Riepilogo Tecnico: Apprendimento Modulato per la Regressione Privata e Distribuita con un Campione per Client

Enunciato del Problema

Questo lavoro affronta una limitazione critica nei paradigmi standard di Apprendimento Federato (FL) e di Apprendimento con Privacy Differenziale (DP): l'assunzione che i dispositivi client possiedano dataset locali sufficientemente grandi da calcolare aggiornamenti del gradiente significativi. In molti scenari reali—come tracker di attività fisica, sensori indossabili e monitor di eventi quotidiani—i client potrebbero detenere un solo campione di dati (o pochissimi).

In questo regime "un campione per client", l'FL standard basato su DP-SGD fallisce perché:

1. Aggiornamenti Locali Inaffidabili: Un gradiente locale calcolato su un singolo punto è altamente rumoroso e inaffidabile per stimare i coefficienti del modello, specialmente nelle prime fasi dell'addestramento.
2. Amplificazione del Rumore di Privacy: Il rumore aggiunto per soddisfare la privacy differenziale degrada ulteriormente l'utilità di questi aggiornamenti locali già deboli, rendendo inefficace la convergenza del modello globale.

Il lavoro si chiede: Possiamo abilitare un'apprendimento distribuito utile e con privacy differenziale quando ogni client contribuisce con un solo punto dati?

Metodologia

Gli autori propongono un framework di Apprendimento Modulato. Invece di inviare coefficienti del modello (come nell'FL standard) o gradienti grezzi, i client trasmettono una rappresentazione trasformata privatamente del loro singolo campione di dati. Il server aggrega quindi queste rappresentazioni per recuperare una stima non distorta del gradiente centralizzato.

Meccanismo Principale: Trasformazione Modulata in Coseno

Il protocollo opera a turni. In ogni turno $t$, il server mantiene un modello globale $\beta_t$ e seleziona una direzione di modulazione $v_t$ (ortogonale a $\beta_t$).

1. Elaborazione lato Client:
Dato un campione privato $(x_i, y_i)$, il client esegue i seguenti passaggi:

• Modulazione: Il client campiona una fase casuale $\phi_i \sim \text{Unif}[0, 2\pi]$ e calcola un vettore di caratteristiche modulato:
  $$g_i = (1 - \alpha)x_i + \lambda \cos(\omega \langle x_i, v_t \rangle + \phi_i) v_t$$
  Qui, $\alpha, \lambda, \omega$ sono iperparametri. Il termine $(1-\alpha)x_i$ preserva il segnale, mentre il termine coseno introduce una perturbazione contrattiva e protettiva della privacy.
• Iniezione di Rumore: Per garantire la privacy differenziale locale (LDP) $(\epsilon, \delta)$, il client aggiunge rumore gaussiano $\xi_i \sim \mathcal{N}(0, \sigma_{DP}^2 I)$:
  $$\tilde{g}_i = g_i + \xi_i$$
• Trasmissione: Il client invia la coppia $(\tilde{g}_i, y_i)$ al server. Si noti che $y_i$ è trattata come pubblica/non sensibile in questa configurazione specifica, mentre $x_i$ è l'input privato.

2. Aggregazione e De-biasing lato Server:
Il server riceve $\{(\tilde{g}_i, y_i)\}_{i=1}^K$ ed esegue correzioni algebriche per rimuovere il pregiudizio introdotto dalla modulazione e dal rumore:

• Stima della Covarianza: Il server calcola la covarianza empirica delle caratteristiche ricevute e sottrae i termini di bias noti (la varianza della modulazione e la varianza del rumore):
  $$\hat{\Sigma}_x = \frac{1}{(1-\alpha)^2} \left( \frac{1}{K}\sum \tilde{g}_i \tilde{g}_i^\top - \frac{\lambda^2}{2} v_t v_t^\top - \sigma_{DP}^2 I \right)$$
  Il Teorema 3.1 e il Corollario 3.2 dimostrano che $\hat{\Sigma}_x$ è un stimatore non distorto della vera covarianza dei dati $\Sigma_x = \frac{1}{K}\sum x_i x_i^\top$.
• Recupero del Gradiente: Il server costruisce uno stimatore del gradiente non distorto $G$:
  $$G = \hat{\Sigma}_x \beta_t - \frac{1}{1-\alpha} \frac{1}{K} \sum y_i \tilde{g}_i$$
  Questo $G$ soddisfa $\mathbb{E}[G] = \nabla L(\beta_t)$, corrispondendo al gradiente centralizzato non privato in termini di valore atteso.

Varianti

• Modulazione Multi-Vettore: Per ridurre la costante di Lipschitz (e quindi il rumore richiesto $\sigma_{DP}$), gli autori generalizzano il metodo per utilizzare $m$ vettori ortonormali. Questo riduce il limite di sensibilità da $|1-\alpha| + \lambda\omega$ a $|1-\alpha| + \frac{\lambda\omega}{\sqrt{m}}$.
• Stimatore Non Iterativo (One-Shot): Il lavoro deriva anche uno stimatore dei momenti in forma chiusa che risolve per $\beta$ in un singolo passaggio, evitando i costi di composizione della privacy dei metodi iterativi.

Contributi Chiave

1. Stima Non Distorta del Gradiente da Singoli Campioni: Il lavoro dimostra che trasformando i dati tramite una specifica mappa modulata in coseno e applicando un de-biasing post-elaborazione, un server può recuperare una stima del gradiente non distorta anche quando i client possiedono un solo campione ciascuno.
2. Ottimizzazione del Trade-off Privacy-Utilità:
   • Il metodo stabilisce un limite inferiore di Cramér-Rao sull'errore di ricostruzione, dimostrando che i parametri di modulazione ($\lambda, \omega$) aumentano attivamente la difficoltà di ricostruire l'input privato $x_i$ oltre la protezione offerta dal solo rumore gaussiano.
   • La variante multi-vettore è dimostrata ridurre la varianza del rumore richiesta di un fattore legato a $\sqrt{m}$, migliorando l'utilità per un budget di privacy fisso.
3. Garanzie Teoriche:
   • Non Distorsione: Prova rigorosa che lo stimatore del server è non distorto.
   • Convergenza: Il lavoro stabilisce la normalità asintotica dello stimatore e deriva limiti di varianza, mostrando i tassi di convergenza per la discesa del gradiente stocastica proiettata.
   • Contabilità della Privacy: Il metodo utilizza la contabilità della privacy differenziale concentrata a zero (zCDP), che offre limiti di composizione più stretti rispetto alla standard $(\epsilon, \delta)$-DP per turni sequenziali.
4. Limiti Inferiori di Ricostruzione: Gli autori derivano un limite inferiore teorico sull'errore quadratico medio di qualsiasi attaccante non distorto che tenti di ricostruire $x_i$ dal messaggio trasmesso, quantificando la protezione della privacy direttamente in termini di parametri del protocollo.

Risultati Sperimentali

Gli autori hanno valutato l'approccio su cinque dataset di regressione reali (ad esempio, emissioni di CO2, Equità nella durata del matrimonio, Scelta della modalità) in cui ogni esempio di addestramento è stato trattato come un client separato.

• Confronto: Gli stimatori Modulato Iterativo e Modulato One-Shot proposti sono stati confrontati con una baseline DP-SGD FedAvg ottimizzata.
• Risultati:
  • Alta Privacy (Basso $\epsilon$): Lo stimatore Modulato One-Shot ha superato i metodi iterativi. Poiché si basa su un'unica rilascio privato, evita la perdita cumulativa di privacy (composizione) intrinseca nell'iterativo DP-SGD, rendendolo più robusto quando il budget di privacy è estremamente limitato.
  • Privacy Moderata/Bassa (Alto $\epsilon$): Lo stimatore Modulato Iterativo è migliorato costantemente con più turni e ha infine superato il metodo one-shot e la baseline DP-SGD nella maggior parte dei compiti.
  • Prestazioni della Baseline: DP-SGD ha faticato significativamente in questo regime perché il rumore richiesto per proteggere un singolo campione per turno, cumulato su più turni, ha sopraffatto il segnale.

Significato e Affermazioni

Il lavoro afferma di risolvere un regime specifico in cui l'apprendimento federato standard è inapplicabile: l'apprendimento da dispositivi con dati estremamente limitati (un campione) sotto vincoli di privacy rigorosi.

• Cambiamento di Paradigma: A differenza dell'FL privato tradizionale che condivide aggiornamenti del modello (gradienti/pesi), questo approccio condivide rappresentazioni di dati privatizzate. Questo cambiamento permette al server di eseguire correzioni statistiche globali impossibili quando i client inviano solo gradienti locali rumorosi.
• Praticità: Il metodo abilita dispositivi con dati minimi a collaborare nell'apprendimento di modelli di regressione accurati senza sacrificare la privacy individuale o richiedere grandi dataset locali.
• Rigor Teorico: Il lavoro fornisce un quadro teorico completo, incluse prove di non distorsione, analisi della varianza, garanzie di convergenza e limiti inferiori di ricostruzione, stabilendo che il metodo non è solo euristico ma statisticamente solido.

Gli autori concludono che questo approccio rende fattibile il dispiegamento di machine learning con protezione della privacy in scenari precedentemente considerati impossibili a causa della scarsità di dati e dei requisiti di privacy.