Résumé technique : Apprentissage fédéré préservant la vie privée de cartes radio pour les jumeaux numériques sans fil via une allocation adaptative du bruit

1. Énoncé du problème

L'article aborde une vulnérabilité critique de la vie privée dans les applications d'Apprentissage Fédéré (FL) pour les Jumeaux Numériques Sans Fil, spécifiquement dans la construction de Cartes Radio. Bien que le FL permette à des clients distribués (par exemple, nœuds de bord, stations de base) d'entraîner collaborativement un modèle partagé sans partager les données brutes de l'environnement radio, les mises à jour de modèle échangées elles-mêmes peuvent fuiter des informations sensibles.

Dans le contexte de l'apprentissage de cartes radio utilisant l'architecture RadioUNet, la position de l'émetteur est explicitement encodée comme canal d'entrée (une "rasterisation de l'émetteur"). Par conséquent, les gradients ou les deltas de modèle téléchargés par les clients contiennent des empreintes numériques structurées et dépendantes de l'émetteur. Un observateur passif peut exploiter ces mises à jour pour déduire la position précise des émetteurs utilisés lors de l'entraînement local, même si les données de mesure brutes restent privées.

Les défenses de confidentialité existantes, telles que la confidentialité différentielle (DP) standard, injectent généralement du bruit de manière uniforme sur tous les paramètres du modèle ou suivent des règles statiques et fixes. Les auteurs soutiennent que ces approches sont inefficaces car elles ignorent la structure spécifique à l'architecture de la fuite : le bruit est gaspillé sur des paramètres qui portent peu d'informations sur la localisation, tandis que le budget peut être insuffisant pour les composants hautement sensibles et couplés à l'émetteur.

2. Méthodologie

L'article propose un mécanisme d'allocation adaptative du bruit sous contrainte de budget conçu pour être intégré localement côté client avant la transmission au serveur.

A. Modèle du système et définition de la menace

• Architecture : Le système utilise un RadioUNet à deux étapes. La première étape produit une estimation grossière de l'atténuation de propagation, et la seconde étape l'affine en utilisant l'entrée originale et la sortie de la première étape.
• Modèle de menace : Un attaquant observe la séquence des téléchargements des clients ($\Delta\theta$) et tente de régresser la coordonnée de l'émetteur ($c$) à partir de l'"empreinte" de ces mises à jour. La métrique de confidentialité est l'erreur de localisation ($e_{loc}$).
• Contrainte : Le budget total de perturbation ($B$) par téléchargement est fixe. L'objectif est de maximiser la confidentialité (erreur de localisation) tout en minimisant la perte d'utilité (erreur quadratique moyenne de reconstruction).

B. Stratégie d'allocation adaptative du bruit

Au lieu d'une injection de bruit uniforme, la méthode proposée redistribue dynamiquement le budget de bruit fixe en fonction de l'état actuel du téléchargement.

1. Partitionnement en groupes : L'espace des paramètres téléchargés est partitionné en groupes sensibles à l'émetteur (paramètres directement couplés au canal d'entrée de l'émetteur dans les deux étapes du RadioUNet) et un groupe résiduel (tous les autres paramètres).
2. Extraction de statistiques de basse dimension : Avant l'injection de bruit, un vecteur de résumé compact ($s_{k,r}$) est extrait de la mise à jour du client. Cela inclut les normes $\ell_2$ masquées, les magnitudes moyennes, les écarts-types, les ratios de taille de groupe et le contexte global (indice de tour, phase).
3. Allocateur par réseau de neurones : Un réseau de neurones léger ($f_\eta$) mappe le vecteur de résumé vers des logits d'allocation, qui sont normalisés via un softmax pour déterminer l'échelle du bruit ($\sigma_{k,r,g}$) pour chaque groupe.
4. Injection de bruit :
   • La mise à jour est d'abord clipée à un seuil $C$.
   • Du bruit gaussien est ajouté à chaque groupe $g$ avec une variance proportionnelle au budget alloué pour ce groupe ($E_{k,r,g}$).
   • Le budget total reste fixe ($\sum E_{k,r,g} = B$), mais la distribution s'adapte à la sensibilité de la fuite révélée pendant l'entraînement.

C. Objectif d'entraînement

L'allocateur est entraîné en utilisant un modèle d'attaque proxy pour simuler l'adversaire. L'objectif d'optimisation équilibre trois termes :

• Perte de tâche ($L_{task}$) : Qualité de reconstruction de la carte radio.
• Perte de confidentialité ($L_{proxy}$) : L'erreur de l'attaquant proxy (maximisée par l'allocateur).
• Régularisation par entropie ($H$) : Empêche l'allocateur de concentrer l'intégralité du budget dans un seul groupe, assurant la robustesse.

3. Contributions clés

Les auteurs résument leurs contributions comme suit :

1. Formulation du problème : Ils formalisent la fuite de localisation d'émetteur basée sur les téléchargements comme une menace de confidentialité spécifique dans l'apprentissage fédéré de cartes radio et définissent un problème d'optimisation confidentialité-utilité sous contrainte de budget correspondant.
2. Mécanisme adaptatif : Ils proposent un allocateur de bruit adaptatif conscient de la structure qui distribue dynamiquement un budget de perturbation fixe sur des groupes de téléchargement sensibles à l'émetteur en fonction de l'état actuel du téléchargement, plutôt que d'utiliser des règles statiques.
3. Protocole d'évaluation : Ils établissent un protocole d'évaluation pour le RadioUNet fédéré sous des attaques de localisation basées sur les téléchargements, démontrant que l'allocation adaptative surpasse à la fois les bases uniformes et les bases conscientes de la structure statique sous un budget de perturbation apparié.

4. Résultats expérimentaux

Le cadre a été évalué sur un ensemble de données de 700 cartes radio urbaines utilisant une configuration fédérée avec 14 clients (6 actifs par tour) sur 50 tours de communication. La méthode proposée a été comparée à :

• Aucune défense : Référence pour la fidélité de la tâche.
• Clip uniquement : Clip global $\ell_2$ sans bruit.
• Bruit uniforme : DP standard avec du bruit ajouté à tous les paramètres.
• Uniforme dirigé : Bruit ajouté uniquement au sous-espace sensible prédéfini (conscient de la structure statique).
• Proposé : La méthode adaptative.

Principales constatations :

• Performance de confidentialité : Sous un multiplicateur de bruit unifié ($\nu=3$), la méthode proposée a obtenu la plus haute RMSE de confidentialité (45,63 m), surpassant l'Uniforme dirigé (42,26 m) et le Bruit uniforme (36,78 m). Cela indique une protection plus forte contre la localisation des émetteurs.
• Préservation de l'utilité : La méthode proposée a maintenu la meilleure qualité de reconstruction parmi toutes les défenses basées sur le bruit, atteignant une MSE de validation de -15,87 dB. Cela était supérieur à l'Uniforme dirigé (-15,66 dB) et nettement meilleur que le Bruit uniforme (-14,43 dB).
• Adaptation dynamique : Alors que les méthodes statiques (Uniforme dirigé) montraient des rendements décroissants à mesure que l'entraînement progressait, la méthode adaptative a présenté une trajectoire ascendante persistante dans la protection de la confidentialité, suggérant qu'elle s'adapte avec succès aux schémas de fuite évolutifs du processus d'entraînement.

5. Importance et revendications

L'article affirme que où le bruit est injecté est plus critique que combien de bruit est injecté. En reconnaissant que la fuite liée à l'émetteur est concentrée dans un petit sous-ensemble de l'espace des paramètres, la méthode proposée évite l'inefficacité de la perturbation uniforme.

Les auteurs soulignent que leur travail fournit une défense de confidentialité adaptative budgétisée. Ils déclarent explicitement une modestie concernant leurs revendications :

• L'article ne revendique pas fournir un comptable de confidentialité différentielle complet de bout en bout pour le mécanisme adaptatif.
• L'objectif principal est de démontrer que la redistribution dynamique d'un budget fixe basée sur la sensibilité de la fuite spécifique à l'architecture produit un compromis confidentialité-utilité supérieur par rapport aux approches statiques ou uniformes existantes.

Les résultats suggèrent que pour les applications de jumeaux numériques sans fil nécessitant une confidentialité de localisation, l'allocation adaptative du bruit est une stratégie viable et efficace pour protéger les positions des émetteurs sans compromettre la qualité des cartes radio reconstruites.