Membership Inference Risks in Quantized Models: A Theoretical and Empirical Study

Resumo Técnico: Um Indicador de Segurança de Inferência de Membros em Modelos Quantizados Pós-Treinamento

Declaração do Problema
A quantização é uma técnica amplamente adotada para reduzir os custos de memória e computação de modelos de aprendizado de máquina, particularmente para implantação em dispositivos de borda. Embora seus benefícios de eficiência sejam bem documentados, o impacto da quantização na privacidade do modelo permanece pouco explorado. Especificamente, não está claro se a redução da precisão dos parâmetros fortalece inerentemente a resiliência de um modelo contra Ataques de Inferência de Membros (AIMs), que visam determinar se um ponto de dados específico fez parte do conjunto de treinamento do modelo.

Os métodos existentes de avaliação de privacidade dependem fortemente de benchmarks empíricos usando estratégias de ataque específicas. No entanto, essas abordagens são limitadas porque dependem do conhecimento e das capacidades específicas do atacante. Para abordar isso, o conceito de Segurança de Inferência de Membros (SIM) foi introduzido para caracterizar a vulnerabilidade contra os ataques mais fortes possíveis, independentemente do conhecimento do atacante. Ainda assim, calcular diretamente a SIM é computacionalmente proibitivo, pois envolve estimar divergências entre distribuições de alta dimensão. Este artigo aborda a lacuna na provisão de um indicador prático, fundamentado teoricamente e livre de ataques para avaliar e classificar a segurança de privacidade de modelos quantizados pós-treinamento.

Metodologia
Os autores propõem um novo indicador de SIM derivado de uma análise assintótica teórica de procedimentos de aprendizado quantizado. A principal insight teórica é que, para grandes conjuntos de dados, a SIM de um algoritmo de aprendizado quantizado é caracterizada pela distribuição de perdas por amostra entre diferentes configurações de parâmetros quantizados.

1. Fundamentação Teórica: O artigo estabelece que, à medida que o tamanho do conjunto de dados $n$ aumenta, a SIM se aproxima de 1 (indicando alta segurança) a uma taxa determinada pela paisagem de perdas dos modelos quantizados. Especificamente, a taxa é governada pela razão entre o quadrado da lacuna entre as perdas esperadas das configurações quantizadas de melhor e segundo melhor desempenho e a variância da diferença em suas perdas por amostra.
2. O Indicador de SIM ($r_{Q_n}$): Com base neste resultado assintótico, os autores definem um novo indicador:
   $$r_{Q_n} := \frac{1}{2} \min_{k>1} \frac{\left( \mathbb{E}[\ell(\bar{\theta}_n^k, z)] - \mathbb{E}[\ell(\bar{\theta}_n^1, z)] \right)^2}{\text{Var}\left( \ell(\bar{\theta}_n^k, z) - \ell(\bar{\theta}_n^1, z) \right)}$$
   onde $\bar{\theta}_n^k$ representa a $k$-ésima configuração de parâmetros quantizados ordenada pela perda esperada, e $\ell$ é a função de perda. Este indicador é "livre de ataques", pois depende exclusivamente das propriedades estatísticas da função de perda, em vez de treinar um adversário específico.
3. Estratégia de Estimação: Como o espaço de todos os modelos quantizados possíveis é frequentemente exponencialmente grande, os autores propõem um método prático de estimação. Eles observam que o indicador é empiricamente dominado por modelos quantizados com a menor perda. Portanto, eles estimam $r_{Q_n}$ analisando as trajetórias de treinamento do modelo, focando especificamente em checkpoints e versões quantizadas de pesos que exibem valores de perda baixos.

Principais Contribuições

• Caracterização Teórica: Os autores provam que, para grandes conjuntos de dados, a SIM de um procedimento de aprendizado quantizado é totalmente caracterizada pela distribuição de perdas por amostra entre modelos quantizados (Teorema 3.4).
• Novo Indicador: Eles introduzem $r_{Q_n}$, um indicador novo e livre de ataques que permite a comparação de diferentes procedimentos de quantização com base em suas propriedades inerentes de privacidade.
• Estimação Prática: Apresenta-se uma metodologia para estimar este indicador usando trajetórias de treinamento, evitando a inviabilidade computacional de enumerar todos os estados quantizados possíveis.
• Validação Empírica: A abordagem é validada tanto em conjuntos de dados sintéticos quanto em aplicações do mundo real, incluindo tarefas de descoberta de fármacos usando modelos de linguagem e predição de propriedades moleculares.

Resultados

• Dados Sintéticos: Experimentos em conjuntos de dados sintéticos demonstram uma forte correlação de Spearman (média $\rho_{sp} = 0,86$) entre o indicador $r_{Q_n}$ proposto e uma estimação de SIM de linha de base (que depende do treinamento de um discriminador para distinguir membros de treinamento de não membros). A classificação dos quantizadores por nível de privacidade é consistente entre o novo indicador e a linha de base.
• Estabilidade: O método proposto alcança classificações estáveis com significativamente menos execuções de treinamento (aprox. 15 execuções) em comparação com o método de SIM de linha de base, que requer substancialmente mais execuções (aprox. 150) para convergir.
• Aplicações do Mundo Real (Modelos de Linguagem): No contexto de descoberta de fármacos usando LLMs ajustados (Qwen2.5), $r_{Q_n}$ correlaciona-se com sucesso com o desempenho de vários AIMs de caixa preta (incluindo ataques LiRa e baseados em LOSS). Valores mais altos de $r_{Q_n}$ correspondem a um desempenho de AIM mais baixo (maior segurança).
• Aplicações do Mundo Real (Predição Molecular): Em tarefas de predição de propriedades moleculares, o estudo revela um compromisso entre desempenho e privacidade. Uma quantização mais forte (por exemplo, 1,58 bits com 90% de esparsidade) melhora significativamente a privacidade (maior $r_{Q_n}$), mas incorre em um custo de desempenho (queda de aproximadamente 10% no AUROC para classificação). Por outro lado, a quantização em 2 bits ou superior preserva o desempenho, mas oferece menos melhoria na privacidade.

Significado e Alegações
O artigo alega preencher uma lacuna crítica na compreensão teórica da privacidade em modelos quantizados. Ao fornecer um indicador rigoroso e livre de ataques, permite que os profissionais avaliem e classifiquem a resiliência à privacidade de diferentes estratégias de quantização sem a necessidade de simulações de ataque computacionalmente caras. Os autores enfatizam que seu trabalho oferece uma ferramenta prática para equilibrar eficiência e privacidade na implantação de modelos.

Os autores permanecem modestos quanto às suas descobertas, observando que, embora o indicador classifique efetivamente os quantizadores, ele não identifica atualmente um único quantizador que atinja simultaneamente um forte desempenho downstream e alta segurança. Eles sugerem que trabalhos futuros poderiam explorar métodos de Treinamento Consciente de Quantização (QAT) para otimizar conjuntamente o desempenho da tarefa e a maximização de $r_{Q_n}$. O estudo foca na quantização pós-treinamento (PTQ), reconhecendo que os resultados podem diferir para outros paradigmas de treinamento.