💻 computer science

Towards Explainable Privacy Preservation in Federated Learning via Shapley Value-Guided Noise Injection

Este artigo apresenta o FedSVA, um mecanismo de privacidade diferencial explicável para aprendizado federado que utiliza valores de Shapley para calibrar dinamicamente a injeção de ruído com base na contribuição de privacidade dos atributos, garantindo proteção rigorosa e minimizando a perda de utilidade.

Autores originais: Yunbo Li, Jiaping Gui, Yue Wu

Publicado 2026-04-02

📖 4 min de leitura☕ Leitura rápida

CC BY 4.0

Autores originais: Yunbo Li, Jiaping Gui, Yue Wu

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine que você e seus amigos querem treinar um cérebro de inteligência artificial (IA) muito inteligente para reconhecer gatos e cachorros, mas ninguém quer mostrar as fotos dos seus pets para ninguém. Vocês decidem fazer isso juntos, cada um treinando o modelo no seu próprio celular e enviando apenas as "lições aprendidas" (atualizações do modelo) para um professor central, sem enviar as fotos. Isso é o Aprendizado Federado.

O problema é que, mesmo sem enviar as fotos, um "espião" (um hacker ou um participante desonesto) pode analisar essas lições aprendidas e tentar reconstruir as fotos originais. É como se, ao ouvir alguém descrever como treinou um cachorro, o espião conseguisse desenhar a foto exata do cachorro.

Para evitar isso, usamos uma técnica chamada Privacidade Diferencial, que basicamente significa "adicionar um pouco de ruído" (como estática em uma rádio) às lições aprendidas antes de enviá-las. Isso esconde os detalhes específicos de cada pessoa.

O Problema das Soluções Antigas:
Antes, a maneira de adicionar esse "ruído" era como um cozinheiro que joga sal na comida sem provar. Ele adicionava a mesma quantidade de sal (ruído) o tempo todo, ou mudava a quantidade baseada em regras genéricas (como "quanto tempo já estamos cozinhando").

Se ele colocasse muito sal, a comida ficava estragada (o modelo de IA ficava ruim e não aprendia bem).
Se colocasse pouco sal, a comida ficava sem gosto e o espião ainda conseguia descobrir o segredo (a privacidade era fraca).

A Solução do FedSVA (O "Chef Inteligente"):
Os autores deste artigo criaram o FedSVA, que é como um chef que tem um paladar super sensível e usa uma ferramenta mágica chamada Valor de Shapley (vamos chamar de "Medidor de Importância").

Aqui está como funciona, passo a passo:

Dividindo a Comida (Dados): Cada cliente separa seus dados em duas caixas: uma com "dados sensíveis" (ex: fotos de gatos) e outra com "dados comuns" (ex: fotos de cachorros).
O Medidor de Importância (Valor de Shapley): Antes de enviar a lição, o FedSVA pergunta: "Quanto essa caixa de fotos de gatos contribuiu para o aprendizado do modelo?"
- Se as fotos de gatos foram muito importantes para o modelo aprender, o Medidor diz: "Cuidado! Isso é valioso e sensível!"
- Se as fotos de gatos foram pouco importantes, o Medidor diz: "Isso é seguro, não precisa de tanto esconder."
Adicionando o Sal (Ruído) na Medida Certa:
- Alta Importância: O sistema adiciona muito ruído (sal) para garantir que ninguém consiga ver as fotos de gatos.
- Baixa Importância: O sistema adiciona pouco ruído, para não estragar a qualidade da comida (o modelo continua aprendendo muito bem).

Por que isso é genial?
É como se você tivesse um guarda-costas que só protege intensamente quando você está em uma área perigosa. Se você está em casa, o guarda-costas relaxa um pouco, permitindo que você se mova livremente.

Resultado: O modelo de IA fica muito mais inteligente (porque não foi "estragado" por excesso de ruído desnecessário) e, ao mesmo tempo, é extremamente seguro contra espiões (porque o ruído foi colocado exatamente onde era necessário).

O que os testes mostraram?
Os pesquisadores testaram isso em bancos de dados famosos (como imagens de carros e letras manuscritas).

O FedSVA foi muito melhor que os métodos antigos, conseguindo um equilíbrio perfeito: alta precisão (o modelo funciona bem) e alta privacidade (ninguém consegue roubar os dados).
Eles também provaram que, mesmo com menos ruído, os ataques para reconstruir as fotos originais falharam miseravelmente.

Resumo em uma frase:
O FedSVA é um sistema inteligente que sabe exatamente onde e quanto "esconder" os dados, usando uma calculadora matemática para garantir que a privacidade seja forte sem sacrificar a inteligência da máquina.

Título: Rumo à Preservação de Privacidade Explicável em Aprendizado Federado via Injeção de Ruído Guiada por Valores de Shapley

Autores: Yunbo Li, Jiaping Gui, Yue Wu (Universidade Jiao Tong de Xangai)
Método Proposto: FedSVA

1. Problema e Motivação

O Aprendizado Federado (FL) permite treinar modelos colaborativamente sem compartilhar dados brutos, mas permanece vulnerável a ataques sofisticados, como inversão de modelo e inferência de associação, que podem reconstruir dados sensíveis a partir das atualizações do modelo.

Para mitigar isso, a Privacidade Diferencial (DP) é amplamente utilizada, adicionando ruído calibrado às atualizações locais. No entanto, os métodos existentes de DP no FL apresentam limitações críticas:

Falta de Explicabilidade: A escala do ruído é frequentemente determinada por heurísticas ou fatores indiretos (como progresso do treinamento ou agendamentos temporais), sem uma conexão clara com a contribuição real de privacidade dos dados subjacentes.
Compromisso Subótimo: Essa opacidade leva a dois extremos: injeção excessiva de ruído (degradando a utilidade do modelo) ou injeção insuficiente (falha na proteção).
Necessidade: Existe uma lacuna para um mecanismo que quantifique explicitamente o risco de privacidade de atributos específicos e ajuste o ruído de forma dinâmica e explicável.

2. Metodologia: FedSVA

O FedSVA é um mecanismo de privacidade baseado em DP que utiliza Valores de Shapley (da teoria dos jogos cooperativos) para guiar a injeção de ruído. O sistema opera em três etapas principais no lado do cliente:

A. Módulo de Estimativa de Privacidade (PE)

Particionamento de Dados: Cada cliente divide seu conjunto de dados local em subconjuntos baseados em atributos (ex: dados privados vs. não privados).
Cálculo de Valores de Shapley: O método enumera o conjunto de potência dos atributos e treina modelos auxiliares para avaliar a utilidade (acurácia local) de diferentes combinações de atributos.
Taxa de Contribuição ( $R^p_i$ ): Calcula-se o Valor de Shapley para cada atributo. A taxa de contribuição dos dados privados é derivada da proporção da contribuição dos atributos privados em relação à contribuição total de todos os atributos.
- Insight: Se um atributo tem alta influência no treinamento, ele recebe um valor de Shapley maior, indicando maior risco de vazamento de privacidade.

B. Módulo de Injeção de Ruído (NI)

Calibração Dinâmica: A taxa de contribuição ( $R^p_i$ ) é mapeada para uma tolerância de risco de vazamento.
Escala de Ruído: A variância do ruído gaussiano ( $\sigma^2_i$ $σ_{i}^{2}$ ) é ajustada dinamicamente a cada rodada de treinamento.
- Se a contribuição de privacidade é alta $\rightarrow$ Ruído maior (proteção mais estrita).
- Se a contribuição é baixa $\rightarrow$ Ruído menor (preservação de utilidade).
Garantia Formal: O ruído é injetado nas atualizações do modelo local antes do envio ao servidor, garantindo $(\epsilon, \delta)$ -DP.

C. Análise Teórica

Convergência: O artigo prova que o FedSVA converge sob suposições padrão (função de perda suave e convexa fraca), com um limite de erro que depende quadraticamente do número de clientes selecionados e da magnitude do ruído injetado.
Privacidade: Garante privacidade diferencial rigorosa, com um orçamento de privacidade acumulado que é mais eficiente devido à calibração precisa.

3. Contribuições Principais

Primeira Abordagem Explicável: Introdução do FedSVA, o primeiro mecanismo de FL que integra Valores de Shapley com DP para criar uma estratégia de injeção de ruído explicável e baseada na contribuição dos dados.
Análise Teórica Rigorosa: Fornecimento de garantias formais de privacidade e análise de convergência para o processo de otimização federada sob o novo esquema.
Desempenho Superior: Demonstração experimental de um melhor compromisso entre privacidade e utilidade (privacy-utility trade-off) em comparação com métodos state-of-the-art (SOTA).

4. Resultados Experimentais

Os experimentos foram conduzidos nos conjuntos de dados CIFAR-10 (com ResNet-18) e FEMNIST (com CNN), comparando o FedSVA com quatro métodos SOTA (NbAFL, TV DP, Sens DP, DPA DP).

Compromisso Privacidade-Utilidade:
- O FedSVA superou consistentemente todos os baselines em todas as configurações de orçamento de privacidade ( $\epsilon$ ).
- Exemplo: Em CIFAR-10 com $\epsilon = 0.2$ , o FedSVA alcançou 75,98% de acurácia (últimos 5 rounds), enquanto o melhor concorrente (DPA DP) atingiu apenas 65,21%.
Análise de Ruído:
- O FedSVA injetou significativamente menos ruído acumulado do que métodos estáticos e dinâmicos existentes, aplicando ruído apenas quando a contribuição de privacidade era significativa.
- Consumiu um orçamento de privacidade cumulativo menor, indicando maior eficiência.
Defesa contra Ataques de Reconstrução:
- Sob ataques de reconstrução baseados em ACGAN, o FedSVA demonstrou robustez.
- Aumentou a distância Fréchet Inception (FID) em 149,07% em comparação com o FedAvg sem privacidade, tornando as imagens reconstruídas irreconhecíveis, mesmo com menos ruído total injetado.
Impacto da Granularidade (N):
- A partição binária ( $N=2$ : privado vs. não privado) ofereceu o melhor equilíbrio entre acurácia e custo computacional. Partições mais finas ( $N > 2$ ) trouxeram ganhos marginais de acurácia (<0,22%) com um custo de tempo de execução exponencialmente maior (>4x).

5. Significado e Conclusão

O trabalho do FedSVA representa um avanço significativo na área de privacidade em Aprendizado Federado ao resolver o problema da "caixa preta" na calibração de ruído. Ao vincular diretamente a quantidade de ruído à contribuição quantificada dos dados privados via Valores de Shapley, o método oferece:

Transparência: Os níveis de ruído são justificáveis e interpretáveis.
Eficiência: Maximiza a utilidade do modelo minimizando o ruído desnecessário.
Segurança: Mantém garantias matemáticas rigorosas contra ataques de reconstrução.

O artigo sugere que futuras pesquisas focarão em aproximações dos Valores de Shapley para reduzir a complexidade computacional, permitindo a aplicação em cenários de larga escala com análise de privacidade mais granular.