💻 computer science

Geometric Data Perturbation with Noisy-Anchor Alignment for Privacy-Preserving Collaborative Learning

Este artículo propone un marco de aprendizaje colaborativo que preserva la privacidad y mejora el método de Perturbación de Datos Geométricos al añadir ruido a las representaciones de anclaje compartidas en lugar de a los datos privados, mitigando así eficazmente los ataques de colusión entre analista y participante mientras mantiene una alta utilidad de aprendizaje en comparación con los enfoques existentes.

Autores originales: Keiyu Nosaka, Yamato Suetake, Yuichi Takano, Yukihiko Okada, Akiko Yoshise

Publicado 2026-08-20

📖 4 min de lectura☕ Lectura para el café

CC BY 4.0

Autores originales: Keiyu Nosaka, Yamato Suetake, Yuichi Takano, Yukihiko Okada, Akiko Yoshise

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

En el mundo digital moderno, las organizaciones suelen poseer piezas de un rompecabezas más grande. Un hospital puede tener registros de pacientes, un banco puede tener historiales de transacciones y una universidad puede tener datos sobre el rendimiento de los estudiantes. Para construir una mejor inteligencia artificial, estos grupos necesitan combinar su información. Sin embargo, las leyes y las preocupaciones de privacidad suelen impedir que compartan simplemente sus datos brutos. Esto crea un problema difícil: ¿cómo pueden los grupos trabajar juntos para aprender unos de otros sin revelar jamás sus secretos privados? Una solución prometedora implica una técnica llamada perturbación geométrica de datos. Imagine tomar una fotografía y rotarla o desplazarla ligeramente sin cambiar la distancia entre dos puntos cualesquiera de la imagen. La foto se ve diferente, pero su estructura interna permanece intacta. Al aplicar estos desplazamientos matemáticos a los datos, las organizaciones pueden enviar una versión distorsionada de su información a un analista central. El analista puede entonces entrenar modelos potentes sobre los datos combinados y distorsionados, mientras que los registros privados originales permanecen ocultos.

El desafío surge cuando el analista central y una de las organizaciones participantes deciden colaborar para romper la privacidad de los demás. Si todas las organizaciones utilizaran exactamente el mismo desplazamiento matemático, el par coludido podría revertir fácilmente el proceso y ver los datos privados de todos. Para detener esto, los investigadores sugirieron anteriormente que cada organización debería utilizar su propio desplazamiento único. Sin embargo, esto crea un nuevo problema: los datos de diferentes grupos terminan en formatos incompatibles, lo que hace imposible entrenar un único modelo de manera efectiva. Se desarrolló un ingenioso recurso llamado "alineación de anclajes" para solucionar esto. Utiliza un conjunto de puntos de referencia sintéticos compartidos —como una cuadrícula de mapa común— que cada organización transforma junto con sus datos privados. El analista utiliza estos puntos de referencia transformados para alinear los diferentes conjuntos de datos en un único formato utilizable. Pero un nuevo estudio revela una falla crítica en este enfoque: si un socio coludido revela el mapa de referencia original, el analista puede revertir matemáticamente los desplazamientos únicos de todos los demás participantes, exponiendo completamente sus datos privados.

Investigadores de la Universidad de Tsukuba han propuesto un nuevo método para resolver esta vulnerabilidad específica. Se dieron cuenta de que añadir ruido, o estática aleatoria, directamente a los datos privados para protegerlos arruinaría la calidad del modelo final. En su lugar, decidieron añadir el ruido al mapa de referencia mismo. En su nuevo sistema, cada organización sigue utilizando su propio desplazamiento único para sus datos privados, pero cuando transforman el mapa de referencia compartido, añaden una capa de ruido aleatorio a este antes de enviarlo al analista. Este ruido hace que sea matemáticamente imposible para el analista y un socio coludido revertir perfectamente los desplazamientos únicos de los otros participantes. El analista aún puede alinear los datos lo suficientemente bien como para entrenar un modelo útil, pero el camino para robar la información privada está bloqueado por el ruido.

El equipo probó esta idea utilizando dos grandes conjuntos de datos de imágenes: uno que contenía dígitos escritos a mano y otro que contenía miles de rostros de celebridades. Simularon un escenario en el que un analista y un participante conspiraban para robar los datos de los demás. Cuando añadían ruido a los datos privados mismos, la precisión del modelo caía significamente a medida que aumentaba la protección de la privacidad. Sin embargo, cuando añadían ruido solo al mapa de referencia, encontraron un equilibrio mucho mejor. El sistema mantenía una alta precisión para el modelo de aprendizaje automático mientras hacía extremadamente difícil a los atacantes reconstruir las imágenes originales. En sus experimentos, el nuevo método permitió que el sistema lograra una alta precisión de aprendizaje incluso cuando el riesgo de filtración de datos se mantenía bajo. Los investigadores demostraron que, al proteger la señal de alineación en lugar de los datos mismos, podían crear un sistema que fuera tanto útil para la colaboración como robusto contra amenazas internas. Este enfoque ofrece una forma práctica para que las organizaciones colaboren en proyectos sensibles sin tener que elegir entre privacidad y rendimiento.

Resumen Técnico: Perturbación de Datos Geométricos con Alineación de Anclaje con Ruido para el Aprendizaje Colaborativo Preservador de la Privacidad

1. Planteamiento del Problema

El artículo aborda el desafío del Intercambio de Representaciones de Un Solo Paso (OSRS) en el Aprendizaje Colaborativo Preservador de la Privacidad (PPCL). En este régimen, múltiples participantes cargan representaciones de datos ofuscados a un analista central para el entrenamiento conjunto de modelos sin interacciones adicionales. La tensión central reside en equilibrar la utilidad (la capacidad de entrenar modelos precisos sobre los datos agrupados) con la privacidad (prevenir la reconstrucción de los datos privados).

El modelo de amenaza específico considerado es la Colusión Analista-Participante, donde un analista central colude con uno o más participantes que divulgan sus datos privados y sus parámetros de transformación. El artículo identifica tres enfoques existentes y sus limitaciones bajo esta amenaza:

GDP de Transformación Común (C-GDP): Todos los participantes utilizan la misma transformación geométrica. Si bien esto preserva la comparabilidad entre participantes, un participante coludido puede divulgar los parámetros compartidos, permitiendo al analista invertir exactamente y recuperar los datos privados de todos los participantes no coludidos.
GDP de Transformación Independiente (I-GDP): Cada participante utiliza una transformación única. Esto evita la inversión directa mediante parámetros compartidos, pero mapea los datos en sistemas de coordenadas incompatibles, degradando la utilidad del modelo para tareas posteriores.
Colaboración de Datos (DC) con Alineación de Anclajes: Los participantes comparten una "matriz de anclaje" sintética para alinear sus transformaciones independientes en un sistema de coordenadas común. Sin embargo, el artículo demuestra que si un participante coludido divulga la matriz de anclaje original, el analista puede recuperar exactamente los parámetros de transformación de los participantes no coludidos, lo que conduce a la reconstrucción exacta de los datos.

Una contramedida directa —añadir ruido directamente a las representaciones de los datos privados— mitiga el riesgo de reconstrucción pero distorsiona significativamente la estructura geométrica necesaria para el aprendizaje, resultando en un pobre equilibrio entre privacidad y utilidad. Además, el artículo demuestra que añadir ruido a los datos privados en un entorno I-GDP con alineación de anclajes produce una distribución de salida equivalente a C-GDP con ruido en los datos privados, fallando en resolver el dilema de alineación subyacente.

2. Metodología

Los autores proponen la Perturbación de Datos Geométricos Independientes con Alineación de Anclajes y Ruido de Anclaje (AA-I-GDP (ruido de anclaje)). La innovación central es desplazar la perturbación aditiva de las representaciones de los datos privados hacia las representaciones de anclaje utilizadas para la alineación.

Flujo de Trabajo del Protocolo

Configuración: Los participantes comparten una matriz de anclaje común, centrada y ortonormal $A$ (mantenida en secreto respecto al analista durante la ejecución honesta).
Ofuscación: Cada participante $i$ $i$ muestrea independientemente una transformación geométrica (matriz ortogonal $O_i$ $O_{i}$ y traslación $\Psi_i$ $Ψ_{i}$ ).
- Datos Privados: Transformados sin ruido: $Y_i = X_i O_i + \mathbf{1}\Psi_i^\top$ .
- Datos de Anclaje: Transformados y luego perturbados con ruido gaussiano isotrópico: $B_i = (A O_i + \mathbf{1}\Psi_i^\top) + v W_i$ , donde $v$ es la escala de ruido y $W_i$ es una matriz de ruido.
Carga: Los participantes cargan tanto $Y_i$ como el $B_i$ con ruido al analista.
Alineación (Lado del Analista): El analista utiliza las representaciones de anclaje ruidosas $\{B_i\}$ para estimar los mapas de alineación. Esto se formula como un Problema de Procrustes Ortogonales Generalizado (GOPP). El analista resuelve por una plantilla común y rotaciones específicas de cada participante que minimicen el error de reconstrucción de los anclajes ruidosos.
Entrenamiento: Los mapas de alineación estimados se aplican a las representaciones de los datos privados $Y_i$ para alinearlas en un sistema de coordenadas compartido, tras lo cual se entrena un modelo de aprendizaje posterior.

Análisis Teórico

Riesgo de Recuperación: En el escenario de colusión, el analista (con la ayuda de un coludido) posee el ancla $A$ original y el $B_i$ ruidoso. Esto transforma el problema de recuperación exacta de parámetros (presente en la DC sin ruido) en un problema de estimación de transformación con ruido. La precisión de la recuperación de $O_i$ depende del nivel de ruido $v$ , el tamaño del ancla $r$ y la dimensión $d$ .
Error de Alineación: El artículo caracteriza el error de alineación en dos componentes:
1. Error Rotacional: Controlado por la convergencia del resolvedor GOPP (Método de Potencia Generalizado). Los límites teóricos muestran que para un nivel de ruido $v$ suficientemente bajo, el resolvedor converge a un maximizador global, preservando la geometría relativa.
2. Traslación Residual: Causada por la media del ruido en las representaciones de anclaje. Este componente introduce un error de traslación específico de cada participante que no desaparece incluso con una recuperación de rotación perfecta, pero su magnitud está acotada y disminuye con tamaños de ancla ( $r$ ) más grandes.

3. Contribuciones Clave

Vulnerabilidad del Ancla Conocida: Los autores demuestran formalmente que en el escenario de colusión analista-participante, la alineación de anclajes sin ruido (DC) permite a un atacante recuperar exactamente las transformaciones específicas de cada participante y los datos privados si se divulga la matriz de anclaje original.
Equivalencia de Salida del Ruido de Datos Privados: El artículo prueba que añadir ruido a las representaciones de los datos privados en un entorno I-GDP con alineación de anclajes resulta en una distribución de salida estadísticamente equivalente a C-GDP con ruido en los datos privados. Por lo tanto, este enfoque no ofrece una ventaja distinta de privacidad-utilidad sobre la línea base de transformación común.
Marco de Ruido de Anclaje: La propuesta de perturbar las representaciones de anclaje en lugar de los datos privados. Esto preserva la estructura geométrica exacta de los datos privados mientras convierte el canal de recuperación exacta de la transformación en un problema de estimación con ruido.
Caracterización Teórica: Los autores proporcionan garantías de convergencia para el resolvedor GOPP bajo el modelo de ruido propuesto y derivan límites para el error de alineación y reconstrucción resultante.

4. Resultados Experimentales

Los experimentos se realizaron con los conjuntos de datos MNIST y CelebA bajo el escenario de colusión analista-participante.

Compromiso Privacidad-Utilidad:
- MNIST: El método propuesto (ruido de anclaje) logró una precisión de prueba mayor que los métodos de ruido de datos privados en niveles comparables de "vinculación exacta de la fuente" (una métrica para la filtración de reconstrucción). Específicamente, con una precisión de vinculación de ~12.4%, el ruido de anclaje produjo ~59.2% de precisión balanceada, mientras que los métodos de ruido de datos privados requirieron niveles de ruido significativamente mayores para lograr una privacidad similar, resultando en una menor utilidad.
- CelebA: Se observaron tendencias similares. El ruido de anclaje restauró el orden natural de la utilidad a medida que aumentaba el número de participantes, mientras que los controles de I-GDP no alineados mostraron una degradación de utilidad no monótona.
Resistencia al Ataque: Se evaluaron tres ataques de reconstrucción contra AA-I-GDP (ruido de anclaje): Moore-Penrose, Procrustes Ortogonal y Calibración de Mapa de Alineación. El ataque de Procrustes Ortogonal fue el más fuerte, pero aumentar la escala de ruido del ancla $v$ redujo efectivamente la precisión de vinculación (filtración) manteniendo una utilidad utilizable.
Comportamiento del Resolvedor: Los experimentos confirmaron que el Método de Potencia Generalizado (GPM) converge de manera fiable para niveles de ruido por debajo de una transición de fase observada empíricamente, lo que respalda las condiciones suficientes teóricas.

5. Significado y Reivindicaciones

El artículo afirma que el ruido de anclaje ofrece un compromiso privacidad-utilidad más favorable que los métodos existentes bajo el modelo de colusión analista-participante especificado. Al desacoplar la perturbación de los datos privados, el método retiene la fidelidad geométrica necesaria para el aprendizaje posterior mientras introduce una barrera ajustable contra los ataques de reconstrucción.

Los autores enfatizan que este enfoque no proporciona garantías de privacidad diferencial (DP) formales; más bien, crea "puntos operativos ajustables y dependientes del ataque" entre la precisión de la alineación y la resistencia a la reconstrucción. El significado radica en resolver la "tensión alineación-recuperación": restaura la comparabilidad entre participantes (resolviendo el problema de utilidad de I-GDP) sin crear un canal de inversión exacta (resolviendo el problema de privacidad de C-GDP/DC), siempre que el ruido del ancla esté apropiadamente calibrado.

El artículo concluye que, si bien el método depende de garantías de privacidad heurísticas dependientes de las capacidades del adversario, supera empíricamente a las alternativas estándar (C-GDP con ruido y AA-I-GDP con ruido de datos privados) en el modelo de amenaza específico de colusión analista-participante.