Riepilogo Tecnico: Apprendimento Federato di Ordine Zero Potenziato per la Privacy tramite xMK-CKKS su Canali Wireless

1. Enunciato del Problema

L'Apprendimento Federato (FL) consente ai dispositivi edge di addestrare modelli in modo collaborativo senza condividere dati grezzi, ma gli aggiornamenti del modello trasmessi rimangono vulnerabili ad attacchi di inferenza. Sebbene la Crittografia Omomorfica (HE) consenta un'aggregazione che preserva la privacy permettendo ai server di calcolare su dati cifrati, i metodi esistenti "HE-over-the-air" affrontano due limitazioni critiche:

1. Vulnerabilità di Sicurezza: La maggior parte dei metodi si basa su HE a chiave singola, dove tutti i client condividono una chiave segreta. Ciò rende il sistema vulnerabile a client "onesti ma curiosi" (HBC) che possono decifrare gli aggiornamenti di altri utenti, e il compromesso di un singolo client mette a rischio l'intera rete.
2. Dipendenza dalla Stima del Canale: Le implementazioni esistenti di HE a chiave multipla (in particolare xMK-CKKS) richiedono parametri crittografici di grandi dimensioni (ad esempio, modulo $q \approx 2^{109}$ fino a $2^{218}$). Quando combinati con l'aggregazione over-the-air (OTA), le tecniche standard di stima del canale e pre-equalizzazione falliscono. Qualsiasi errore residuo di stima del canale viene moltiplicato per il grande modulo $q$ durante la decifratura, seppellendo il segnale del messaggio (scalato con $\Lambda \approx 2^{40}$) sotto un enorme livello di rumore, causando il fallimento della decifratura.

La domanda centrale affrontata è: È possibile combinare l'HE a chiave multipla con l'aggregazione over-the-air senza stimare o compensare il canale wireless?

2. Metodologia

Gli autori propongono un protocollo a quattro fasi che integra xMK-CKKS (uno schema HE a chiave multipla) con FL di Ordine Zero (ZO) su canali wireless lentamente variabili, dominati dalla linea di vista (LoS) (ad esempio, THz indoor a corto raggio).

Meccanismo Principale: Annullamento Algebrico tramite Ritrasmissione del Canale

Il protocollo evita la stima del canale assicurandosi che le chiavi pubbliche parziali e i testi cifrati sperimentino la stessa realizzazione esatta del canale all'interno di un singolo round di comunicazione. Ciò consente ai termini di cifratura dominanti a modulo elevato di annullarsi algebricamente durante la decifratura.

Le Quattro Fasi:

1. Aggregazione di Chiavi Fresche (Uplink): Ogni dispositivo $i$ trasmette simultaneamente la propria chiave pubblica parziale $b_i$. Il server riceve la sovrapposizione $\tilde{b}_k = \sum h_{i,k} b_i + \text{rumore}$. Crucialmente, il server non stima $h_{i,k}$; trasmette semplicemente $\tilde{b}_k$.
2. Cifratura (Uplink): I dispositivi codificano le loro stime del gradiente ZO ($m_{i,k}$) utilizzando il $\tilde{b}_k$ ricevuto come chiave pubblica e trasmettono i testi cifrati $(c_{0}, c_{1})$. Il server li aggrega over-the-air.
3. Condivisione di Decifratura (Uplink): Il server trasmette il $c_1$ aggregato. I dispositivi calcolano le condivisioni parziali di decifratura $D_j$ utilizzando le proprie chiavi segrete e le trasmettono.
4. Recupero (Downlink): Il server combina il testo cifrato aggregato e le condivisioni di decifratura. Poiché la chiave pubblica $\tilde{b}_k$ e le condivisioni di decifratura sono state generate utilizzando gli stessi coefficienti del canale $h_{i,k}$, il termine che coinvolge il grande modulo $q$ si annulla algebricamente:
   $$\tilde{b}_k + \tilde{S}_k a = \text{piccoli termini di rumore}$$
   dove $\tilde{S}_k$ è la somma pesata per il canale delle chiavi segrete. Il risultato è un termine di rumore limitato indipendente da $q$, consentendo al server di recuperare il messaggio aggregato.

Integrazione di Ordine Zero

Il protocollo utilizza la stima del gradiente di ordine zero, dove ogni dispositivo trasmette solo un singolo scalare cifrato per round. Ciò garantisce che il sovraccarico di comunicazione e cifratura sia indipendente dalla dimensione del modello $d$, rendendo lo schema scalabile. La perturbazione del canale è trattata come una perturbazione limitata all'interno dell'algoritmo di apprendimento piuttosto che come un errore da rimuovere.

3. Contributi Chiave

• HE a Chiave Multipla Agnostica del Canale: Il documento propone il primo protocollo che consente l'aggregazione xMK-CKKS su un canale wireless condiviso senza acquisizione di Informazioni sullo Stato del Canale (CSI) o pre-equalizzazione.
• Annullamento Algebrico: Dimostra che la ritrasmissione di chiavi pubbliche parziali e testi cifrati attraverso la stessa realizzazione del canale causa l'annullamento algebrico dei termini di cifratura scalati con $q$. Ciò impedisce che l'incertezza del canale appaia come un errore amplificato da $q$ che altrimenti distruggerebbe la decifratura.
• Analisi di Convergenza: Gli autori dimostrano che il protocollo preserva il tasso di convergenza standard ZO-FL di $O(1/\sqrt{K})$ fino a un livello di rumore trascurabile. Il rumore residuo del canale e di cifratura entra nello stimatore del gradiente come perturbazioni limitate.
• Sicurezza Potenziata: Lo schema è sicuro contro un server HBC che collude con fino a $N-1$ client, un miglioramento significativo rispetto agli schemi HE a chiave singola in cui un singolo client compromesso rompe il sistema.
• Validazione della Fattibilità: I risultati numerici su MNIST validano che il protocollo funziona con parametri RLWE standard ($n=4096, 8192$) e che il rumore decodificato è trascurabile rispetto al rumore del canale.

4. Risultati

• Convergenza: L'analisi teorica (Teorema 2) mostra che l'algoritmo converge a un intorno della soluzione ottimale con un livello di rumore $\rho$. Per i parametri testati ($n=4096/8192$, $\Lambda=2^{40}$), il livello di rumore è circa $10^{-16}$, trascurabile rispetto al tipico rumore del canale.
• Prestazioni: Gli esperimenti su MNIST (classificazione 0-vs-1) mostrano che il protocollo cifrato raggiunge un'accuratezza di test entro 1% rispetto alla baseline non cifrata.
• Fallimento delle Alternative: Il documento dimostra che la pre-equalizzazione basata su CSI standard (Zero-Forcing o MMSE) fallisce completamente nell'impostazione a chiave multipla. Anche con piccoli errori di stima del canale ($\sigma_{pilot}=0.1$), l'errore residuo viene moltiplicato per $q$, causando la divergenza immediata della perdita di addestramento (saturando vicino a $10^{14}$).
• Sovraccarico: Il sovraccarico di comunicazione per dispositivo è indipendente dalla dimensione del modello. Con una banda di 1 THz, i tempi di trasmissione sono inferiori a 8 ms, rientrando nel tempo di coerenza dei canali THz indoor statici.

5. Significato e Affermazioni

Il documento afferma che il CKKS a chiave singola può scalare a grandi moduli over-the-air utilizzando il beamforming, ma l'impostazione a chiave multipla è fondamentalmente diversa. Nell'HE a chiave multipla, l'annullamento dei termini chiave di grandi dimensioni si basa su un'identità algebrica tra la chiave pubblica aggregata e le condivisioni di decifratura. Se questi termini sperimentano coefficienti di canale diversi (a causa di errori di stima o canali variabili nel tempo), l'annullamento fallisce e il residuo scalato con $q$ distrugge il messaggio.

Il significato di questo lavoro risiede nel risolvere questo conflitto sacrificando la stima del canale per la coerenza del canale. Ritrasmettendo chiavi e dati attraverso la stessa realizzazione di fading, il protocollo garantisce che l'annullamento algebrico si mantenga senza bisogno di conoscere il canale. Ciò consente:

1. Sicurezza più forte: Protezione a chiave multipla contro la collusione.
2. Robustezza: Operatività senza complessa acquisizione CSI o beamforming.
3. Scalabilità: Sovraccarico di comunicazione di ordine zero che non cresce con la dimensione del modello.

Gli autori concludono che, sebbene il protocollo sia attualmente adatto a collegamenti lentamente variabili dominati dalla LoS (come THz indoor fissi), stabilisce un metodo fondamentale per combinare una forte privacy crittografica con l'efficienza del calcolo over-the-air. Il lavoro futuro suggerito include la riduzione del sovraccarico di ritrasmissione delle chiavi e la combinazione del protocollo con la privacy differenziale.