Nel moderno mondo digitale, le informazioni sensibili sono spesso sparse su molti dispositivi e organizzazioni differenti, dai server ospedalieri agli smartphone personali. Per costruire sistemi intelligenti in grado di individuare schemi insoliti — come una malattia rara nei registri medici o una transazione fraudolenta nei dati bancari — questi sistemi devono solitamente apprendere da enormi quantità di informazioni. Tuttavia, le leggi sulla privacy e le preoccupazioni relative alla sicurezza spesso impediscono alle organizzazioni di condividere i propri dati grezzi con un'autorità centrale. Ciò ha portato all'ascesa di un approccio collaborativo chiamato apprendimento federato (federated learning). Invece di spostare i dati verso un computer centrale, il processo di apprendimento si sposta verso i dati. Ogni dispositivo addestra una piccola parte del modello localmente e invia al server centrale solo gli aggiornamenti matematici, che vengono poi combinati per migliorare il sistema globale. Sebbene questo mantenga privati i dati grezzi, gli aggiornamenti matematici stessi possono talvolta essere troppo rivelatori. Se il sistema è progettato per riconoscere così bene i modelli normali da poterli ricreare, un osservatore curioso potrebbe essere in grado di decodificare l'originale dato privato partendo da tali aggiornamenti.

Ricercatori della Carnegie Mellon University e dei Sandia National Laboratories hanno sviluppato un nuovo metodo per risolvere questo problema specifico, in particolare per i sistemi che utilizzano gli autoencoder, un tipo di intelligenza artificiale progettata per imparare come ricostruire dati normali. Chiamano il loro approccio Allineamento Globale dei Centroidi (Global Centroid Alignment). Nell'apprendimento federato tradizionale con questi sistemi, i dispositivi inviano indietro i complessi pesi matematici dei loro modelli, il che rappresenta un carico pesante sulle connessioni di rete e comporta ancora un rischio di fuga di dati. Il nuovo metodo cambia completamente le regole dello scambio. Invece di inviare il modello stesso, ogni dispositivo invia solo un piccolo riassunto compresso di ciò che ha appreso: un insieme di codici astratti che rappresentano i dati che ha visto. Un server centrale raggruppa poi questi codici per trovare schemi comuni, o "centri", e invia questi semplici riassunti ai dispositivi. I dispositivi regolano quindi il proprio apprendimento per allinearsi a questi centri globali, senza mai rivelare i propri dati grezzi o le proprie strutture interne del modello.

I ricercatori hanno testato questo metodo su sette diversi dataset, che spaziano dai registri finanziari e dati medici fino alle immagini di oggetti quotidiani. Hanno scoperto che questo nuovo approccio non solo protegge i dati in modo significativamente migliore rispetto ai metodi esistenti, ma migliora anche l'accuratezza del sistema finale. Nei test in cui un server malintenzionato ha cercato di ricostruire i dati privati originali dalle informazioni ricevute, il nuovo metodo ha reso molto più difficile il successo dell'attaccante. Le immagini e i record ricostruiti erano molto meno simili ai dati di addestramento originali rispetto a quelli prodotti dai metodi standard. Infatti, in ventuno casi su ventuno confronti con una tecnica standard leader, il nuovo metodo ha fornito una protezione più forte contro l'estrazione dei dati. Ha inoltre ridotto la quantità di dati inviati sulla rete fino al 99,15 percento, rendendolo molto più efficiente per i dispositivi con larghezza di banda limitata.

Il cuore di questa innovazione risiede nel modo in cui avviene l'apprendimento. Nell'approccio standard, i dispositivi addestrano un autoencoder per ricreare perfettamente il proprio input. Per condividere la conoscenza, inviano l'intero progetto di questo creatore al server. Il nuovo metodo mantiene il progetto locale. Invece, il dispositivo invia un piccolo campione dei codici astratti generati durante l'elaborazione dei propri dati. Il server raccoglie questi codici da tutti i dispositivi partecipanti e utilizza una tecnica di clustering per trovare le posizioni medie, o centroidi, di questi codici. Successivamente, trasmette queste posizioni medie ai dispositivi. I dispositivi modificano quindi i propri encoder interni per far sì che i propri codici corrispondano a queste medie globali, dando un peso extra ai modelli rari o meno comuni per garantire che nulla vada perduto. Questo processo si ripete, permettendo al sistema di apprendere dall'esperienza collettiva di tutti i dispositivi senza mai esporre i dati grezzi o i dettagli dei parametri del modello.

I risultati dello studio dimostrano che questo cambio di strategia offre un potente compromesso. Scambiando solo questi riassunti astratti e medie statistiche, il sistema evita i pesanti costi di comunicazione legati all'invio di interi aggiornamenti del modello. Più importante ancora, rimuove il collegamento diretto che gli attaccanti spesso sfruttano. Negli esperimenti, quando i ricercatori hanno simulato un attacco in cui un server cercava di decodificare i dati di addestramento, il nuovo metodo ha prodotto costantemente risultati molto più distanti dai dati originali rispetto ai metodi standard. I dati ricostruiti non erano solo leggermente diversi; erano spesso irriconoscibili rispetto agli input originali. Questa protezione è rimasta valida anche rispetto ad altre tecniche avanzate di privacy che aggiungono rumore ai dati, le quali talvolta non sono riuscite a prevenire la ricostruzione in determinati contesti. Il nuovo metodo è rimasto stabile ed efficace in tutti gli scenari testati.

Oltre alla sicurezza, il metodo si è dimostrato altamente efficace nel suo compito primario: rilevare anomalie. In scenari in cui il sistema deve identificare eventi rari o insoliti, come un guasto in una macchina industriale o una transazione bancaria fraudolenta, il nuovo approccio ha raggiunto un'accuratezza superiore rispetto al metodo standard in cinque dei sette dataset testati. Ha eguagliato o superato le prestazioni di altre sofisticate tecniche di apprendimento federato utilizzando una frazione delle risorse di comunicazione. I ricercatori hanno osservato che il metodo funziona bene anche quando i dati non sono perfettamente bilanciati tra i dispositivi, una sfida comune nelle applicazioni del mondo reale. La capacità di mantenere un'alta accuratezza riducendo drasticamente il rischio di fuga di dati e il costo di comunicazione suggerisce una via pratica per l'implementazione di un'intelligenza collaborativa sicura in ambienti sensibili.

Lo studio ha anche esplorato le basi teoriche del perché ciò funzioni, mostrando che la visione del server riguardo ai dati è fondamentalmente limitata. Poiché il server vede solo i codici astratti e non le immagini o i numeri originali, non può determinare in modo univoco l'aspetto dei dati originali. Esistono molti possibili input originali che potrebbero produrre lo stesso codice astratto, rendendo impossibile per un attaccante essere certo di aver recuperato il corretto record privato. Questa proprietà matematica fornisce uno strato di sicurezza che va oltre il semplice nascondere i dati; cambia la natura stessa delle informazioni condivise in modo che i segreti originali vengano effettivamente persi nella traduzione.

In definitiva, questo lavoro offre una soluzione concreta a un dilemma persistente dell'intelligenza artificiale: come apprendere da molte fonti senza compromettere la privacy di una singola tra di esse. Sostituendo lo scambio di complessi progetti di modelli con la condivisione di semplici riassunti astratti, i ricercatori hanno creato un sistema che è sia più sicuro che più efficiente. Le scoperte suggeriscono che per applicazioni in cui la privacy dei dati è fondamentale, come la sanità o la finanza, esiste un'alternativa praticabile alle attuali procedure che non richiede il sacrificio delle prestazioni. Il metodo è una dimostrazione che, con un design accurato, gli obiettivi di collaborazione, efficienza e privacy possono essere raggiunti simultaneamente, permettendo alle macchine di apprendere insieme senza mai dover vedere i segreti l'una dell'altra.