Résumé Technique : FLRSP – Apprentissage Fédéré Préservant la Vie Privée à l'aide de Paramètres de Modèle Sélectionnés Aléatoirement

1. Énoncé du Problème

L'entraînement de réseaux de neurones profonds (DNN) de haute qualité nécessite généralement d'énormes quantités de données, contenant souvent des informations sensibles ou personnelles. Bien que l'apprentissage fédéré (FL) permette à plusieurs clients d'entraîner collaborativement un modèle sans partager de données brutes, il reste vulnérable aux attaques contre la vie privée. Plus précisément, les attaquants peuvent reconstruire les données d'entraînement originales à partir des mises à jour de modèle partagées (gradients ou poids) en utilisant des techniques telles que l'attaque de fuite de vie privée par attention (APRIL) pour les Transformers Vision (ViT) et les attaques par optimisation adversaire pour les réseaux de neurones convolutifs (CNN).

Les méthodes existantes d'amélioration de la sécurité présentent des limitations significatives :

• Confidentialité Différentielle (DP) : Ajoute du bruit aux mises à jour pour résister aux attaques, mais dégrade inévitablement la précision du modèle.
• Méthodes à Position Fixe : Efficaces pour les ViT en annulant les mises à jour des embeddings de position, mais elles échouent lorsque les modèles sont entraînés à partir de zéro (car toutes les couches doivent être mises à jour) et ne sont pas applicables aux CNN.
• Concepts Antérieurs de Sélection Aléatoire : Les travaux antérieurs sur les gradients sélectionnés aléatoirement étaient limités aux architectures ViT et à l'algorithme de Descente de Gradient Stochastique Fédéré (FedSGD).

Le défi central consiste à développer une méthode FL préservant la vie privée, robuste face aux attaques de restauration d'images les plus avancées à travers différentes architectures (ViT et CNN) et algorithmes (FedSGD et FedAvg), sans sacrifier la précision de classification.

2. Méthodologie : FLRSP

Les auteurs proposent l'Apprentissage Fédéré utilisant des Paramètres de Modèle Sélectionnés Aléatoirement (FLRSP). Dans ce cadre, chaque client sélectionne aléatoirement un sous-ensemble de paramètres de modèle (gradients dans FedSGD ou poids dans FedAvg) à partager avec le serveur central, tout en remplaçant les paramètres non sélectionnés par des valeurs nulles.

Mécanisme Central

1. Sélection Aléatoire : Avant la transmission, chaque client applique une séquence binaire aléatoire $B_{n,k,i}^l \in \{0, 1\}$ aux paramètres du modèle $\theta_{n,k,i}^l$ (ou aux poids $W_{n,k,i}^m$).
   • Si $B=1$, le paramètre est partagé.
   • Si $B=0$, le paramètre est défini à zéro.
   • La probabilité d'apparition de zéro est notée $R$.
2. Agrégation Serveur : Le serveur central agrège les mises à jour reçues. Crucialement, la formule d'agrégation prend en compte la parcimonie introduite par la sélection aléatoire. Pour FedSGD, la mise à jour du modèle global $w_{k,i}^{l+1}$ est calculée comme suit :
   $$w_{k,i}^{l+1} = w_{k,i}^l - \eta \frac{\sum_{n=1}^N \bar{\theta}_{n,k,i}^l}{\sum_{n=1}^N B_{n,k,i}^l}$$
   (Si le dénominateur est nul, le paramètre reste inchangé). Cela garantit que le modèle global est mis à jour uniquement à l'aide des gradients non nuls, normalisant efficacement le taux d'apprentissage en fonction du nombre de paramètres participants.
3. Séquences Dynamiques : Contrairement aux approches de « poids gelés » où des couches spécifiques sont exclues de manière permanente, FLRSP utilise différentes séquences aléatoires pour chaque époque (dans FedAvg) ou lot (dans FedSGD). Cela garantit que tous les paramètres sont éventuellement mis à jour au fil du temps, empêchant une perte d'information permanente.

Base Théorique

L'article fournit une analyse de convergence montrant que FLRSP maintient des propriétés de convergence stables similaires à celles du FL standard. Le taux d'apprentissage effectif est ajusté par le facteur $(1 - RN)$, où$N$ est le nombre de clients. Puisque le taux d'apprentissage reste positif, la méthode est mathématiquement prouvée comme convergente.

3. Contributions Clés

L'article expose trois contributions principales :

1. Nouvelle Méthode FL : Une nouvelle approche pour se défendre contre les attaquants en sélectionnant aléatoirement les paramètres du modèle global calculés sur les serveurs locaux, applicable aux architectures ViT et CNN.
2. Généralisation : L'extension du concept de sélection aléatoire (précédemment limité aux ViT et FedSGD) pour inclure FedAvg et les architectures ResNet.
3. Vérification Empirique : Des expériences complètes démontrant que FLRSP surpasse les méthodes de l'état de l'art (spécifiquement la Confidentialité Différentielle et les méthodes à Position Fixe) en termes de robustesse face aux attaques et de précision de classification.

4. Résultats Expérimentaux

Des expériences ont été menées sur le jeu de données CIFAR-10 en utilisant ViT (vit_small_patch16_224) et ResNet34 sous les protocoles FedSGD et FedAvg.

Précision de Classification

• ViT : FLRSP a maintenu une précision comparable au FL standard pour les modèles pré-entraînés affinés et les modèles entraînés à partir de zéro. En revanche, la méthode à Position Fixe a subi une dégradation significative de la précision lors de l'entraînement à partir de zéro car elle empêche les mises à jour de la couche d'embedding de position.
• ResNet : FLRSP a atteint une précision élevée pour diverses valeurs de $R$ (0,2, 0,5, 0,8). Alors que la Confidentialité Différentielle (DP) a montré une dégradation de la précision à mesure que l'intensité de la vie privée ($\epsilon$) augmentait, FLRSP a maintenu des performances proches de la référence.
• Données Non-I.I.D. : Sous des distributions de données hétérogènes (distribution de Dirichlet, $\alpha=0,1$), FLRSP a maintenu une précision supérieure à celle de la DP.

Robustesse Face aux Attaques

L'étude a évalué la résistance contre deux attaques de l'état de l'art en utilisant l'Indice de Similarité Structurelle (SSIM) entre les images originales et restaurées :

• APRIL (ViT) : Le FL standard a permis une reconstruction visuelle complète. FLRSP (même avec $R=0,2$) a efficacement empêché la reconstruction, atteignant une robustesse équivalente à la méthode à Position Fixe.
• Optimisation Adversaire (CNN) : Le FL standard et la DP (même avec un faible $\epsilon$) ont permis une restauration significative d'images (valeurs SSIM souvent > 0,6). FLRSP a considérablement réduit les valeurs SSIM (souvent < 0,1), rendant la reconstruction visuelle presque impossible.
• Comparaison : FLRSP a constamment obtenu des valeurs SSIM plus faibles (indiquant une meilleure vie privée) que la DP tout en maintenant une précision de classification plus élevée.

5. Importance et Revendications

L'article revendique que FLRSP résout avec succès le compromis entre vie privée et utilité dans l'apprentissage fédéré. En sélectionnant aléatoirement des paramètres, la méthode perturbe les équations mathématiques requises pour les attaques de restauration d'images basées sur les gradients (spécifiquement en brisant la similarité cosinus dans l'optimisation adversaire et les équations sous forme close dans APRIL).

Les auteurs soulignent que FLRSP est une solution généralisable applicable à des modèles arbitraires (incluant ViT et ResNet) et à des algorithmes (FedSGD et FedAvg). Contrairement aux méthodes précédentes qui soit dégradent la précision (DP), soit sont spécifiques à l'architecture (Position Fixe), FLRSP offre un mécanisme de défense robuste préservant les performances du modèle. L'étude conclut que FLRSP est une méthode d'amélioration de la sécurité viable et efficace pour des scénarios d'apprentissage fédéré pratiques.