Resumen Técnico: HashGuard-FL

Declaración del Problema

El Aprendizaje Federado (FL) en dominios de seguridad crítica enfrenta dos desafíos de integridad entrelazados que las soluciones existentes no logran abordar simultáneamente:

1. Detección en Tiempo de Ejecución: Las reglas de agregación actuales, robustas ante ataques bizantinos, y los detectores de anomalías de gradientes tienen dificultades bajo condiciones de datos no-IID (no idénticamente distribuidos). A menudo clasifican erróneamente actualizaciones legítimas de clientes con pocos datos como anomalías o no logran detectar ataques adaptativos que imitan estadísticas benignas. Además, los métodos existentes suelen ofrecer únicamente decisiones binarias (aceptar/rechazar), careciendo de la granularidad para distinguir entre diferentes tipos de ataques (por ejemplo, envenenamiento frente a fallos de hardware).
2. Auditabilidad a Largo Plazo: Los esquemas de procedencia criptográfica tradicionales dependen de firmas clásicas (por ejemplo, RSA, ECDSA) que son vulnerables a futuros adversarios cuánticos. Dado que los modelos de IA clínicos e industriales pueden operar durante décadas, un rastro de auditoría firmado hoy podría ser falsificado retrospectivamente una vez que las computadoras cuánticas estén disponibles. Existe una falta de marcos integrados que proporcionen tanto una detección de grano fino como rastros de auditoría seguros frente a la computación cuántica.

Metodología: HashGuard-FL

HashGuard-FL es un marco que acopla un discriminador de GAN basado en hash aprendible con una capa de auditoría post-cuántica. El sistema opera a través de los siguientes componentes:

1. Capa de Proyección de Hash

Para abordar la varianza de alta dimensión causada por los datos no-IID, el sistema proyecta las actualizaciones de los clientes ($\delta w$) en un espacio compacto de hash sensible a la localidad (LSH) de 128 bits.

• Mecanismo: Utiliza proyecciones aleatorias con signo ($H_i(\delta w) = \text{sign}(r_i^T \cdot \delta w / \|\delta w\|)$) donde $r_i$ son vectores gaussianos fijos.
• Privacidad y Robustez: La proyección es irreversible (protegiendo los gradientes brutos) y la normalización L2 elimina la información de magnitud, que es el principal factor de confusión para los detectores basados en norma bajo condiciones no-IID. Esto deja la estructura angular de las actualizaciones como la señal de detección principal.
• Incrustación (Embedding): Se añade una incrustación aprendida de 32 dimensiones al hash de 128 bits, creando un descriptor de 160 dimensiones para el discriminador.

2. Discriminador Basado en GAN

El detector central es una Red Neuronal Generativa Antagónica (GAN) entrenada en el espacio de hash comprimido.

• Arquitectura: Un discriminador ($D_\theta$) con cuatro capas totalmente conectadas (160-512-256-128-5) utiliza normalización espectral para asegurar la continuidad de Lipschitz y la estabilidad del entrenamiento.
• Objetivo de Entrenamiento: El modelo se entrena utilizando una función de pérdida compuesta:
  • Pérdida de Entropía Cruzada ($\mathcal{L}_{cls}$): Para clasificación multiclase.
  • Pérdida Adversaria ($\mathcal{L}_{adv}$): Un generador ($G_\phi$) sintetiza incrustaciones de hash adversarias para engañar al discriminador, proporcionando una garantía de robustez implícita contra ataques adaptativos.
  • Pérdida Contrastiva ($\mathcal{L}_{ctr}$): Un término contrastivo supervisado acerca las incrustaciones de la misma clase y aleja las de clases diferentes, mejorando la separación de tipos de ataque visualmente similares.
• Clasificación: El sistema clasifica las actualizaciones en cinco clases operativamente definidas:
  • C0: Benigno
  • C1: Envenenado (Cambio de etiqueta + escalado)
  • C2: Inestable (Cauchy/NaN)
  • C3: Replay (Actualizaciones obsoletas/stale)
  • C4: Manipulado (Cambio de bit/ruido estructurado)
• Puerta de Agregación: Las decisiones se mapean a acciones: Aceptar (C0), Cuarentena (C2, C4 para inspección adicional) o Rechazar (C1, C3).

3. Rastro de Auditoría Post-Cuántica

Para asegurar la integridad a largo plazo, el sistema compromete la decisión de cada ronda a un registro a prueba de manipulaciones.

• Construcción: Un registro de ronda se procesa mediante un hash usando SHAKE-256 (una función de salida extensible) y se encadena al hash de la ronda anterior.
• Firma: El hash se firma utilizando ML-DSA-65 (CRYSTALS-Dilithium), un esquema de firma post-cuántica estandarizado por el NIST (FIPS 204) que proporciona seguridad cuántica de 128 bits.
• Verificación: El rastro resultante es ligero (aprox. 1.3 MB para 500 rondas) y verificable en hardware comercial.

Contribuciones Clave

1. Taxonomía de Ataque de Cinco Clases: El artículo formaliza un marco de detección unificado que distingue entre actualizaciones benignas, envenenadas, inestables, de replay y manipuladas, permitiendo respuestas diferenciadas (cuarentena vs. rechazo) en lugar de decisiones binarias.
2. Proyección LSH para Robustez No-IID: Introduce una proyección de hash sensible a la localidad que neutraliza la varianza de la distribución, permitiendo que el detector se concentre en la geometría angular en lugar de la magnitud, lo cual es crítico en entornos no-IID.
3. Entrenamiento de GAN Adversario: Al acoplar un discriminador con un generador en el espacio de hash, el sistema aprende una frontera de decisión robusta frente a la síntesis de ataques adaptativos, superando a los detectores estadísticos estáticos.
4. Infraestructura de Auditoría Post-Cuántica: Implementa el primer mecanismo de integridad de FL que utiliza firmas post-cuánticas estandarizadas por el NIST (ML-DSA-65) y SHAKE-256, asegurando que los rastros de auditoría permanezcan verificables contra futuros adversarios cuánticos.
5. Evaluación Exhaustiva: El marco es validado a través de cuatro bancos de pruebas (MNIST, CIFAR-10, FEMNIST, PTB-XL ECG) y una simulación de despliegue clínico de 500 rondas.

Resultados

• Rendimiento: En el conjunto de datos CIFAR-10 con 20% de clientes bizantinos bajo condiciones extremas de no-IID, HashGuard-FL logró un macro-F1 de 0.962 y un AUROC de 0.989.
• Comparación: Superó a ocho líneas base (incluyendo Krum, FLTrust y Flame) por hasta 0.111 puntos de F1. Notablemente, mejoró significativamente la detección de clases minoritarias (Replay y Manipulado) que a menudo son invisibles para los detectores basados en norma.
• Eficiencia: El sistema añade solo 2.3 ms de sobrecarga por ronda.
• Simulación Clínica: En una simulación de 500 rondas de una tarea de clasificación de ECG, el sistema mantuvo una Tasa de Falsos Positivos (FPR) estable de 0.034 y detectó con éxito todas las ventanas de ataque inyectadas dentro de las dos rondas del inicio, incluso cuando los atacantes cambiaron de estrategia.

Significado y Reivindicaciones

El artículo afirma que HashGuard-FL aborda una brecha crítica en la seguridad de FL al integrar la detección y la auditabilidad en un solo marco. Su importancia radica en tres elecciones de diseño:

1. Desacoplamiento de Privacidad y Detección: Al utilizar una proyección de hash determinista en lugar de ruido aditivo (como en la Privacidad Diferencial), preserva la información estructural necesaria para la detección mientras asegura que los gradientes brutos nunca sean expuestos.
2. Robustez Implícita: El bucle de entrenamiento adversario proporciona una garantía de "peor caso" contra ataques adaptativos que el generador puede sintetizar, una capacidad que los detectores estáticos carecen.
3. Seguridad Temporal: Al adoptar primitivas post-cuánticas, el marco asegura que las garantías de integridad sobrevivan a los ciclos de vida de décadas de los modelos de IA clínica, abordando la amenaza de "cosechar ahora, descifrar después" planteada por la computación cuántica.

Los autores reconocen limitaciones, incluyendo el requisito de 20 rondas de "calentamiento" con datos limpios, el uso de una matriz de proyección fija (que teóricamente podría ser inferida por un atacante adaptativo) y la necesidad de validación clínica en el mundo real más allá de la simulación. Sin embargo, posicionan este trabajo como un paso fundacional hacia una integridad de FL de grano fino y resistente a la computación cuántica.