Sintesi Tecnica: TL++: Apprendimento di Traversata con Preservazione dell'Accuratezza e della Privacy per Sistemi Intelligenti Distribuiti

1. Definizione del Problema

I sistemi intelligenti distribuiti (ad es., monitor clinici, flotte autonome) affrontano un trilemma: richiedono l'equivalenza del gradiente centralizzato (per gestire dati non-IID senza degradazione della convergenza), l'efficienza della comunicazione (per evitare lo scambio dell'intero modello) e la sicurezza dei calcoli intermedi (per prevenire la fuga di attivazioni e gradienti).

I paradigmi esistenti non riescono a soddisfare simultaneamente tutti e tre i requisiti:

• Federated Learning (FL): Mantiene i dati locali ma soffre di divergenza del gradiente sotto dati non-IID e comporta elevati costi di comunicazione a causa dello scambio dell'intero modello. L'aggregazione sicura protegge gli aggiornamenti, ma non i calcoli intermedi dello split-learning.
• Split Learning (SL): Riduce la comunicazione trasmettendo solo le attivazioni degli strati di taglio (cut-layer), ma elabora i campioni sequenzialmente (impedendo l'aggregazione dei gradienti tra partecipanti) e trasmette attivazioni/gradienti in chiaro, esponendoli ad attacchi di inversione.
• Traversal Learning (TL): Risolve i problemi di accuratezza e comunicazione costruendo batch virtuali tra i nodi per emulare l'addestramento centralizzato. Tuttavia, il TL standard trasmette i valori intermedi in chiaro, offrendo nessuna garanzia di privacy contro server semi-onesti.

2. Metodologia: Framework TL++

Gli autori propongono TL++, un framework di apprendimento di traversata a due modalità che estende il TL includendo capacità di preservazione della privacy tramite la condivisione segreta additiva (additive secret sharing).

Architettura di Sistema

Il sistema è composto da $N$ nodi client, un Orchestrator (server) e un Helper (server ausiliario).

• Nodi: Detengono i dataset locali e la parte "inferiore" della rete neurale ($f_{node}$).
• Orchestrator: Detiene la parte "superiore" della rete ($f_{server}$), costruisce i batch virtuali e coordina l'addestramento.
• Helper: Un terzo attore non colluso che detiene la seconda quota dei dati sensibili per garantire che l'Orchestrator non possa ricostruire i tensori in chiaro da solo.

Due Modalità Operative

1. Base Mode (Trusted):

   • Funziona in modo identico al normale Traversal Learning.
   • I nodi trasmettono attivazioni in chiaro degli strati di taglio all'Orchestrator.
   • L'Orchestrator esegue il forward pass, calcola la perdita e propaga all'indietro i gradienti.
   • Obiettivo: Raggiungere l'equivalenza del gradiente centralizzato con una comunicazione ridotta (attivazioni rispetto ai modelli completi).

2. Secure Mode (Privacy-Preserving):

   • Additive Secret Sharing: I nodi scompongono ogni attivazione di cut-layer $a$ in due quote: $a^{(1)}$ (inviata all'Orchestrator) e $a^{(2)} = a - a^{(1)}$ (inviata all'Helper).
   • Elaborazione Indipendente: Entrambi i server elaborano indipendentemente le rispettive quote attraverso il modello server $f_{server}$.
   • Ricostruzione: L'Orchestrator ricostruisce l'output $\hat{y} = \hat{y}^{(1)} + \hat{y}^{(2)}$ per calcolare la perdita utilizzando le etichette.
   • Decomposizione del Gradiente: Il gradiente del cut-layer è decomposto additivamente ($G = G^{(1)} + G^{(2)}$). Nessun server vede il gradiente completo in chiaro.

Vincoli Teorici ed Esattezza

Un contributo critico del documento è la formalizzazione delle condizioni in cui la modalità sicura è esatta (matematicamente identica all'addestramento centralizzato):

• Condizione di Linearità: Il protocollo sicuro è esatto solo se le operazioni eseguite indipendentemente sulle quote sono lineari o affini.
• Gestione della Non-linearità: Se $f_{server}$ contiene operazioni non lineari (es. ReLU, Pooling, Softmax) applicate direttamente alle quote senza protocolli non lineari sicuri (come i circuiti garbled), il risultato è un'approssimazione.
• Implicazione: Nell'architettura CNN valutata, il Cut 3 (dopo il primo strato completamente connesso, prima della classificazione finale) permette un'esecuzione sicura esatta perché il percorso del server è lineare. I Cut 1 e 2 coinvolgono strati non lineari sopra il taglio, rendendo i risultati della modalità sicura approssimativi, a meno che non vengano impiegati ulteriori protocolli non lineari sicuri.

3. Contributi Chiave

1. Framework a due modalità: TL++ supporta una modalità base per ambienti fidati e una modalità sicura utilizzando un helper non colluso e la condivisione segreta additiva per proteggere le attivazioni e i gradienti intermedi.
2. Condizione di Esattezza: Gli autori dimostrano che i passaggi forward e backward dei batch virtuali di TL++ sono esatti sulle quote additive se e solo se il percorso del server è lineare o affine. Questo distingue tra scelte architettoniche (un $f_{server}$ non lineare è valido nella modalità base) e vincoli di protocollo (la modalità sicura richiede linearità per l'esattezza).
3. Privacy Scopata: Il sistema fornisce una privacy a livello di attivazione in cui nessuno dei due server osserva i valori intermedi in chiaro, pur riconoscendo i limiti (le etichette e i valori di output rimangono visibili all'Orchestrator per il calcolo della perdita).
4. Analisi della Comunicazione: Il documento analizza il compromesso tra profondità del taglio, dimensione del payload e costi di sincronizzazione, dimostrando che tagli più profondi riducono la dimensione delle attivazioni ma possono aumentare l'overhead di sincronizzazione lato nodo.

4. Risultati Sperimentali

Il framework è stato valutato su CIFAR-10 (classificazione di immagini) e BioGPT/PubMedQA (NLP biomedico con LoRA).

Accuratezza (CIFAR-10)

• Baseline Centralizzata: 92.03% di accuratezza.
• TL++ Base (Cut 1): 91.41% (gap dello 0.62%).
• TL++ Secure (Cut 3 - Esatto): 90.93% (gap dell'1.10%).
• Confronto: TL++ supera significativamente i baseline di FL (es. FedAvg al 74.56%) e lo standard Split Learning (78.88%), dimostrando che la costruzione di batch virtuali recupera l'utilità centralizzata anche in condizioni non-IID.
• Secure vs. Base: La configurazione sicura esatta (Cut 3) mantiene un'alta accuratezza, mentre le configurazioni sicure approssimate (Cut 1 e 2) mostrano gap leggermente maggiori a causa delle approssimazioni non lineari.

Efficienza della Comunicazione

• Riduzione del Payload: TL++ Base Cut 1 riduce il payload di comunicazione per step di 13.1× rispetto alla sincronizzazione del modello completo (FedAvg).
• Overhead della Modalità Sicura: La modalità sicura raddoppia circa il traffico del percorso di taglio a causa della condivisione, ma rimane significativamente più efficiente del FL a modello completo (es. Secure Cut 1 è 4.2× più piccolo di FedAvg).
• Latenza: Sebbene il payload sia ridotto, la modalità sicura introduce coordinazione tra i server. Tuttavia, il calcolo in parallelo mantiene bassi i tempi di calcolo sul percorso critico (~120ms), sebbene il tempo di rete aumenti per le configurazioni sicure.

BioGPT/PubMedQA

• Le modalità TL++ Base e Secure hanno raggiunto un'accuratezza comparabile al fine-tuning centralizzato (circa 81-83%) e hanno superato significativamente i baseline di FL e lo standard SL, convalidando l'approccio per compiti NLP con tuning efficiente dei parametri (LoRA).

5. Significato e Dichiarazioni

Il documento sostiene che TL++ offre un punto di equilibrio tra Federated Learning e Split Learning per l'IA distribuita:

• Utilità: Si avvicina all'utilità di livello centralizzato recuperando il comportamento esatto del gradiente del mini-batch attraverso i batch virtuali, risolvendo il degrado dell'accuratezza visto in FL sotto dati non-IID.
• Efficienza: Riduce i costi di comunicazione trasmettendo solo le attivazioni/gradienti degli strati di taglio invece dei parametri completi del modello.
• Privacy: Introduce uno strato di privacy configurabile dove i tensori intermedi sono condivisi segretamente, proteggendoli da un singolo server semi-onesto, a condizione che sia disponibile un helper non colluso.

Limitazioni e Ambito:
Gli autori sono cauti riguardo all'ambito delle loro garanzie di privacy:

• Modello di Minaccia: La sicurezza è limitata a un setting a due server semi-onesti e non collusi. Non protegge contro server collusi, deviazioni maliziose o attacchi side-channel (timing, metadati).
• Divulgazione delle Etichette: L'attuale protocollo richiede che l'Orchestrator veda le etichette e i valori di output per il calcolo della perdita.
• Esattezza: L'addestramento sicuro esatto richiede percorsi del server lineari; le operazioni non lineari richiedono ulteriori protocolli MPC sicuri o risultano in approssimazioni.
• Deployment: Il sistema è più efficace quando la comunicazione è il collo di bottiglia e l'eterogeneità dei dati rende inaffidabile lo standard FL.

In sintesi, TL++ dimostra che è possibile combinare assenza di perdita di utilità, efficienza della comunicazione e privacy scopiata dei valori intermedi nell'addestramento distribuito, a patimento che vengano soddisfatti specifici assunti architettonici e di fiducia (non-collusione, percorsi di quota lineari per l'esattezza).