Adversary-Aware Private Inference over Wireless Channels

Resumo Técnico: Inferência Privada Consciente de Adversários sobre Canais Sem Fio

Definição do Problema
O artigo aborda os riscos de privacidade inerentes à detecção baseada em IA em dispositivos de borda sem fio, especificamente dentro de estruturas de inferência colaborativa. Nesses sistemas, os dispositivos de borda extraem características de dados de detecção brutos (ex: imagens) e transmitem essas características para um servidor remoto para fins de predição. Embora isso reduza a carga computacional no dispositivo, expõe representações de características intermediárias sensíveis à interceptação. Mecanismos de privacidade existentes, como a Privacidade Diferencial (DP), focam tipicamente na proteção de conjuntos de dados finitos ou em garantir a indistinguibilidade da saída de um conjunto de dados. No entanto, o artigo observa que a proteção para características individuais transmitidas sobre canais sem fio, particularmente contra ataques de reconstrução por um adversário que observa a transmissão, não foi rigorosamente abordada. O desafio central é projetar um pipeline de transmissão que minimize o overhead de comunicação enquanto garante um erro de reconstrução elevado para um adversário, sem degradar significativamente a precisão da inferência do servidor.

Metodologia
Os autores propõem um pipeline de transmissão de ponta a ponta para inferência colaborativa que integra a preservação de privacidade diretamente nas camadas física e de processamento de sinais. A estrutura opera através das seguintes etapas:

1. Extração de Características e Redução de Dimensionalidade: Um dispositivo de borda extrai um vetor de características $F(x)$ a partir de uma entrada bruta $x$. Este vetor é limitado (clipping) para garantir sensibilidade limitada e então projetado em um espaço de menor dimensão ($r \leq d$) usando uma matriz de codificação linear $W$.
2. Injeção de Privacidade Local: Para garantir a privacidade local, o dispositivo aplica o mecanismo Gaussiano, adicionando ruído Gaussiano ao vetor codificado. Esta etapa é regida por restrições de $(\epsilon, \delta)$-Privacidade Diferencial (DP) de características.
3. Transmissão Sem Fio: O vetor perturbado é escalonado por um coeficiente de potência de transmissão e transmitido através de um canal sem fio de desvanecimento por blocos (block-fading). O modelo leva em conta impedimentos do canal e ruído Gaussiano aditivo.
4. Processamento no Lado do Servidor: O servidor recebe o sinal ruidoso, reescala-o e aplica um decodificador linear para reconstruir a representação da característica para classificação.
5. Modelo Adversário: Um adversário é modelado como um interceptador (eavesdropper) que observa a transmissão através de um canal sem fio separado, com seu próprio coeficiente de canal e ruído. O adversário tenta reconstruir as características originais usando um estimador linear.

O artigo analisa os compromissos entre a dimensionalidade das características projetadas, a magnitude do ruído de privacidade e as condições do canal sem fio. Os autores derivam limites teóricos sobre a precisão de classificação do servidor e o Erro Quadrático Médio (MSE) do adversário na reconstrução das características.

Principais Contribuições
O artigo introduz um novo framework de privacidade denominado privacidade diferencial de características, projetado especificamente para proteger representações de características intermediárias durante a transmissão sem fio. As principais contribções incluem:

• Garantias Teóricas sobre Reconstrução Adversária: Os autores derivam um limite inferior rigoroso para o MSE do adversário como uma função dos parâmetros do modelo, condições do canal, potência de transmissão e ruído. Este limite quantifica a dificuldade que um adversário enfrenta para recuperar informações sensíveis.
• Dimensão de Projeção Ótima: O artigo estabelece a dimensão de projeção ótima $r^*$ necessária para satisfazer um limiar de MSE adversário alvo enquanto minimiza a latência. Ele identifica dois regimes: um regime "limitado pela privacidade", onde a dimensionalidade escala com os parâmetros de privacidade ($r^* \propto \epsilon^2/d$), e um regime "limitado pelo ruído", onde a dimensionalidade satura para uma constante determinada pelo ruído do canal.
• Limites de Precisão de Classificação: Um limite inferior na precisão de classificação é derivado sob restrições de privacidade diferencial, capturando explicitamente os compromissos entre dimensões de características, ruído de privacidade e impedimentos do canal sem fio.
• Extensão para Massive MIMO: A estrutura é estendida para um cenário de Massive MIMO, demonstrando que o endurecimento do canal (channel hardening) e a propagação favorável podem inerentemente suprimir o vazamento de informação para interceptadores, fazendo com que o erro de reconstrução do adversário se aproxime assintoticamente da dimensão do espaço de características (efetivamente não obtendo informação) conforme o número de antenas aumenta.

Resultados
A análise teórica e as visualizações (ex: Fig. 2 e Fig. 3) demonstram o seguinte:

• Compromisso Privacidade-Utilidade: À medida que o parâmetro de privacidade $\epsilon$ diminui (privacidade mais estrita), o MSE adversário aumenta, indicando maior proteção. No entanto, aumentar a dimensão da característica $d$ sem ajustar o ruído de privacidade pode degradar a precisão de classificação do servidor devido à amplificação do ruído de perturbação.
• Impacto da Dimensionalidade: Em regimes de alta privacidade, o aumento da dimensionalidade amplifica o ruído, reduzindo a precisão. Por outro lado, em regimes de baixa privacidade, uma maior dimensionalidade pode auxiliar a classificação até que um ponto crítico seja atingido.
• Resiliência Adversária: Os limites inferiores derivados confirmam que o mecanismo proposto limita efetivamente a capacidade do adversário de reconstruir características. O uso de uma matriz de compressão aleatória (com entradas da distribuição Laplaciana) combinado com ruído Gaussiano garante que o mecanismo satisfaça a $(\epsilon, \delta)$-DP de características.
• Benefícios do Massive MIMO: No limite de Massive MIMO, a capacidade do adversário de recuperar as características transmitidas desaparece assintoticamente, destacando os benefícios de privacidade inerentes às características da camada física.

Significância
O artigo afirma fornecer um framework de transmissão abrangente e eficiente para detecção baseada em IA sem fio que se alinha aos critérios padrão de privacidade enquanto considera explicitamente o canal sem fio. Ao integrar a privacidade no processo de transmissão através de aleatoriedade calibrada e redução de dimensionalidade, a estrutura oferece insights teóricos rigorosos sobre como a codificação consciente do canal e a perturbação preservadora de privacidade interagem para salvaguardar informações sensíveis. O trabalho faz a ponte entre garantias teóricas de privacidade e as restrições práticas da comunicação sem fio, oferecendo uma base para o design de sistemas de inferência de borda conscientes de privacidade. Os autores observam que trabalhos futuros explorarão modelos de aquisição de dados estruturados e mecanismos de redução de dimensionalidade não lineares para ampliar ainda mais a conexão entre teoria e restrições práticas de detecção.