Sintesi Tecnica: Pre-addestrato, Congelato, ma ancora con Perdite (Leaking)

1. Definizione del Problema

Il documento affronta una lacuna critica nella valutazione della privacy dei Modelli Fondazionali EEG (EEG-FM) come BIOT, LaBraM e EEGPT. Gli attuali audit della privacy valutano tipicamente gli embedding rilasciati (rappresentazioni intermedie) contro un singolo endpoint: ricostruzione della forma d'onda grezza, inferenza dell'appartenenza (membership inference), collegamento dell'identità o privacy differenziale (DP) sull'head a valle.

Gli autori sostengono che questi audit a singolo endpoint siano insufficienti. Un embedding rilasciato può non supportare una ricostruzione ad alta fedeltà della forma d'onda grezza o mostrare segnali deboli di inferenza dell'appartenenza, ma può comunque preservare attributi spettrali decodificabili (es. strutture centrate della Densità Spettrale di Potenza - PSD) rilevanti per gli stati del soggetto. Inoltre, i risultati del collegamento dell'identità sono spesso interpretati erroneamente; un forte recupero dell'identità in contesti "stesso-soggetto" non implica il recupero per soggetti "tenuti fuori" (quelli non presenti nel set di addestramento o di riferimento). Il problema centrale è la mancanza di un framework di audit congiunto che valuti simultaneamente tutti e quattro gli endpoint per determinare se una decisione di rilascio sia sicura, concentrandosi specificamente su come gli attributi spesttrali perdano informazioni attraverso diversi encoder e dataset.

2. Metodologia

Il documento propone un audit della privacy delle rappresentazioni a controllo diviso (split-controlled) che costringe ogni affermazione sulla privacy a sopravvivere a specifici controlli di falsificazione.

2.1 Modello di Minaccia

• Vittima: Un servizio EEG-FM che rilascia embedding (non forme d'onda grezze).
• Attaccante: Possiede un set ombra di finestre EEG e può addestrare decoder dagli embedding rilasciati verso attributi spettrali. Per il collegamento dell'identità, l'attaccante possiede un set di riferimento di soggetti candidati.
• Obiettivi:
  1. Recupero dell'Attributo: Inferire attributi spettrali (PSD centrata) dagli embedding.
  2. Collegamento al Set di Riferimento: Assegnare un embedding a un soggetto noto in un set di riferimento.
  3. Audit della Privacy: Testare se le difese (rumore, bottleneck, DP) riducano le perdite senza distruggere l'utilità.

2.2 Protocollo di Audit e Controlli

L'audit valuta gli embedding sotto quattro endpoint standard ma applica rigorosi controlli di divisione (split) per evitare affermazioni eccessive:

• Controllo Copia-Grezza (Raw-Copy Check): Verifica se finestre adiacenti siano quasi duplicati (similarità del coseno $\ge$ 0,99).
• Divisione Temporale (Temporal-Gap Split): Separa le finestre nel tempo per escludere artefatti da finestre adiacenti.
• Divisione per Soggetti Disgiunti (Subject-Disjoint Split): Garantisce che i soggetti di training e test non si sovrappongano. Questo è il controllo critico per la perdita di attributi in soggetti tenuti fuori (held-out). Il collegamento dell'identità non viene rivendicato qui perché i candidati sono assenti.
• Identità del Set di Riferimento: Il collegamento dell'identità (BPID@1) è valutato solo quando esistono soggetti candidati nel set di riferimento dell'attaccante.
• Controlli Negativi: Ogni risultato di perdita è confrontato con embedding gaussiani casuali ed embedding permutati localmente tramite split per stabilire una linea di base.

2.3 Framework Teorico

Gli autori introducono un Teorema del Ponte Cross-Encoder e un Punteggio di Disaccordo tra Endpoint di Audit (AEDS):

• Trasferibilità del Ponte: Dimostrano che se due encoder condividono una sovrapposizione non banale del proiettore delle coordinate degli attributi ($\beta$), un decoder di attributi ridge addestrato su un encoder congelato può trasferirsi allo split di test di un altro encoder (soggetto tenuto fuori) tramite un ponte lineare adattato. Il limite inferiore del guadagno è derivato come $\sqrt{\beta/(1 + \tau^2_t)} - \epsilon_{br} - \rho_0$.
• AEDS: Una regola decisionale definita come $AEDS = L_A - \max(R_M, R_I)$, dove $L_A$ è il guadagno di perdita dell'attributo, $R_M$ è il residuo di inferenza dell'appartenenza e $R_I$ è il residuo di collegamento dell'identità. Un AEDS positivo indica che la perdita dell'attributo è il fattore di rischio decisivo, anche se altri endpoint appaiono sicuri.

2.4 Valutazione delle Difese

L'audit testa le difese standard:

• Rumore Gaussiano: Aggiunto agli embedding.
• Bottleneck & Dropout: Riduzione dimensionale e rimozione delle coordinate.
• DP-SGD: Fine-tuning differenzialmente privato dell'head a valle con clipping per campione e rendicontazione RDP.
• Attaccante Adattivo: Un attaccante consapevole del rumore di tipo Wiener che pre-sbianca (pre-whitens) gli embedding basandosi sui livelli di rumore noti.

3. Risultati Chiave

3.1 Perdita di Attributi Spettrali

In otto configurazioni di valutazione (BIOT, LaBraM, EEGPT su EEGMMI; LaBraM su Sleep-EDF, LIMO, CHB-MIT), gli attributi spettrali sono costantemente recuperabili dagli embedding.

• Perdita in Soggetti Disgiunti: In tutti gli split di soggetti disgiunti, il guadagno della PSD centrata rimane significativamente positivo (limiti inferiori dell'intervallo di confidenza al 95% compresi tra 0,157 e 0,487) rispetto ai controlli negativi corrispondenti.
• Trasferimento Cross-Encoder: Un singolo decoder ridge addestrato su un encoder (es. BIOT) si trasferisce con successo agli split di soggetti tenuti fuori di altri encoder (LaBraM, EEGPT) tramite un ponte lineare. La sovrapposizione del proiettore $\beta$ stimata è nell'intervallo $[0,008, 0,198]$.
• Rilevanza per il Deployment: In un compito di classificazione dello stadio del sonno con Sleep-EDF, un attaccante ha ottenuto un'accuratezza del 70,4% sui soggetti tenuti fuori, superando significativamente i controlli, anche con rumore gaussiano ($\sigma=1,0$).

3.2 Ambito del Collegamento dell'Identità

• Collegamento al Set di Riferimento: Un forte collegamento dell'identità (BPID@1 fino a 0,950) si osserva solo quando l'attaccante possiede un set di riferimento contenente i soggetti candidati (split stesso-soggetto o con sovrapposizione).
• Soggetti Tenuti Fuori: Non viene rivendicato alcun recupero dell'identità per gli split di soggetti disgiunti. Il documento distingue esplicitamente tra "collegamento al set di riferimento" (possibile) e "recupero dell'identità per soggetti tenuti fuori" (non dimostrato).

3.3 Disaccordo tra Endpoint (AEDS)

• Fallimento del Singolo Endpoint: Gli audit standard (copia-grezza, inferenza dell'appartenenza, identità del set di riferimento) spesso approvano il rilascio. Ad esempio, le AUC di inferenza dell'appartenenza erano basse (0,50–0,70) e la ricostruzione grezza era negativa.
• Fallimento dell'Audit Congiunto: L'AEDS è stato positivo in tutti gli otto casi di cella con intervallo di confidenza corrispondente ($p < 0,001$). Ciò significa che il segnale di perdita dell'attributo è abbastanza forte da bloccare una decisione di rilascio, anche quando gli endpoint di appartenenza e identità suggeriscono sicurezza.

3.4 Fallimento delle Difese

• Rumore & DP: Il rumore gaussiano standard e il DP-SGD sull'head a valle non sono riusciti a chiudere il canale dell'attributo mantenendo l'utilità.
  • A un livello di utilità preservata $\epsilon \in \{4, 8\}$, il guadagno dell'attributo è rimasto statisticamente indistinguibile dalla baseline non privata.
  • Solo a $\epsilon=1$ il guadagno dell'attributo è sceso, ma l'utilità del compito è crollata (l'accuratezza bilanciata è scesa sotto le soglie operative).
• Attacchi Adattivi: Un attaccante adattivo consapevole del rumore (tipo Wiener) ha migliorato le prestazioni rispetto alle baseline non adattive, ma non ha chiuso il divario di privacy; il canale dell'attributo è rimasto aperto.
• Bottleneck/Dropout: Queste trasformazioni hanno ridotto leggermente il collegamento dell'identità, ma hanno lasciato la perdita dell'attributo positiva.

4. Significato e Rivendicazioni

Il documento presenta una rivendicazione negativa circoscritta riguardo alla privacy degli embedding EEG-FM:

1. Gli embedding non sono un confine di privacy per gli attributi spettrali: Gli embedding rilasciati da BIOT, LaBraM e EEGPT perdono attributi spettrali decodificabili (PSD centrata) anche quando la ricostruzione della forma d'onda grezza e l'inferenza dell'appartenenza sono deboli.
2. Gli audit a singolo endpoint sono insufficienti: Affidarsi solo alla ricostruzione grezza, all'inferenza dell'appartenenza o al collegamento dell'identità porta a falsi positivi (rilascio di embedding non sicuri). Il framework AEDS è proposto per rilevare questo disaccordo.
3. Le difese attuali sono inefficaci: Le difese standard (rumore, DP, bottleneck) non eliminano simultaneamente la perdita di attributi e preservano l'utilità nei regimi testati.
4. Le affermazioni sull'identità devono essere circoscritte: I risultati forti sull'identità sono validi solo per le impostazioni di set di riferimento (utenti registrati) e non possono essere estrapolati ai soggetti tenuti fuori.

Limitazioni riconosciute dagli Autori:

• Le scoperte si basano su dataset specifici (EEGMMI, Sleep-EDF, LIMO, CHB-MIT) e modelli; non viene rivendicata la generalizzazione a livello di popolazione per tutti i dati EEG clinici.
• I risultati teorici (Teoremi 1-5) sono dichiarazioni di condizioni sufficienti e modelli stilizzati, non parametri adattati per specifici encoder.
• Gli esperimenti sul rumore di addestramento sono proxy e non costituiscono garanzie formali di DP.

Conclusione: Il documento conclude che gli embedding EEG-FM non dovrebbero essere trattati come dati de-identificati solo perché non sono forme d'onda grezze. Un framework di audit congiunto che dia priorità alla perdita di attributi e ai confini di rivendicazione controllati tramite split è necessario prima di rilasciare tali rappresentazioni.