Sovereign-Mohawk: Machine-Checked Hierarchical Byzantine Resilience and Probabilistic Composition for Federated Learning

Nel mondo moderno, i modelli di machine learning sono spesso troppo grandi e i dati troppo sensibili per essere raccolti in un unico luogo centrale. Invece, una tecnica chiamata apprendimento federato (federated learning) permette a migliaia di dispositivi, dagli smartphone ai sensori industriali, di addestrare un'intelligenza condivisa senza mai inviare i propri dati privati a un server centrale. Ogni dispositivo apprende dalle proprie informazioni locali e invia solo un piccolo pezzo aggiornato del modello per essere combinato. Questo approccio promette un futuro in cui l'intelligenza artificiale possa migliorare senza compromettere la privacy personale. Tuttavia, questo sistema decentralizzato affronta una vulnerabilità critica: il problema "bizantino". In questo contesto, un fallimento bizantino si verifica quando alcuni partecipanti alla rete agiscono in modo malevolo o presentano malfunzionamenti, inviando aggiornamenti corrotti progettati per avvelenare l'intero modello. Se anche solo un piccolo numero di questi attori malvagi riesce a inserire i propri dati corrotti nel calcolo finale, l'intero sistema può fallire.

Per gestire la scala massiccia di milioni di dispositivi, gli ingegneri spesso organizzano questi partecipanti in una gerarchia, come un albero con rami e foglie. L'idea è che se ogni gruppo locale di dispositivi controlla i propri membri alla ricerca di attori malvagi prima di inviare i dati verso l'alto nella catena, l'intera rete dovrebbe rimanere sicura. È un'assunzione confortante: se ogni supervisore locale fa il proprio lavoro, il leader globale non avrà problemi. Ma questa assunzione, a lungo data per scontata nella progettazione di questi sistemi, si rivela essere pericolosamente errata. Uno studio di Ryan Williams, intitolato "Sovereign-Mohawk", espone questa debolezza nascosta e offre una soluzione matematicamente provata che sostituisce l'ipotesi con la certezza.

I ricercatori hanno iniziato testando la comune convinzione che le garanzie di sicurezza locale garantiscano la sicurezza globale. Hanno costruito un modello matematico formale di una gerarchia a due livelli, dove gruppi di dispositivi inviano i propri aggiornamenti a supervisori regionali, i quali poi inviano un riepilogo a un leader globale. Nel loro modello, hanno creato uno scenario in cui ogni singolo supervisore regionale seguiva le regole perfettamente. Ogni gruppo locale aveva una maggioranza di dispositivi onesti e i filtri locali avevano bloccato con successo gli attori malvagi evidenti all'interno dei propri piccoli cerchi. Eppure, quando i ricercatori hanno guardato il quadro generale, hanno scoperto che la rete globale era in realtà dominata da attori malvagi. Posizionando con cura i dispositivi malevoli in modo che fossero appena sotto la soglia di rilevamento in ogni gruppo locale, sono riusciti a creare una situazione in cui il sessanta per cento della rete totale era controllato da avversari. Le guardie locali stavano facendo il loro lavoro, ma il sistema nel suo complesso era crollato. Questo non era una simulazione di un possibile fallimento; era una prova verificata da una macchina che dimostrava che il vecchio modo di pensare semplicemente non funziona.

Avendo smentito il vecchio metodo, il team aveva bisogno di un modo per correggere la gerarchia senza abbandonare l'efficienza dell'elaborazione locale. Si sono resi conto che il problema derivava dal fatto che la disposizione dei dispositivi era prevedibile. Se un attaccante sa esattamente quali dispositivi verranno raggruppati, può disporre i propri nodi malevoli per infilarsi tra le crepe. Per risolvere questo problema, i ricercatori hanno introdotto un metodo di assegnazione casuale. Invece di lasciare i dispositivi in gruppi fissi, hanno proposto di mescolarli in comitati attraverso un processo simile al sorteggio di nomi da un cappello, ma eseguito con rigide garanzie matematiche. Hanno dimostrato che se i dispositivi vengono assegnati a questi comitati casualmente, la probabilità che un gruppo malevolo concentri abbastanza attori malvagi da rompere un filtro locale diventa così piccola da essere praticamente nulla. Hanno verificato questo utilizzando un sistema informatico progettato per verificare le prove matematiche, mostrando che anche con cinquantamila dispositivi in un comitato e un numero significativo di attori malvagi nella popolazione totale, la probabilità di fallimento è inferiore a uno su un numero così vasto da avere più zeri di quanti ce ne siano gli atomi nell'universo.

Questo progresso teorico non è rimasto un'idea astratta. I ricercatori hanno costruito un sistema software funzionante per dimostrare che il loro nuovo metodo poteva operare nel mondo reale. Hanno creato un motore ad alta velocità scritto in un linguaggio chiamato Go, che gestiva il flusso di dati tra migliaia di dispositivi simulati. Questo sistema includeva diversi livelli di protezione per garantire la privacy e la sicurezza. Aggiungeva un tipo specifico di rumore matematico agli aggiornamenti dei dati per impedire a chiunque di ricostruire le informazioni private dei singoli utenti. Utilizzava inoltre strumenti crittografici avanzati per dimostrare che i dati inviati fossero validi senza rivelare i dati stessi, e impiegava nuovi metodi di cifratura progettati per resistere agli attacchi dei futuri computer quantistici.

Il team ha testato questo sistema in un ambiente controllato che imitava una rete massiccia, eseguendo fino a millecinquecento dispositivi virtuali su un singolo computer fisico. Hanno sottoposto il sistema ad attacchi aggressivi, in cui fino al trentacinque per cento dei dispositivi cercava attivamente di sabotare il processo di apprendimento. Nonostante questa intensa pressione, il sistema ha retto. Il modello ha continuato a imparare e a migliorare, raggiungendo un'accuratezza dell'86,4 percento dopo cento round di addestramento. Questo era solo un piccolo calo rispetto a un sistema perfetto e non attaccato, che raggiungeva l'88,2 percento. Il costo di questa sicurezza era sorprendentemente basso. Il tempo extra richiesto per controllare le prove e mescolare i dispositivi ha aggiunto solo circa trentacinque millisecondi al tempo totale di ogni round di addestramento, un ritardo così breve che si misura in microsecondi.

Il lavoro rappresenta un cambiamento significativo nel modo in cui pensiamo alla sicurezza dell'intelligenza artificiale su larga scala. Sposta il campo dalla dipendenza da ipotesi speranzose su come i controlli locali si scalino, verso una base di garanzie rigorose e verificate da macchine. Dimostrando che il vecchio modello gerarchico era compromesso e fornendo un nuovo modo probabilistico di organizzare la rete, i ricercatori hanno mostrato che è possibile costruire sistemi che siano sia efficienti che sicuri contro attaccanti determinati. Il sistema "Sovereign-Mohawk" rappresenta una tabella di marcia per un futuro in cui milioni di dispositivi possano collaborare in sicurezza, sapendo che la loro intelligenza collettiva è protetta non dalla speranza, ma dalla matematica che è stata controllata fino al suo dettaglio più piccolo.