Privacy-Preserving Explainable AIoT Application via SHAP Entropy Regularization

1. Il Problema: Privacy nelle Spiegazioni AIoT

L'integrazione dell'Intelligenza Artificiale dell'Internet delle Cose (AIoT) negli ambienti domestici intelligenti ha aumentato la necessità di modelli trasparenti e interpretabili per garantire la fiducia degli utenti e la conformità normativa (es. GDPR, AI Act dell'UE). Metodi di Explainable AI (XAI) post-hoc, come SHAP (SHapley Additive exPlanations) e LIME, sono ampiamente utilizzati per spiegare il comportamento dei modelli.

Tuttavia, il paper evidenzia un paradosso critico: queste spiegazioni, sebbene destinate a migliorare la trasparenza, possono diventare vettori di fuga di informazioni sensibili. Analizzando i valori SHAP, un attaccante può inferire:

• Pattern comportamentali: Abitudini quotidiane, orari di sonno, presenza in casa.
• Utilizzo specifico degli elettrodomestici: Quando vengono accesi forno, lavatrice o bollitore.
• Informazioni sulla membership: Determinare se i dati di una specifica famiglia facevano parte del set di addestramento (Membership Inference Attacks).

Le tecniche esistenti di protezione della privacy (come la Differenziale Privacy - DP o il Federated Learning - FL) si concentrano principalmente sulla protezione dei dati grezzi o dei parametri del modello, ma spesso trascurano i rischi specifici legati all'output delle spiegazioni stesse.

2. Metodologia: SHAP Entropy Regularization

Gli autori propongono un approccio innovativo che integra la regolarizzazione direttamente nel processo di addestramento del modello per mitigare la privacy leakage a livello di spiegazione.

A. Concetto Chiave: Entropia SHAP

L'ipotesi fondamentale è che le spiegazioni con bassa entropia (dove poche caratteristiche dominano la previsione) siano più facili da interpretare per un attaccante e più propense a rivelare pattern memorizzati o specifici. Al contrario, una distribuzione più uniforme delle attribuzioni (alta entropia) rende più difficile associare la spiegazione a un individuo specifico.

B. Modello Proposto: LSTM Regolarizzato

Il team ha sviluppato un modello di regressione basato su LSTM (Long Short-Term Memory) per la previsione del consumo energetico, modificato con una funzione di perdita personalizzata:
$$L_{total} = L_{mse} + \lambda \cdot (\alpha - H_{SHAP}(x))^2$$

Dove:

• $L_{mse}$: L'errore quadratico medio (per mantenere l'accuratezza predittiva).
• $H_{SHAP}(x)$: L'entropia di Shannon calcolata sui valori SHAP normalizzati per un dato input.
• $\alpha$: Una soglia target di entropia desiderata (che promuove una distribuzione uniforme).
• $\lambda$: Un iperparametro che controlla la forza della regolarizzazione.

La funzione di penalità scoraggia le distribuzioni di attribuzione concentrate, forzando il modello a distribuire l'importanza delle caratteristiche in modo più omogeneo durante l'addestramento.

C. Attacchi di Valutazione (Threat Model)

Per validare l'efficacia della proposta, gli autori hanno progettato una suite di 5 attacchi basati su SHAP in uno scenario "gray-box" (l'attaccante conosce i valori SHAP ma non i parametri del modello o i dati di addestramento):

1. SHAP Entropy Attack: Identifica campioni memorizzati analizzando l'entropia bassa.
2. SHAP Similarity Attack: Usa la similarità del coseno per inferire la membership confrontando vettori SHAP.
3. SHAP Divergence Attack: Misura la divergenza Jensen-Shannon tra le distribuzioni SHAP.
4. SHAP Rank Correlation Attack: Analizza la correlazione di Spearman tra i ranghi delle caratteristiche.
5. SHAP Rank Consistency Attack: Misura la coerenza ordinale usando il Tau di Kendall.

3. Contributi Chiave

1. Nuovo Approccio di Privacy: Introduzione della SHAP Entropy Regularization come metodo per proteggere la privacy direttamente nell'output delle spiegazioni, senza compromettere eccessivamente l'utilità del modello.
2. Implementazione su Dati Temporali: Sviluppo di un modello LSTM regolarizzato specifico per dati sequenziali di consumo energetico domestico.
3. Framework di Attacco Completo: Creazione di una suite diversificata di attacchi basati su SHAP per valutare la privacy da molteplici angolazioni (stabilità, divergenza, coerenza dei ranghi).
4. Validazione Sperimentale: Dimostrazione empirica che il metodo proposto supera sia i modelli baseline che quelli con Differenziale Privacy (DP) standard.

4. Risultati Sperimentali

Gli esperimenti sono stati condotti sul dataset REFIT (dati di consumo energetico di 20 famiglie nel Regno Unito), utilizzando tre case di test. I modelli confrontati sono stati:

• Baseline LSTM: Modello standard senza difese.
• DP-LSTM: Modello con Differenziale Privacy (tramite la libreria Opacus).
• SHAP-Regularized LSTM: Il modello proposto.

Risultati Principali:

• Protezione della Privacy: Il modello regolarizzato ha mostrato sistematicamente entropia SHAP più alta e divergenza maggiore, con similarità, correlazione e coerenza dei ranghi più basse rispetto ai baseline. Questo indica una significativa riduzione della capacità di un attaccante di inferire informazioni sensibili o la membership nel set di addestramento.
• Utilità (Accuracy): Il modello ha mantenuto un'alta accuratezza predittiva (MAE - Mean Absolute Error), con un overhead minimo rispetto al modello baseline. In alcuni casi, ha superato il DP-LSTM, che spesso degrada l'utilità a causa del rumore aggiunto.
• Visualizzazione: Le mappe di calore SHAP del modello proposto mostrano attribuzioni più diffuse e meno concentrate su singoli elettrodomestici (es. bollitore, forno) rispetto al baseline, che invece rivelava pattern comportamentali molto chiari e ripetitivi.

5. Significato e Implicazioni

Questo lavoro è significativo perché sposta il paradigma della privacy nell'AIoT: non basta proteggere i dati di input, ma è necessario proteggere anche le spiegazioni generate dai modelli.

• Sicurezza e Fiducia: Offre un framework pratico per rendere le applicazioni AIoT domestiche conformi alle normative sulla privacy senza sacrificare la trasparenza richiesta dagli utenti.
• Superiorità rispetto alla DP: Dimostra che la regolarizzazione basata sull'entropia delle spiegazioni può essere più efficace della sola Differenziale Privacy nel mitigare gli attacchi di inferenza specifici per le spiegazioni, mantenendo al contempo una migliore utilità del modello.
• Futuro della Ricerca: Apre la strada a meccanismi adattivi per bilanciare privacy e fedeltà delle spiegazioni in tempo reale e all'estensione di questi metodi a dati multimodali.

In sintesi, il paper propone una soluzione elegante ed efficace per il dilemma "Privacy vs. Spiegabilità", garantendo che le spiegazioni AI rimangano utili per l'utente finale ma inutilizzabili per scopi malevoli di profilazione comportamentale.