Forgettable Federated Linear Learning with Certified Data Unlearning

Sintesi Tecnica: Apprendimento Lineare Federato Dimenticabile con Rimozione Certificata dei Dati (F2L2)

Enunciato del Problema
L'Apprendimento Federato (FL) consente l'addestramento collaborativo di modelli preservando la privacy dei dati, ma affronta sfide significative riguardo al "diritto all'oblio" e alla rimozione di contributi malevoli (ad esempio, dati avvelenati da attacchi backdoor). I metodi esistenti di Rimozione Federata (FU) soffrono di limitazioni critiche che ostacolano l'adozione nel mondo reale:

1. Dipendenza dai Clienti: Molti metodi richiedono la cooperazione di clienti mantenuti (per il retraining o il fine-tuning) o di clienti target (per l'ascesa del gradiente o l'ottimizzazione personalizzata), introducendo sovraccarichi di comunicazione e rischi di sicurezza se i clienti sono malevoli o non disponibili.
2. Inefficienza di Archiviazione: Approcci come FedEraser richiedono l'archiviazione di tutti i modelli globali storici, sostenendo costi di memoria proibitivi per le Reti Neurali Profonde (DNN) su larga scala.
3. Mancanza di Certificazione: A causa della non linearità delle DNN, la maggior parte dei metodi FU esistenti manca di garanzie teoriche che il modello rimossa sia indistinguibile da uno riaddestrato da zero.

La domanda di ricerca fondamentale affrontata è: Come possiamo progettare un framework FU pratico che garantisca una rimozione certificata senza richiedere cooperazione dei clienti mantenuti, partecipazione dei clienti target o archiviazione di modelli storici?

Metodologia: Il Framework F2L2
Gli autori propongono l'Apprendimento Lineare Federato Dimenticabile (F2L2), un framework che integra una pipeline di addestramento innovativa con un meccanismo di rimozione lato server.

1. Addestramento Lineare Federato (FLT):

   • Linearizzazione: Ispirato dal Kernel Tangente Neurale (NTK) e dalle sue estensioni ai modelli pre-addestrati, il FLT approssima una DNN linearmente attorno a un vettore di pesi pre-addestrato $w_p^*$. La funzione del modello è approssimata come $f(x; w) \approx f(x; w_p^*) + \langle \nabla_w f(x; w_p^*), w - w_p^* \rangle$.
   • Funzione di Perdita Quadratica: Questa linearizzazione trasforma la funzione di perdita in una forma quadratica (Errore Quadratico Medio), garantendo la convessità.
   • Processo di Addestramento: Il server inizializza il modello utilizzando un modello fondazionale pre-addestrato (FM) o un modello addestrato su un piccolo dataset pubblico affidabile ($D_p$). I clienti eseguono quindi aggiornamenti standard di Federated Averaging (FedAvg) su questo modello linearizzato. Crucialmente, i parametri del codificatore pre-addestrato rimangono fissi (nel caso di FM), e vengono aggiornati solo i pesi del livello lineare.

2. FedRemoval (Rimozione Certificata):

   • Passo di Newton: Poiché la perdita è quadratica, i pesi ottimali dopo la rimozione dei dati di un cliente target ($D_c$) possono essere calcolati tramite un passo di Newton in forma chiusa: $w^- = w^* - [\nabla^2 L(w^*; D_-)]^{-1} \nabla L(w^*; D_-)$.
   • Esecuzione lato Server: Per evitare il costo computazionale dell'inversione dell'Hessiano sul dataset rimanente distribuito ($D_-$), FedRemoval approssima l'Hessiano utilizzando il dataset pre-addestrato $D_p$ (disponibile sul server).
   • Efficienza: Il processo di rimozione richiede solo i gradienti finali dal cliente target (già condivisi durante l'addestramento) e i dati locali del server. Coinvolge zero comunicazioni aggiuntive con i clienti e zero archiviazione di modelli storici. L'aggiornamento è calcolato interamente sul server.

Contributi Chiave

1. Framework Innovativo: F2L2 è la prima soluzione di rimozione federata che combina l'addestramento misto-lineare distribuito (FLT) con un meccanismo di rimozione puramente lato server (FedRemoval). Elimina la necessità di cooperazione dei clienti durante la rimozione e di archiviazione di modelli storici.
2. Garanzie Certificate: Gli autori derivano un limite superiore teorico sulla discrepanza della norma $L_2$ tra i pesi ottenuti tramite FedRemoval e quelli ottenuti tramite un retraining completo. Ciò fornisce una certificazione rigorosa che il processo di rimozione è efficace.
3. Valutazione Completa: Sono stati condotti esperimenti estesi su sei dataset (MNIST, FashionMNIST, CIFAR10, ImageNet, DomainNet, Flowers) e quattro architetture di modelli, inclusi modelli fondazionali (CLIP, BLIP2) utilizzando l'approccio di linear probing.

Risultati Sperimentali

• Efficacia della Rimozione: F2L2 rimuove con successo gli attacchi backdoor, riducendo il Tasso di Successo Backdoor (BSR) a livelli comparabili a una risposta casuale (ad esempio, ~5-10% su vari dataset), mantenendo al contempo l'Accuratezza di Test (TA) vicina alla verità fondamentale riaddestrata.
• Confronto con le Baseline: F2L2 supera le baseline esistenti (FedEraser, EWSGA, SGA, Flipping, CF, ecc.) raggiungendo un migliore compromesso tra TA e BSR. A differenza delle baseline che spesso richiedono comunicazioni o archiviazioni aggiuntive, F2L2 raggiunge prestazioni vicine alla verità fondamentale con zero sovraccarico aggiuntivo.
• Modelli Fondazionali: Il metodo è efficace quando applicato a modelli fondazionali su larga scala (ad esempio, CLIP su ImageNet/DomainNet), mantenendo un'alta TA (~90-95%) mentre rimuove efficacemente i clienti avvelenati.
• Scalabilità e Stabilità: Il metodo rimane stabile al variare del numero di clienti (da 5 a 20) e in diverse impostazioni di eterogeneità dei dati (distribuzioni Non-IID), sebbene il BSR aumenti leggermente con una maggiore eterogeneità, rimanendo vicino ai livelli di risposta casuale.
• Efficienza: L'approssimazione dell'Hessiano riduce significativamente i costi computazionali (FLOPs) ed elimina il sovraccarico di comunicazione durante la fase di rimozione.

Significato e Affermazioni
Il paper afferma che F2L2 rappresenta una pipeline promettente per una Rimozione Federata efficiente e affidabile. Sfruttando le proprietà matematiche dei modelli linearizzati attorno ai pesi pre-addestrati, gli autori dimostrano che è possibile raggiungere una rimozione certificata senza i tradizionali compromessi di sovraccarico di comunicazione, cooperazione dei clienti o requisiti di archiviazione massiccia. Il lavoro suggerisce che le approssimazioni lineari delle DNN, in particolare nel contesto dei modelli fondazionali, offrono un percorso praticabile verso sistemi federati scalabili e sicuri in grado di rispettare i diritti alla privacy degli utenti e mitigare minacce alla sicurezza come gli attacchi backdoor.

Gli autori notano che, sebbene l'approssimazione lineare sia efficace, estendere il framework a contesti FL più ampi oltre la classificazione, compiti generativi o regimi altamente non lineari rimane una direzione per la ricerca futura.