Adversary-Aware Private Inference over Wireless Channels

Sintesi Tecnica: Inferenza Privata Consapevole dell'Avversario su Canali Wireless

Definizione del Problema
Il documento affronta i rischi per la privacy inerenti al sensing basato su IA presso i dispositivi edge wireless, specificamente all'interno di framework di inferenza collaborativa. In questi sistemi, i dispositivi edge estraggono caratteristiche dai dati di sensing grezzi (ad esempio, immagini) e le trasmettono a un server remoto per la predizione. Sebbene ciò riduca il carico computazionale sul dispositivo, espone le rappresentazioni intermedie delle caratteristiche a intercettazioni. I meccanismi di privacy esistenti, come la Differential Privacy (DP), si concentrano tipicamente sulla protezione di dataset finiti o sul garantire l'indistinguibilità dell'output di un dataset. Tuttavia, il documento osserva che la protezione per le singole caratteristiche trasmesse su canali wireless, in particolare contro attacchi di ricostruzione da parte di un avversario che osserva la trasmissione, non è stata rigorosamente affrontata. La sfida principale consiste nel progettare una pipeline di trasmissione che minimizzi l'overhead di comunicazione garantendo al contempo un elevato errore di ricostruzione per un avversario, senza degradare significativamente l'accuratezza dell'inferenza del server.

Metodologia
Gli autori propongono una pipeline di trasmissione end-to-end per l'inferenza collaborativa che integra la preservazione della privacy direttamente nei livelli fisici e di elaborazione del segnale. Il framework opera attraverso le seguenti fasi:

1. Estrazione delle Caratteristiche e Riduzione della Dimensionalità: Un dispositivo edge estrae un vettore di caratteristiche $F(x)$ da un input grezzo $x$. Questo vettore viene ritagliato (clipped) per garantire una sensibilità limitata e poi proiettato in uno spazio a dimensionalità inferiore ($r \leq d$) utilizzando una matrice di codifica lineare $W$.
2. Iniezione Locale della Privacy: Per garantire la privacy locale, il dispositivo applica il meccanismo Gaussiano aggiungendo rumore Gaussiano al vettore codificato. Questo passaggio è governato da vincoli di $(\epsilon, \delta)$-feature Differential Privacy (DP).
3. Trasmissione Wireless: Il vettore perturbato è scalato da un coefficiente di potenza di trasmissione e trasmesso su un canale wireless a fading di blocco. Il modello tiene conto delle imperfezioni del canale e del rumore Gaussiano additivo.
4. Elaborazione Lato Server: Il server riceve il segnale rumoroso, lo riscala e applica un decoder lineare per ricostruire la rappresentazione della caratteristica per la classificazione.
5. Modello Avversario: Un avversario è modellato come un intercettatore che osserva la trasmissione su un canale wireless separato con il proprio coefficiente di canale e rumore. L'avversario tenta di ricostruire le caratteristiche originali utilizzando un estimatore lineare.

Il documento analizza i trade-off tra la dimensionalità delle caratteristiche proiettate, l'entità del rumore di privacy e le condizioni del canale wireless. Vengono derivati limiti teorici sull'accuratezza della classificazione del server e sull'MSE (Mean Squared Error) dell'avversario nella ricostruzione delle caratteristiche.

Contributi Chiave
Il documento introduce un nuovo framework di privacy denominato feature differential privacy, specificamente progettato per proteggere le rappresentazioni intermedie delle caratteristiche durante la trasmissione wireless. I principali contributi includono:

• Garanzie Teoriche sulla Ricostruzione Avversaria: Gli autori derivano un limite inferiore rigoroso sull'MSE dell'avversario in funzione dei parametri del modello, delle condizioni del canale, della potenza di trasmissione e del rumore. Questo limite quantifica la difficoltà che un avversario affronta nel recuperare informazioni sensibili.
• Dimensione di Proiezione Ottimale: Il documento stabilisce la dimensione di proiezione ottimale $r^*$ necessaria per soddisfare una soglia target di MSE avversario minimizzando la latenza. Identifica due regimi: un regime "limitato dalla privacy", in cui la dimensionalità scala con i parametri di privacy ($r^* \propto \epsilon^2/d$), e un regime "limitato dal rumore", in cui la dimensionalità satura verso una costante determinata dal rumore del canale.
• Limiti di Accuratezza della Classificazione: Viene derivato un limite inferiore sull'accuratezza della classificazione sotto vincoli di differential privacy, catturando esplicitamente i trade-off tra dimensioni delle caratteristiche, rumore di privacy e imperfezioni del canale wireless.
• Estensione Massive MIMO: Il framework è esteso a un contesto Massive MIMO, dimostrando che l'hardening del canale e la propagazione favorevole possono intrinsecamente sopprimere la fuga di informazioni verso gli intercettatori, causando l'avvicinarsi asintotico dell'errore di ricostruzione dell'avversario alla dimensione dello spazio delle caratteristiche (ottenendo di fatto nessuna informazione) all'aumentare del numero di antenne.

Risultati
L'analisi teorica e le visualizzazioni (ad esempio, Fig. 2 e Fig. 3) dimostrano quanto segue:

• Trade-off Privacy-Utilità: Man mano che il parametro di privacy $\epsilon$ diminuisce (privacy più stretta), l'MSE avversario aumenta, indicando una protezione più forte. Tuttavia, aumentare la dimensione della caratteristica $d$ senza regolare il rumore di privacy può degradare l'accuratezza della classificazione lato server a causa dell'amplificazione del rumore di perturbazione.
• Impatto della Dimensionalità: Nei regimi di alta privacy, l'aumento della dimensionalità amplifica il rumore, riducendo l'accuratezza. Al contrario, nei regimi di bassa privacy, una maggiore dimensionalità può aiutare la classificazione fino a raggiungere un punto di svolta critico.
• Resilienza Avversaria: I limiti inferiori derivati confermano che il meccanismo proposto limita efficacemente la capacità dell'avversario di ricostruire le caratteristiche. L'uso di una matrice di compressione casuale (con voci provenienti da una distribuzione Laplaciana) combinato con il rumore Gaussiano assicura che il meccanismo soddisfi la $(\epsilon, \delta)$-feature DP.
• Benefici Massive MIMO: Nel limite Massive MIMO, la capacità dell'avversario di recuperare le caratteristiche trasmesse svanisce asintoticamente, evidenziando i benefici intrinseci di privacy delle caratteristiche del livello fisico.

Significatività
Il documento sostiene di fornire un framework di trasmissione completo ed efficiente per il sensing basato su IA wireless che si allinea ai criteri standard di privacy, tenendo esplicitamente conto del canale wireless. Integrando la privacy nel processo di trasmissione attraverso la casualità calibrata e la riduzione della dimensionalità, il framework offre approfondimenti teorici rigorosi su come l'encoding consapevole del canale e la perturbazione che preserva la privacy interagiscano per salvaguardare le informazioni sensibili. Il lavoro colma il divario tra garanzie teoriche di privacy e i vincoli pratici della comunicazione wireless, offrendo una base per progettare sistemi di inferenza edge consapevoli della privacy. Gli autori notano che il lavoro futuro esplorerà modelli di acquisizione di dati strutturati e meccanismi di riduzione della dimensionalità non lineari per colmare ulteriormente il divario tra teoria e vincoli pratici di sensing.