Resumo Técnico: FinP: Equidade na Privacidade em Aprendizado Federado ao Abordar Disparidades no Risco de Privacidade

1. Declaração do Problema

O Aprendizado Federado (FL) mitiga os riscos da centralização massiva de dados, mas falha em garantir uma proteção de privacidade equitativa para todos os clientes participantes. Em ambientes de FL centrados no ser humano, a heterogeneidade estatística (dados não-IID) leva a uma distribuição desigual dos riscos de privacidade. Especificamente, clientes com distribuições de dados únicas ou atípicas (ex: indivíduos com deficiências físicas específicas em Reconhecimento de Atividade Humana) são propensos ao overfitting local. Esse overfitting faz com que seus modelos locais memorizem pontos de dados únicos, tornando-os desproporcionalmente vulneráveis a Ataques de Inferência de Origem (SIA).

Ao contrário dos Ataques de Inferência de Membro (MIA), que determinam se um registro foi usado no treinamento, o SIA identifica o cliente específico que contribuiu com esse registro. Isso quebra o pseudonimato ao vincular dados sensíveis a um contexto do mundo real (dispositivo ou localização). As defesas de privacidade existentes, como a Privacidade Diferencial (DP), frequentemente injetam ruído uniforme que degrada a utilidade global sem resolver a disparidade na exposição por cliente; em alguns casos, elas exacerbam a injustiça ao penalizar clientes bem representados enquanto falham em mascarar as atualizações distintas de clientes enviesados. O artigo identifica uma lacuna crítica: a falta de um framework que formalize e imponha a equidade na privacidade (fairness-in-privacy), garantindo que nenhum grupo individual suporte um fardo desproporcional de vulnerabilidade de privacidade.

2. Metodologia: O Framework FinP

O FinP é um framework inovador projetado para operacionalizar a equidade na privacidade abordando tanto os sintomas (agregação desigual de risco) quanto as causas raízes (overfitting local). Ele emprega uma estratégia de defesa de via dupla e ciclo fechado envolvendo intervenções no lado do servidor e no lado do cliente.

2.1 Modelo de Ameaça

O framework opera sob uma suposição de servidor "honesto-mas-curioso" (honest-but-curious). O servidor executa fielmente o protocolo de FL, mas tenta inferir informações sensíveis dos clientes a partir de atualizações de modelos e métricas de curvatura. A principal ameaça é um ataque de duas etapas:

1. Ataque de Inferência de Membro (MIA): Determinar se um ponto de dado alvo $x$ pertence ao conjunto de treinamento global.
2. Ataque de Inferência de Origem (SIA): Se $x$ for confirmado como parte do conjunto de treinamento, identificar o cliente específico $C_i$ que o gerou.

2.2 Intervenção no Lado do Cliente: Redução Colaborativa de Overfitting

Para abordar a causa raiz da vulnerabilidade (overfitting local), o FinP introduz um mecanismo de regularização baseado em feedback:

• Estimativa de Overfitting Relativo: Os clientes estimam localmente seu nível de overfitting usando o autovalor superior da Hessiana ($\lambda_{max}$) e o traço da Hessiana ($H_T$) de seu modelo local. Essas métricas caracterizam a nitidez (sharpness) do panorama de perda; panoramas mais nítidos indicam overfitting severo.
• Ranking Relativo ($\rho_k$): O servidor agrega essas métricas escalares para calcular um ranking de overfitting relativo ($\rho_k$) para cada cliente, representando sua vulnerabilidade em relação à federação. Esse ranking é transmitido de volta ao cliente como feedback direcionado.
• Regularização Adaptativa: Ao receber $\rho_k$, o cliente modifica sua função de perda local adicionando um termo de regularização limitado pela constante de Lipschitz (aproximada pela norma espectral do Jacobiano). A perda modificada é:
  $$L^*_k = L_k + \beta \cdot \rho_k \cdot ||J_k||$$
  Aqui, $\beta$ é um parâmetro dependente da tarefa. Clientes com rankings de overfitting relativo mais altos ($\rho_k$) são submetidos a uma regularização mais forte, forçando-os a aprender representações mais generalizáveis e reduzindo sua suscetibilidade ao SIA.

2.3 Intervenção no Lado do Servidor: Agregação Adaptativa

Para abordar os sintomas da disparidade, o servidor ajusta dinamicamente os pesos de agregação das atualizações dos clientes:

• Quantificação de Risco: O servidor utiliza o ranking de overfitting relativo do cliente ($\rho_k$) como um proxy para o risco de privacidade.
• Agregação Leve Adaptativa (ALA): O servidor calcula os pesos de agregação ($\alpha_k$) inversamente proporcionais ao ranking de risco:
  $$\alpha_k = \frac{1 - \rho_k}{\sum_{i=1}^K (1 - \rho_i)}$$
  Este mecanismo reduz a influência de clientes altamente vulneráveis no modelo global, impedindo que suas representações memorizadas e atípicas moldem desproporcionalmente os parâmetros globais.
• Baseline Alternativa: O artigo também avalia uma estratégia baseada em PCA para quantificação de risco, mas destaca o ALA como a solução computacionalmente eficiente e escalável, adequada para implantação no mundo real.

3. Principais Contribuições

O artigo delineia quatro contribuições primárias:

1. Definição Formal: Introduz uma definição formal de equidade na privacidade (FinP) adaptada para sistemas de aprendizado de máquina centrados no ser humano do mundo real, focando na distribuição equitativa do risco de privacidade.
2. Operacionalização: Operacionaliza a medição de FinP dentro do FL, quantificando especificamente as vulnerabilidades a Ataques de Inferência de Origem (SIA).
3. Framework Inovador: Propõe um framework técnico de duas vias combinando agregação adaptativa no lado do servidor e regularização baseada em Hessiana no lado do cliente para otimizar o FinP.
4. Validação Empírica: Fornece avaliações abrangentes em conjuntos de dados reais (HAR) e padrão (FEMNIST, CIFAR-10), demonstrando ganhos significativos em equidade de privacidade com perda mínima de utilidade da tarefa.

4. Resultados Experimentais

O framework foi avaliado em três conjuntos de dados: Reconhecimento de Atividade Humana (HAR), CIFAR-10 e FEMNIST, comparando o FinP contra o FedAvg padrão, defesas de heterogeneidade de última geração (FedAlign) e Diferencial de Privacidade (DP-SGD).

4.1 Melhorias na Equidade de Privacidade

• Conjunto de Dados HAR: O FinP reduziu o Coeficiente de Variação (CoV) para a precisão do SIA de 0,94 (Baseline) para 0,89, melhorando o Índice de Equidade (FI) em 5,56%. Reduziu o Diferencial de Oportunidade Igual (EOD) em 5,45%, indicando uma taxa de sucesso do adversário mais uniforme entre os clientes.
• Conjunto de Dados CIFAR-10: O FinP alcançou uma melhoria de 43,1% no Índice de Equidade para perda de predição (FI(Loss)) em comparação ao FedAlign. Reduziu o EOD em 57,14%, garantindo matematicamente uma Taxa de Verdadeiros Positivos mais uniforme para o adversário.
• Privacidade Absoluta: No CIFAR-10, o FinP reduziu a precisão média do SIA de ~30,86% (FedAvg) para 10,07%, reduzindo efetivamente a taxa de sucesso do ataque ao nível de um palpite aleatório (1/10).

4.2 Utilidade e Eficiência

• Utilidade do Modelo: Contrariando o típico trade-off entre privacidade e utilidade, o FinP manteve ou até melhorou levemente a utilidade do modelo global. No CIFAR-10, o FinP alcançou uma acurácia de teste de 78,46%, ligeiramente superior aos 77,62% do FedAvg. No HAR, a degradação foi mínima (aprox. 1,75%).
• Eficiência: O framework exigiu apenas um aumento marginal nas rodadas de comunicação para convergir (ex: 10 rodadas vs. 9 do baseline no HAR).
• Comparação com DP: Observou-se que a Privacidade Diferencial (DP-SGD) degradou drasticamente a utilidade (ex: uma queda de 34,7% na acurácia no HAR) enquanto falhou em melhorar a equidade de privacidade empírica, muitas vezes piorando o Índice de Equidade.

4.3 Estudos de Ablação

• Sinergia de Componentes: O sistema de ciclo fechado completo (Servidor + Cliente) gerou os maiores ganhos de equidade. A agregação no lado do servidor sozinha abordou os sintomas, mas foi insuficiente para a equidade estrutural; a regularização no lado do cliente sozinha reduziu o overfitting, mas carecia da coordenação global para equilibrar a distribuição de risco.
• Praticidade Computacional: A estratégia de Agregação Leve Adaptativa (ALA) alcançou melhorias de equidade idênticas à baseline baseada em PCA, que é computacionalmente cara, enquanto consumiu apenas 17% do tempo de computação.

5. Significância e Alegações

O artigo afirma que o FinP estabelece proteções de privacidade equitativas ao reduzir as disparidades de vulnerabilidade em até 57,14%, preservando a utilidade do modelo global dentro de um margem de ±1,75% em relação aos baselines federados padrão.

Os autores argumentam que o FinP é significativo porque:

1. Ele desloca o foco das garantias de privacidade médias para a distribuição equitativa de risco, abordando a realidade de "confiança zero" onde algum vazamento é inevitável.
2. Demonstra que garantias fortes de equidade na privacidade não precisam comprometer a utilidade do modelo; de fato, ao penalizar a memorização localizada, o framework pode melhorar a generalização e a acurácia global.
3. Oferece uma solução escalável e prática (via ALA) que evita os gargalos computacionais de métodos tradicionais, tornando-o viável para implantações de FL no mundo real com recursos limitados.
4. Oferece aos formuladores de políticas e designers de sistemas métricas tangíveis (como EOD e FI) para impor proteções equitativas e fomentar a confiança pública em sistemas de IA.

O artigo conclui que, sem abordar explicitamente a distribuição desigual de risco, o FL corre o risco de reforçar as próprias desigualdades sociais que visa contornar, e o FinP oferece um mecanismo estrutural para prevenir essa desigualdade digital.