas del ruido en lugar de a la señal. En el entorno de bajo rango, esto puede provocar matrices de Gram mal condicionadas ( $A^\top A, B^\top B$ ), causando inestabilidad numérica y amplificando aún más el ruido de privacidad inyectado.

2. Metodología: PRISM

Los autores proponen PRISM (Mecanismo de Subespacio Invariante de Calibre Proyectado), un mecanismo DP diseñado para operar directamente sobre la geometría intrínseca de la variedad de actualización de bajo rango en lugar del espacio de factores redundante.

Componentes Principales

Proyección del Espacio Tangente: En lugar de perturbar los factores, PRISM trata la actualización $Z$ como un punto en la variedad de rango fijo $\mathcal{M}_r$ . Proyecta los gradientes por ejemplo sobre el espacio tangente $T_Z\mathcal{M}_r$ . Esta proyección se define mediante proyectores ortogonales sobre los espacios columna de $A$ y $B$ , asegurando que la dirección del gradiente sea invariante a las transformaciones de calibre.
Recorte Intrínseco Global: PRISM calcula la norma de Frobenius del gradiente tangente intrínseco proyectado $\|\Delta Z\|_F$ para cada ejemplo. Agrega estas normas a través de todos los módulos LoRA para calcular un único coeficiente de recorte global, asegurando un límite de sensibilidad unificado para toda la actualización del modelo.
Ruido Tangente Isotrópico: El ruido se inyecta directamente en el espacio tangente como una distribución Gaussiana isotrópica soportada en la variedad. Los autores derivan una expresión de forma cerrada para la energía del ruido intrínseco efectivo, demostrando que depende solo del multiplicador de ruido $\sigma$ , el umbral de recorte $C$ , el tamaño del lote $b$ y las dimensiones de la capa $(m, n, r)$ . Esto elimina la escala dependiente del calibre encontrada en los métodos de espacio de factores.
Retracción: La actualización tangente ruidosa se retrae de nuevo a la variedad de rango- $r$ utilizando una SVD truncada (mejor aproximación de rango- $r$ ). Se demuestra que este paso es exacto de primer orden, evitando los términos de ruido bilineal de segundo orden espurios inherentes a las actualizaciones de factores ingenuas.
Actualización Adaptativa Consciente de DP: Para abordar el Problema III, PRISM introduce una regla de actualización adaptativa invariante de calibre. Rastrea los momentos del espacio de rango y aplica un "suelo de DP" (DP-aware floor) al precondicionador. Este suelo se escala según el nivel de ruido DP conocido, evitando que el precondicionador colapse cuando los autovalores son pequeños debido al ruido, mitigando así la amplificación del ruido de privacidad.

Garantías Teóricas

Invariancia de Calibre: Se demuestra que la distribución de la actualización intrínseca es invariante bajo cualquier transformación de calibre de los factores.
Privacidad: PRISM satisface las garantías estándar de $(\epsilon, \delta)$ -DP mediante el recuento del mecanismo Gaussiano submuestreado, ya que la operación central es un mecanismo Gaussiano en un espacio tangente lineal seguido de un post-procesamiento que preserva la DP.
Caracterización del Ruido: El artículo proporciona una caracterización de forma cerrada del ruido efectivo, demostrando que es acotado e independiente de la escala de factorización.

3. Contribuciones Clave

Identificación de Fallos Fundamentales: El artículo demuestra rigurosamente que el DP-LoRA ingenuo en el espacio de factores conduce a un recorte dependiente del calibre, amplificación de ruido no acotada y términos de ruido bilineal espurios.
Mecanismo PRISM: La propuesta de un mecanismo de DP invariante de calibre que opera en el espacio tangente intrínseco, utilizando proyección, recorte intrínseco y retracción para asegurar perturbaciones estables y acotadas.
Análisis Teórico: Establecimiento de garantías de $(\epsilon, \delta)$ -DP y una caracterización de forma cerrada del ruido intrínseco efectivo, probando su independencia de los calibres de factorización.
Mejora de la Estabilidad: La introducción de una regla de actualización adaptativa consciente de la DP que mitiga la amplificación del ruido en los optimizadores adaptativos bajo restricciones de bajo rango.

4. Resultados Experimentales

Los autores evalúan PRISM ajustando el esqueleto (backbone) Gemma-3-4B-pt a través de dos suites multitarea: GLUE8 (Comprensión del Lenguaje Natural) y Math-10K (razonamiento numérico de múltiples pasos).

Rendimiento bajo DP: Bajo presupuestos de privacidad $\epsilon \in \{3, 6\}$ , PRISM logra el rendimiento promedio más alto en 12 tareas en comparación con las líneas base, incluyendo DP-LoRA ingenuo (FFA), LoRA-RITE, AdamW, LoRA+ y LAMB. Específicamente, PRISM alcanzó una puntuación promedio de 0.690 en $\epsilon=6$ y 0.680 en $\epsilon=3$ , superando a todos los demás métodos.
Robustez: PRISM demostró una superioridad consistente a través de diferentes tamaños de esqueleto (Gemma-2-9B, Gemma-3-12B) y rangos de LoRA ( $r \in \{8, 16, 32\}$ ).
Diagnóstico del Mecanismo: El análisis empírico confirmó que la DP en el espacio de factores exhibe una sensibilidad de calibre significativa (variabilidad en las normas de actualización basada en la escala de inicialización) y una amplificación de ruido no acotada. En contraste, PRISM redujo la sensibilidad de calibre a casi cero y mantuvo una energía de ruido intrínseco baja y estable, independientemente de la escala de los factores.
Eficiencia: Aunque PRISM incurre en una sobrecarga de tiempo de ejecución (aproximadamente el doble de tiempo por paso debido a los cálculos conscientes de la geometría), el uso de memoria pico sigue siendo comparable al de las implementaciones estándar de LoRA.

5. Significado y Reivindicaciones

El artículo afirma que PRISM resuelve la desalineación fundamental entre el DP-SGD estándar y la estructura no identificable de LoRA. Al desplazar el mecanismo de privacidad del espacio de factores redundante al espacio tangente intrínseco, PRISM asegura que las perturbaciones de privacidad sean:

Deterministas en su Efecto: El ruido añadido a la actualización del modelo $Z$ es independiente de la elección arbitraria de la factorización $(A, B)$ .
Acotadas: Evita la amplificación de ruido no acotada que puede ocurrir en los enfoques de espacio de factores.
Estables: Previene que los optimizadores adaptativos desestabilicen el proceso de entrenamiento debido al mal condicionamiento inducido por el ruido.

Los autores posicionan a PRISM como un paso necesario para el despliegue del ajuste fino de LoRA con preservación de la privacidad, particularmente en entornos que involucran datos sensibles donde la estabilidad y la predictibilidad de la garantía de privacidad son primordiales. Reconocen que el método está actualmente adaptado para actualizaciones de LoRA de rango fijo y que extenderlo a otros métodos PEFT requeriría derivar sus geometrías intrínsecas específicas.