Riepilogo Tecnico: Analisi della Privacy Differenziale Convergente per l'Apprendimento Federato Generale

1. Enunciato del Problema

L'Apprendimento Federato (FL) combinato con la Privacy Differenziale (DP) offre un paradigma per l'addestramento di modelli su dati privati client su larga scala senza perdita diretta di dati. Tuttavia, le analisi teoriche esistenti dei framework FL-DP si basano pesantemente sul teorema di composizione (ad esempio, $(\epsilon, \delta)$-DP o DP di Rényi). Questi approcci tradizionali producono tipicamente limiti di privacy che divergono (diventano arbitrariamente laschi) all'aumentare del numero di round di comunicazione $T$.

Questa divergenza implica una conclusione controintuitiva e non supportata empiricamente: che i framework FL-DP potrebbero eventualmente perdere tutte le capacità di protezione della privacy sotto perturbazioni rumorose a livello costante durante l'addestramento a lungo termine. Ciò crea una discrepanza significativa tra le previsioni teoriche (che suggeriscono un inevitabile fallimento della privacy) e i risultati sperimentali (che spesso mostrano una privacy stabile). La sfida principale risiede nell'analisi della privacy dei metodi FL con obiettivi non convessi e aggiornamenti locali eterogenei, dove l'addestramento locale multi-step introduce modelli distorti che complicano l'analisi standard della sensibilità.

2. Metodologia

Gli autori propongono un'analisi completa basata sulla $f$-Privacy Differenziale ($f$-DP), utilizzando specificamente la Privacy Differenziale Gaussiana (GDP), che offre una definizione di privacy senza perdita di informazioni teoriche attraverso il compromesso tra errori di Tipo I e Tipo II nei test di ipotesi.

I componenti metodologici chiave includono:

• Tecnica di Interpolazione Spostata: Per evitare i limiti laschi associati all'amplificazione della privacy standard per iterazione, il paper adotta una sequenza di interpolazione spostata. Invece di analizzare la relazione diretta tra modelli globali su dataset adiacenti su $T$ round, gli autori definiscono una sequenza ausiliaria $\tilde{w}_t$ che interpola tra le traiettorie dei due dataset adiacenti. Ciò consente un'analisi di amplificazione della privacy più stretta su un intervallo specifico $[t_0, T]$.
• Decomposizione della Sensibilità Globale: Il termine di sensibilità globale $\|\phi(w_t) - \phi'(\tilde{w}_t)\|$ è decomposto in due componenti:
  1. Sensibilità dei Dati: L'errore risultante dall'addestramento su dataset diversi partendo dalla stessa inizializzazione.
  2. Sensibilità del Modello: L'errore risultante dall'addestramento sullo stesso dataset partendo da inizializzazioni diverse.
     Gli autori derivano limiti specifici per queste sensibilità sotto gli algoritmi Noisy-FedAvg e Noisy-FedProx.
• Ottimizzazione dei Coefficienti di Interpolazione: Il limite di privacy è formulato come un problema di minimizzazione sui coefficienti di interpolazione $\lambda_t$ e su un round di partenza $t_0$. Per garantire la convergenza, gli autori rilassano il problema impostando $t_0 = 0$, eliminando la divergenza causata dal divario di stabilità iniziale mantenendo al contempo un limite stretto sulla sensibilità accumulata.
• Strategie del Tasso di Apprendimento: L'analisi copre quattro distinte strategie di decadimento del tasso di apprendimento: costante, decadimento ciclico, decadimento per stadi e decadimento iterativo.

3. Contributi Chiave

Il paper fornisce la prima analisi di privacy convergente per metodi FL-DP generali sotto obiettivi non convessi e lisci. I contributi specifici sono:

• Privacy Convergente per Noisy-FedAvg: Gli autori dimostrano che la privacy nel caso peggiore di Noisy-FedAvg non diverge rispetto al numero di round di comunicazione $T. Forniscono limiti convergenti stretti per quattro diverse strategie di decadimento del tasso di apprendimento. Ciò sfida la credenza di lunga data secondo cui i budget di privacy devono aumentare indefinitamente con la durata dell'addestramento.
• Privacy Stabile per Noisy-FedProx: Analizzando il termine prossimale in Noisy-FedProx, gli autori dimostrano che la privacy peggiore converge a un limite inferiore costante generale. Mostrano che il coefficiente prossimale $\alpha$ agisce come un regolarizzatore che può disaccoppiare la privacy dall'intervallo di addestramento locale $K$, purché $\alpha > L$ (dove $L$ è la costante di regolarità).
• Indipendenza dal Framework: I limiti $f$-DP derivati possono essere convertiti senza perdita in altri framework standard, inclusa $(\epsilon, \delta)$-DP e DP di Rényi (RDP), fornendo comprensioni dettagliate per i sistemi FL-DP esistenti.
• Risoluzione Teorica della Discrepanza: L'analisi risolve il divario tra divergenza teorica e stabilità empirica, dimostrando che il rumore a livello costante è sufficiente per mantenere garanzie di privacy convergenti in FL.

4. Risultati

I risultati teorici sono riassunti nella Tabella 1 e nella Tabella 3 del paper:

• Noisy-FedAvg:
  • Sotto tassi di apprendimento costanti, il limite di privacy converge a un valore dipendente da $K$, $m$ (scala dei client) e $\sigma$ (rumore), ma rimane limitato quando $T \to \infty$.
  • Sotto tassi di apprendimento a decadimento per stadi e iterativo, il limite di privacy converge a una forma proporzionale a $\sqrt{2 - 1/T}$, garantendo la convergenza.
  • I limiti sono più stretti rispetto ai lavori precedenti che spesso richiedevano che la varianza del rumore $\sigma^2$ scalasse con $T$ o $TK$.
• Noisy-FedProx:
  • Il limite di privacy converge a un limite inferiore costante indipendente da $T$ e $K$.
  • Il limite è inversamente proporzionale a $\sqrt{\alpha}$, indicando che un coefficiente prossimale $\alpha$ più grande migliora significativamente la privacy (riduce la sensibilità) senza richiedere un aumento del rumore.
• Validazione Empirica:
  • Esperimenti su MNIST e CIFAR-10 con LeNet-5 e ResNet-18 confermano che la sensibilità globale si stabilizza man mano che l'addestramento procede, indipendentemente da $T$ o $K$.
  • Gli studi sulla sensibilità mostrano che aumentare il numero di client ($m$) riduce la sensibilità ($O(1/\sqrt{m})$), mentre l'intervallo locale $K$ influisce sulla velocità di convergenza ma non sul limite asintotico.
  • Gli attacchi di inferenza dell'appartenenza e di inversione del gradiente confermano che i tassi di successo degli attacchi si stabilizzano invece di avvicinarsi al 100% sotto rumore costante, validando la teoria della privacy convergente.

5. Significato

Il paper afferma di stabilire una solida base teorica per l'affidabilità della privacy nei framework FL-DP. Il suo significato risiede in:

1. Correzione di Concetti Errati Teorici: Smentisce l'inferenza secondo cui FL-DP perde inevitabilmente la protezione della privacy durante l'addestramento a lungo termine sotto rumore costante, allineando la teoria alle osservazioni empiriche.
2. Abilitazione dell'Addestramento a Lungo Termine: Dimostrando limiti convergenti, il lavoro suggerisce che i sistemi FL possono operare per periodi estesi senza richiedere aumenti illimitati dell'intensità del rumore, che altrimenti degraderebbero l'utilità del modello.
3. Compromesso Ottimizzazione-Privacy: L'analisi di Noisy-FedProx rivela che la regolarizzazione locale (il termine prossimale) può servire come meccanismo per raggiungere una soluzione "vantaggiosa per entrambe le parti", migliorando simultaneamente la stabilità dell'ottimizzazione e le garanzie di privacy.
4. Guida alla Progettazione: I risultati forniscono indicazioni pratiche per la progettazione di sistemi FL, come i benefici di una scala dei client più ampia e la selezione strategica del decadimento del tasso di apprendimento e dei coefficienti prossimali per massimizzare la privacy senza compromettere la convergenza.

Gli autori concludono che il loro lavoro colma una lacuna teorica critica, dimostrando che interazioni locali e globali correttamente strutturate in FL possono preservare garanzie di privacy rigorose senza compromettere fondamentalmente il framework di apprendimento.