Resumo Técnico: Análise de Privacidade Diferencial Convergente para Aprendizado Federado Geral

1. Declaração do Problema

O Aprendizado Federado (FL) combinado com Privacidade Diferencial (DP) oferece um paradigma para treinar modelos em dados privados de clientes em grande escala sem vazamento direto de dados. No entanto, as análises teóricas existentes de frameworks FL-DP dependem fortemente do teorema de composição (por exemplo, DP $(\epsilon, \delta)$ ou DP de Rényi). Essas abordagens tradicionais geralmente produzem limites de privacidade que divergem (tornam-se arbitrariamente frouxos) à medida que o número de rodadas de comunicação $T$ aumenta.

Essa divergência implica uma conclusão contra-intuitiva e empiricamente não suportada: de que frameworks FL-DP podem eventualmente perder todas as capacidades de proteção de privacidade sob perturbações ruidosas de nível constante durante o treinamento de longo prazo. Isso cria uma discrepância significativa entre previsões teóricas (sugerindo falha inevitável de privacidade) e resultados experimentais (que frequentemente mostram privacidade estável). O desafio central reside na análise da privacidade de métodos FL com objetivos não convexos e atualizações locais heterogêneas, onde o treinamento local multi-etapa introduz modelos enviesados que complicam a análise padrão de sensibilidade.

2. Metodologia

Os autores propõem uma análise abrangente baseada em Privacidade Diferencial $f$ ($f$-DP), utilizando especificamente Privacidade Diferencial Gaussiana (GDP), que oferece uma definição de privacidade sem perda teórica de informação através do trade-off entre erros Tipo I e Tipo II em testes de hipóteses.

Componentes metodológicos-chave incluem:

• Técnica de Interpolação Deslocada: Para evitar os limites frouxos associados ao amplificação de privacidade padrão por iteração, o artigo adota uma sequência de interpolação deslocada. Em vez de analisar a relação direta entre modelos globais em conjuntos de dados adjacentes ao longo de $T$ rodadas, os autores definem uma sequência auxiliar $\tilde{w}_t$ que interpola entre as trajetórias dos dois conjuntos de dados adjacentes. Isso permite uma análise de amplificação de privacidade mais rigorosa sobre um intervalo específico $[t_0, T]$.
• Decomposição da Sensibilidade Global: O termo de sensibilidade global $\|\phi(w_t) - \phi'(\tilde{w}_t)\|$ é decomposto em dois componentes:
  1. Sensibilidade de Dados: O erro resultante do treinamento em conjuntos de dados diferentes a partir da mesma inicialização.
  2. Sensibilidade de Modelo: O erro resultante do treinamento no mesmo conjunto de dados a partir de inicializações diferentes.
     Os autores derivam limites específicos para essas sensibilidades sob os algoritmos Noisy-FedAvg e Noisy-FedProx.
• Otimização dos Coeficientes de Interpolação: O limite de privacidade é formulado como um problema de minimização sobre coeficientes de interpolação $\lambda_t$ e uma rodada inicial $t_0$. Para garantir convergência, os autores relaxam o problema definindo $t_0 = 0$, eliminando a divergência causada pela lacuna de estabilidade inicial enquanto mantêm um limite rigoroso sobre a sensibilidade acumulada.
• Estratégias de Taxa de Aprendizado: A análise cobre quatro estratégias distintas de decaimento de taxa de aprendizado: constante, decaimento cíclico, decaimento por etapas e decaimento iterativo.

3. Contribuições Principais

O artigo fornece a primeira análise de privacidade convergente para métodos gerais FL-DP sob objetivos não convexos e suaves. As contribuições específicas são:

• Privacidade Convergente para Noisy-FedAvg: Os autores provam que a privacidade no pior caso do Noisy-FedAvg não diverge em relação ao número de rodadas de comunicação $T$. Eles fornecem limites convergentes rigorosos para quatro estratégias diferentes de decaimento de taxa de aprendizado. Isso desafia a crença de longa data de que orçamentos de privacidade devem aumentar indefinidamente com a duração do treinamento.
• Privacidade Estável para Noisy-FedProx: Ao analisar o termo proximal no Noisy-FedProx, os autores demonstram que a pior privacidade converge para um limite inferior constante geral. Eles mostram que o coeficiente proximal $\alpha$ atua como um regularizador que pode desacoplar a privacidade do intervalo de treinamento local $K$, desde que $\alpha > L$ (onde $L$ é a constante de suavidade).
• Agnosticismo de Framework: Os limites de $f$-DP derivados podem ser convertidos sem perda para outros frameworks padrão, incluindo DP $(\epsilon, \delta)$ e DP de Rényi (RDP), fornecendo entendimentos de granularidade fina para sistemas FL-DP existentes.
• Resolução Teórica da Discrepância: A análise resolve a lacuna entre a divergência teórica e a estabilidade empírica, demonstrando que ruído de nível constante é suficiente para manter garantias de privacidade convergentes no FL.

4. Resultados

As descobertas teóricas são resumidas na Tabela 1 e na Tabela 3 do artigo:

• Noisy-FedAvg:
  • Sob taxas de aprendizado constantes, o limite de privacidade converge para um valor dependente de $K$, $m$ (escala de clientes) e $\sigma$ (ruído), mas permanece limitado quando $T \to \infty$.
  • Sob taxas de aprendizado de decaimento por etapas e iterativo, o limite de privacidade converge para uma forma proporcional a $\sqrt{2 - 1/T}$, garantindo convergência.
  • Os limites são mais rigorosos que trabalhos anteriores, que frequentemente exigiam que a variância do ruído $\sigma^2$ escalonasse com $T$ ou $TK$.
• Noisy-FedProx:
  • O limite de privacidade converge para um limite inferior constante independente de $T$ e $K$.
  • O limite é inversamente proporcional a $\sqrt{\alpha}$, indicando que um coeficiente proximal $\alpha$ maior melhora significativamente a privacidade (reduz a sensibilidade) sem exigir aumento de ruído.
• Validação Empírica:
  • Experimentos em MNIST e CIFAR-10 com LeNet-5 e ResNet-18 confirmam que a sensibilidade global se estabiliza à medida que o treinamento progride, independentemente de $T$ ou $K$.
  • Estudos de sensibilidade mostram que aumentar o número de clientes ($m$) reduz a sensibilidade ($O(1/\sqrt{m})$), enquanto o intervalo local $K$ afeta a taxa de convergência, mas não o limite assintótico.
  • Ataques de inferência de associação e inversão de gradiente confirmam que as taxas de sucesso do ataque se estabilizam em vez de se aproximarem de 100% sob ruído constante, validando a teoria de privacidade convergente.

5. Significado

O artigo afirma estabelecer uma base teórica sólida para a confiabilidade da privacidade em frameworks FL-DP. Seu significado reside em:

1. Correção de Equívocos Teóricos: Refuta a inferência de que FL-DP inevitavelmente perde proteção de privacidade durante o treinamento de longo prazo sob ruído constante, alinhando a teoria com observações empíricas.
2. Habilitação de Treinamento de Longo Prazo: Ao provar limites convergentes, o trabalho sugere que sistemas FL podem operar por períodos estendidos sem exigir aumentos ilimitados na intensidade do ruído, o que de outra forma degradaria a utilidade do modelo.
3. Trade-off Otimização-Privacidade: A análise do Noisy-FedProx revela que a regularização local (o termo proximal) pode servir como um mecanismo para alcançar uma solução "ganha-ganha", melhorando simultaneamente a estabilidade de otimização e as garantias de privacidade.
4. Orientação de Design: Os resultados fornecem insights acionáveis para o design de sistemas FL, como os benefícios de escalas maiores de clientes e a seleção estratégica de decaimento de taxa de aprendizado e coeficientes proximais para maximizar a privacidade sem comprometer a convergência.

Os autores concluem que seu trabalho preenche uma lacuna teórica crítica, demonstrando que interações locais e globais adequadamente estruturadas no FL podem preservar garantias rigorosas de privacidade sem comprometer fundamentalmente o framework de aprendizado.