💻 computer science

FinP: Fairness-in-Privacy in Federated Learning by Addressing Disparities in Privacy Risk

Le document présente FinP, un nouveau cadre pour l'apprentissage fédéré qui impose une équité en matière de confidentialité en combinant une agrégation adaptative côté serveur et une régularisation côté client afin de réduire considérablement les disparités de risque de confidentialité face aux attaques d'inférence de source tout en préservant l'utilité du modèle global.

Auteurs originaux : Tianyu Zhao, Mahmoud Srewa, Salma Elmalaki

Publié 2026-06-19

📖 6 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Tianyu Zhao, Mahmoud Srewa, Salma Elmalaki

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez un groupe de voisins essayant de construire une carte unique et ultra-intelligente de leur quartier en partageant de petits fragments d'informations provenant de leurs propres jardins. C'est l'Apprentissage Fédéré (Federated Learning - FL). Au lieu que tout le monde apporte ses données à un bureau central (ce qui est risqué), chacun garde ses données chez soi et envoie simplement des mises à jour à un « chef de communauté » (le serveur) qui les combine.

Le problème ? Tous les jardins ne sont pas les mêmes. Certains voisins ont des jardins très particuliers (des valeurs aberrantes ou outliers), tandis que la plupart ont des pelouses standards. Dans le système actuel, le chef de communauté accentue accidentellement trop la présence des jardins uniques. Cela fait des propriétaires de ces jardins uniques des cibles faciles pour les espions qui veulent découvrir exactement qui ils sont et ce qu'ils cultivent. C'est une protection de la vie privée injuste : les personnes ayant les données les plus uniques supportent le plus de risques, tandis que les autres sont relativement en sécurité.

Ce document présente FinP (Fairness-in-Privacy), un nouveau système conçu pour s'assurer qu'aucun voisin ne supporte seul le poids du risque lié à la vie privée.

Voici comment fonctionne FinP, en utilisant des analogies simples :

Le Problème : L'effet « Jardin Unique »

Dans un quartier normal, si une personne possède une fleur rare et exotique que personne d'autre n'a, et qu'elle partage une photo de celle-ci, tout le monde peut deviner : « Oh, ça doit être le jardin de Mme Smith ! »
Dans l'Apprentissage Fédéré, si un utilisateur possède des données uniques (comme une personne ayant une condition médicale rare ou un style de marche très spécifique), le modèle d'IA « mémorise » ce motif unique. Un espion (le serveur) peut regarder le modèle et dire : « Cette partie de la carte provient certainement de cette personne spécifique. » C'est ce qu'on appelle une Attaque d'Inférence de Source (Source Inference Attack).

La Solution : La défense à deux volets de FinP

FinP agit comme un gestionnaire de communauté intelligent qui utilise deux stratégies pour protéger les propriétaires de jardins uniques sans pour autant gâcher la carte.

1. La correction côté client : « Apprendre aux voisins à se fondre dans la masse »

Le Problème : Les propriétaires de jardins uniques essaient trop de mettre en avant leurs fleurs spécifiques. En termes d'IA, leurs modèles locaux font du « surapprentissage » (overfitting), c'est-à-dire qu'ils mémorisent les détails de manière trop parfaite.
La Correction : FinP donne un léger coup de pouce à ces propriétaires uniques. Il leur dit : « Ne vous concentrez pas trop sur votre fleur spécifique et rare ; essayez plutôt d'apprendre la forme générale d'une fleur. »
Comment ça marche : Le système mesure à quel point les données d'un voisin sont « uniques » (en utilisant un outil mathématique appelé Hessien, qui est comme une carte de la pente et de la netteté de son chemin d'apprentissage). Si un voisin est trop tranchant et unique, le système ajoute une pénalité de « régularisation ». Cela les force à lisser leur apprentissage, rendant leurs données plus proches de la moyenne. C'est comme dire au jardinier atypique de peindre sa clôture d'une couleur standard pour ne pas trop se faire remarquer.

2. La correction côté serveur : « Le vote pondéré »

Le Problème : Même si les jardiniers uniques essaient de se fondre dans la masse, le chef de la communauté pourrait encore accorder trop de poids à leurs mises à jour uniques lors de la construction de la carte finale.
La Correction : Le chef de la communauté change la façon dont il compte les votes.
Comment ça marche : Le leader examine les mises à jour entrantes. Si une mise à jour semble trop unique ou risquée (comme une fleur géante et exotique), le leader dit : « D'accord, nous allons vous écouter, mais nous ne laisserons pas votre voix être aussi forte que celle des autres. » Ils diminuent dynamiquement le poids des clients les plus vulnérables. Cela garantit que la carte finale n'est pas trop biaisée vers les cas atypiques, protégeant ainsi ces derniers contre l'identification.

Les Résultats : Un quartier plus équitable

Le document a testé ce système sur des scénarios réels, comme le suivi des mouvements des personnes (Reconnaissance d'Activité Humaine) et la reconnaissance d'images (CIFAR-10 et FEMNIST).

Équité : FinP a réussi à réduire l'écart entre les personnes « les plus vulnérables » et « les moins vulnérables ». Il a rendu la distribution du risque pour la vie privée beaucoup plus homogène. Le document affirme avoir réduit ces disparités jusqu'à 57 %.
Utilité : Généralement, lorsque l'on ajoute une protection de la vie privée, la carte devient un peu floue ou moins précise. FinP a réussi à maintenir la carte presque aussi nette que l'originale. La précision n'a chuté que d'un montant infime, presque imperceptible (environ 1,75 %).
Comparaison : Le document a également testé la « Confidentialité Différentielle » (Differential Privacy - une méthode courante qui ajoute du bruit aléatoire, comme des parasites sur une radio). Ils ont découvert que si le bruit ajoute de la confidentialité, il rend souvent la carte bien moins bonne et ne corrige pas réellement l'iniquité ; il rend simplement les données de tout le monde également bruyantes. FinP, en revanche, s'attaque à la cause profonde (la mémorisation unique) plutôt que de simplement ajouter des parasites.

En résumé

FinP est un système qui garantit que, dans un projet d'apprentissage collectif, les personnes possédant les données les plus uniques ne soient pas isolées et exposées. Pour cela, il leur apprend à généraliser leur apprentissage et veille à ce que le chef du groupe ne donne pas trop de pouvoir à leurs données uniques. Le résultat est un système où la protection de la vie privée est partagée équitablement et où le produit final reste hautement utile.

Résumé technique : FinP : La justice dans la confidentialité (Fairness-in-Privacy) dans l'apprentissage fédéré en traitant les disparités de risque de confidentialité

1. Énoncé du problème

L'apprentissage fédéré (Federated Learning - FL) atténue les risques liés à la centralisation massive des données mais ne parvient pas à garantir une protection équitable de la confidentialité pour tous les clients participants. Dans les environnements de FL centrés sur l'humain, l'hétérogénéité statistique (données non-IID) entraîne une distribution inéquitable des risques de confidentialité. Plus précisément, les clients possédant des distributions de données uniques ou atypiques (par exemple, des individus présentant des handicaps physiques spécifiques dans la reconnaissance d'activités humaines) sont sujets au surapprentissage local. Ce surapprentissage provoque la mémorisation de points de données uniques par leurs modèles locaux, ce qui les rend disproportionnellement vulnérables aux attaques d'inférence de source (Source Inference Attacks - SIA).

Contrairement aux attaques d'inférence d'appartenance (Membership Inference Attacks - MIA), qui déterminent si un enregistrement a été utilisé lors de l'entraînement, la SIA identifie le client spécifique qui a généré cet enregistrement. Cela brise l'pseudonymat en liant des données sensibles à un contexte réel (appareil ou localisation). Les défenses de confidentialité existantes, telles que la confidentialité différentielle (Differential Privacy - DP), injectent souvent un bruit uniforme qui dégrade l'utilité globale sans résoudre la disparité d'exposition par client ; dans certains cas, elles exacerbent l'injustice en pénalisant les clients bien représentés tout en échouant à masquer les mises à jour distinctes des clients biaisés. Le document identifie une lacune critique : l'absence d'un cadre capable de formaliser et d'imposer une justice dans la confidentialité (fairness-in-privacy), garantissant qu'aucun groupe ne supporte un fardeau disproportionné de vulnérabilité de la confidentialité.

2. Méthodologie : Le cadre FinP

FinP est un nouveau cadre conçu pour opérationnaliser la justice dans la confidentialité en traitant à la fois les symptômes (agrégation inégale du risque) et les causes profondes (surapprentissage local). Il emploie une stratégie de défense à double volet, en boucle fermée, impliquant des interventions côté serveur et côté client.

2.1 Modèle de menace

Le cadre opère sous l'hypothèse d'un serveur « honnête mais curieux ». Le serveur exécute fidèlement le protocole de FL mais tente d'inférer des informations sensibles sur les clients à partir des mises à jour du modèle et des métriques de courbure. La menace principale est une attaque en deux étapes :

Attaque d'inférence d'appartenance (MIA) : Déterminer si un point de donnée cible $x$ appartient à l'ensemble d'entraînement global.
Attaque d'inférence de source (SIA) : Si $x$ est confirmé comme faisant partie de l'entraînement, identifier le client spécifique $C_i$ qui l'a généré.

2.2 Intervention côté client : Réduction collaborative du surapprentissage

Pour traiter la cause profonde de la vulnérabilité (le surapprentissage local), FinP introduit un mécanisme de régularisation piloté par rétroaction :

Estimation du surapprentissage relatif : Les clients estiment localement leur niveau de surapprentissage en utilisant la valeur propre maximale de la Hessienne ( $\lambda_{max}$ ) et la trace de la Hessienne ( $H_T$ ) de leur modèle local. Ces métriques caractérisent la netteté du paysage de perte ; des paysages plus nets indiquent un surapprentissage sévère.
Classement relatif ( $\rho_k$ ) : Le serveur agrège ces métriques scalaires pour calculer un rang de surapprentissage relatif ( $\rho_k$ ) pour chaque client, représentant sa vulnérabilité par rapport à la fédération. Ce rang est transmis en retour au client sous forme de rétroaction ciblée.
Régularisation adaptative : À la réception de $\rho_k$ , le client modifie sa fonction de perte locale en ajoutant un terme de régularisation borné par la constante de Lipschitz (approximée par la norme spectrale du Jacobien). La perte modifiée est :
$L^*_k = L_k + \beta \cdot \rho_k \cdot ||J_k||$
Ici, $\beta$ est un paramètre dépendant de la tâche. Les clients ayant des rangs de surapprentissage relatif plus élevés ( $\rho_k$ ) sont soumis à une régularisation plus forte, les forçant à apprendre des représentations plus généralisables et réduisant leur susceptibilité à la SIA.

2.3 Intervention côté serveur : Agrégation adaptative

Pour traiter les symptômes de la disparité, le serveur ajuste dynamiquement les poids d'agrégation des mises à jour des clients :

Quantification du risque : Le serveur utilise le rang de surapprentissage relatif du client ( $\rho_k$ ) comme indicateur du risque de confidentialité.
Agrégation légère adaptative (Adaptive Lightweight Aggregation - ALA) : Le serveur calcule les poids d'agrégation ( $\alpha_k$ ) inversement proportionnels au rang de risque :
$\alpha_k = \frac{1 - \rho_k}{\sum_{i=1}^K (1 - \rho_i)}$
Ce mécanisme réduit l'influence des clients hautement vulnérables sur le modèle global, empêchant leurs représentations aberrantes mémorisées de façon disproportionnée de façonner les paramètres globaux.
Référence alternative : Le document évalue également une stratégie basée sur l'ACP (PCA) pour la quantification du risque, mais souligne l'ALA comme la solution la plus efficace en termes de calcul et la plus évolutive, adaptée à un déploiement en conditions réelles.

3. Principales contributions

Le document présente quatre contributions principales :

Définition formelle : Il introduit une définition formelle de la justice dans la confidentialité (FinP) adaptée aux systèmes d'apprentissage automatique centrés sur l'humain du monde réel, se concentrant sur la distribution équitable du risque de confidentialité.
Opérationnalisation : Il opérationnalise la mesure de la FinP au sein du FL, en quantifiant spécifiquement les vulnérabilités aux attaques d'inférence de source (SIA).
Cadre novateur : Il propose un cadre technique à deux volets combinant l'agrégation adaptative côté serveur et la régularisation basée sur la Hessienne côté client pour optimiser la FinP.
Validation empirique : Il fournit des évaluations complètes sur des jeux de données réels (HAR) et standards (FEMNIST, CIFAR-10), démontant des gains significatifs en matière de justice de la confidentialité avec une perte minimale d'utilité de la tâche.

4. Résultats expérimentaux

Le cadre a été évalué sur trois jeux de données : la reconnaissance d'activités humaines (HAR), CIFAR-10 et FEMNIST, comparant FinP à FedAvg (standard), aux défenses d'hétérogénéité de pointe (FedAlign) et à la confidentialité différentielle (DP-SGD).

4.1 Améliorations de la justice de la confidentialité

Jeu de données HAR : FinP a réduit le coefficient de variation (CoV) de la précision de la SIA de 0,94 (Baseline) à 0,89, améliorant l'indice de justice (FI) de 5,56 %. Il a réduit l'écart d'opportunité égale (EOD) de 5,45 %, indiquant un taux de succès de l'adversaire plus uniforme entre les clients.
Jeu de données CIFAR-10 : FinP a obtenu une amélioration de 43,1 % de l'indice de justice pour la perte de prédiction (FI(Loss)) par rapport à FedAlign. Il a réduit l'EOD de 57,14 %, garantissant mathématiquement un taux de vrais positifs plus uniforme pour l'adversaire.
Confidentialité absolue : Sur CIFAR-10, FinP a réduit la précision moyenne de la SIA de ~30,86 % (FedAvg) à 10,07 %, réduisant efficacement le taux de succès de l'attaque au niveau d'un choix aléatoire (1/10).

4.2 Utilité et efficacité

Utilité du modèle : Contrairement au compromis typique entre confidentialité et utilité, FinP maintient ou améliore légèrement l'utilité du modèle global. Sur CIFAR-10, FinP atteint une précision de test de 78,46 %, soit légèrement plus que les 77,62 % de FedAvg. Sur HAR, la dégradation est minimale (environ 1,75 %).
Efficacité : Le cadre n'a nécessité qu'une augmentation marginale des cycles de communication pour converger (par exemple, 10 cycles contre 9 pour la baseline dans HAR).
Comparaison avec la DP : La confidentialité différentielle (DP-SGD) s'est avérée entraîner une dégradation drastique de l'utilité (par exemple, une chute de 34,7 % de la précision sur HAR) tout en échouant à améliorer la justice empirique de la confidentialité, aggravant souvent l'indice de justice.

4.3 Études d'ablation

Synergie des composants : Le système complet en boucle fermée (Serveur + Client) a produit les gains de justice les plus élevés. L'agrégation côté serveur seule traitait les symptômes mais était insuffisante pour la justice structurelle ; la régularisation côté client seule réduisait le surapprentissage mais manquait de la coordination globale pour équilibrer la distribution des risques.
Praticité computationnelle : La stratégie d'agrégation légère adaptative (ALA) a obtenu des améliorations de justice identiques à la baseline basée sur l'ACP, pourtant beaucoup plus coûteuse en calcul, tout en ne consommant que 17 % de son temps de calcul.

5. Signification et affirmations

Le document affirme que FinP établit des protections de confidentialité équitables en réduisant les disparités de vulnérabilité jusqu'à 57,14 % tout en préservant l'utilité du modèle global à une marge de ±1,75 % par rapport aux bases standard du FL.

Les auteurs soutiennent que la portée de FinP est importante car :

Il déplace l'attention des garanties de confidentialité moyennes vers une distribution équitable du risque, répondant à la réalité du « zéro confiance » où une certaine fuite est inévitable.
Il démontre que des garanties de justice dans la confidentialité fortes ne doivent pas nécessairement compromettre l'utilité du modèle ; en fait, en pénalisant la mémorisation localisée, le cadre peut améliorer la généralisation et la précision globale.
Il fournit une solution évolutive et pratique (via l'ALA) qui évite les goulots d'étranglement computationnels des méthodes traditionnelles, le rendant viable pour les déploiements de FL réels et à ressources limitées.
Il offre aux décideurs et aux concepteurs de systèmes des mesures tangibles (telles que l'EOD et le FI) pour imposer des protections équitables et favoriser la confiance du public dans les systèmes d'IA.

Le document conclut que sans traiter explicitement l'inégale distribution des risques, le FL risque de renforcer les inégalités sociales qu'il cherche précisément à contourner, et que FinP offre un mécanisme structurel pour prévenir cette inégalité numérique.