Adversary-Aware Private Inference over Wireless Channels

Résumé technique : Inférence privée sensible à l'adversaire sur les canaux sans fil

Énoncé du problème
L'article traite des risques de confidentialité inhérents à la détection basée sur l'IA au niveau des dispositifs de bordure sans fil (edge devices), spécifiquement dans les cadres d'inférence collaborative. Dans ces systèmes, les dispositifs de bordure extraient des caractéristiques à partir de données de détection brutes (par exemple, des images) et les transmettent à un serveur distant pour la prédiction. Bien que cela réduise la charge de calcul sur le dispositif, cela expose les représentations de caractéristiques intermédiaires sensibles à l'interception. Les mécanismes de confidentialité existants, tels que la confidentialité différentielle (Differential Privacy - DP), se concentrent généralement sur la protection de jeux de données finis ou sur la garantie de l'indistinguabilité de la sortie d'un jeu de données. Cependant, l'article note que la protection des caractéristiques individuelles transmises sur des canaux sans fil, en particulier contre les attaques de reconstruction par un adversaire observant la transmission, n'a pas été rigoureusement traitée. Le défi central consiste à concevoir un pipeline de transmission qui minimise la surcharge de communication tout en garantissant une erreur de reconstruction élevée pour un adversaire, sans dégrader de manière significative la précision de l'inférence du serveur.

Méthodologie
Les auteurs proposent un pipeline de transmission de bout en bout pour l'inférence collaborative qui intègre la préservation de la confidentialité directement dans les couches physiques et de traitement du signal. Le cadre fonctionne à travers les étapes suivantes :

1. Extraction de caractéristiques et réduction de dimensionnalité : Un dispositif de bordure extrait un vecteur de caractéristiques $F(x)$ à partir d'une entrée brute $x$. Ce vecteur est tronqué pour assurer une sensibilité bornée, puis projeté dans un espace de dimension inférieure ($r \leq d$) à l'aide d'une matrice d'encodage linéaire $W$.
2. Injection de confidentialité locale : Pour assurer la confidentialité locale, le dispositif applique le mécanisme gaussien en ajoutant un bruit gaussien au vecteur encodé. Cette étape est régie par des contraintes de confidentialité différentielle (DP) de caractéristiques $(\epsilon, \delta)$.
3. Transmission sans fil : Le vecteur perturbé est mis à l'échelle par un coefficient de puissance de transmission et transmis sur un canal sans fil à évanouissement par blocs. Le modèle prend en compte les dégradations du canal et le bruit gaussien additif.
4. Traitement côté serveur : Le serveur reçoit le signal bruité, le redimensionne et applique un décodeur linéaire pour reconstruire la représentation des caractéristiques pour la classification.
5. Modèle d'adversaire : Un adversaire est modélisé comme un espion observant la transmission sur un canal sans fil distinct avec son propre coefficient de canal et son propre bruit. L'adversaire tente de reconstruire les caractéristiques originales en utilisant un estimateur linéaire.

L'article analyse les compromis entre la dimensionnalité des caractéristiques projetées, l'amplitude du bruit de confidentialité et les conditions du canal sans fil. Il dérive des bornes théoriques sur la précision de classification du serveur et l'erreur quadratique moyenne (MSE) de l'adversaire pour la reconstruction.

Contributions clés
L'article introduit un nouveau cadre de confidentialité nommé confidentialité différentielle des caractéristiques (feature differential privacy), spécifiquement conçu pour protéger les représentations de caractéristiques intermédiaires lors de la transmission sans fil. Les principales contributions incluent :

• Garanties théoriques sur la reconstruction par l'adversaire : Les auteurs dérivent une borne inférieure rigoureuse sur la MSE de l'adversaire en fonction des paramètres du modèle, des conditions de canal, de la puissance de transmission et du bruit. Cette borne quantifie la difficulté qu'un adversaire rencontre pour récupérer des informations sensibles.
• Dimension de projection optimale : L'article établit la dimension de projection optimale $r^*$ requise pour satisfaire un seuil de MSE adverse cible tout en minimisant la latence. Il identifie deux régimes : un régime « limité par la confidentialité » où la dimensionnalité évolue avec les paramètres de confidentialité ($r^* \propto \epsilon^2/d$) et un régime « limité par le bruit » où la dimensionnalité sature vers une constante déterminée par le bruit du canal.
• Bornes de précision de classification : Une borne inférieure sur la précision de classification est dérivée sous des contraintes de confidentialité différentielle, capturant explicitement les compromis entre les dimensions des caractéristiques, le bruit de confidentialité et les dégradations du canal sans fil.
• Extension Massive MIMO : Le cadre est étendu à un contexte Massive MIMO, démontrant que le durcissement du canal (channel hardening) et la propagation favorable peuvent intrinsèquement supprimer la fuite d'informations vers les espions, faisant en sorte que l'erreur de reconstruction de l'adversaire approche asymptotiquement la dimension de l'espace des caractéristiques (ne gagnant ainsi aucune information) à mesure que le nombre d'antennes augmente.

Résultats
L'analyse théorique et les visualisations (par exemple, Fig. 2 et Fig. 3) démontrent les points suivants :

• Compromis Confidentialité-Utilité : À mesure que le paramètre de confidentialité $\epsilon$ diminue (confidentialité plus stricte), la MSE de l'adversaire augmente, indiquant une protection plus forte. Cependant, augmenter la dimension des caractéristiques $d$ sans ajuster le bruit de confidentialité peut dégrader la précision de classification du serveur en raison de l'amplification du bruit de perturbation.
• Impact de la dimensionnalité : Dans les régimes de haute confidentialité, l'augmentation de la dimensionnalité amplifie le bruit, réduisant la précision. Inversement, dans les régimes de faible confidentialité, une dimensionnalité plus élevée peut favoriser la classification jusqu'à ce qu'un point de bascule critique soit atteint.
• Résilience de l'adversaire : Les bornes inférieures dérivées confirment que le mécanisme proposé limite efficacement la capacité de l'adversaire à reconstruire les caractéristiques. L'utilisation d'une matrice de compression aléatoire (avec des entrées issues d'une distribution de Laplace) combinée au bruit gaussien garantit que le mécanisme satisfait la DP des caractéristiques $(\epsilon, \delta)$.
• Avantages du Massive MIMO : Dans la limite du Massive MIMO, la capacité de l'adversaire à récupérer les caractéristiques transmises devient asymptotiquement nulle, soulignant les avantages de confidentialité inhérents aux caractéristiques de la couche physique.

Signification
L'article affirme fournir un cadre de transmission complet et efficace pour la détection basée sur l'IA sans fil qui s'aligne sur les critères de confidentialité standards tout en tenant explicitement compte du canal sans fil. En intégrant la confidentialité dans le processus de transmission via une randomisation calibrée et une réduction de dimensionnalité, le cadre offre des perspectives théoriques rigoureuses sur la manière dont l'encodage sensible au canal et la perturbation préservant la confidentialité interagissent pour sauvegarder les informations sensibles. Ce travail comble le fossé entre les garanties de confidentialité théoriques et les contraintes pratiques des communications sans fil, offrant une base pour la conception de systèmes d'inférence en périphérie (edge) respectueux de la vie privée. Les auteurs notent que les travaux futurs exploreront des modèles d'acquisition de données structurées et des mécanismes de réduction de dimensionnalité non linéaires pour combler davantage le fossé entre la théorie et les contraintes pratiques de détection.