Resumo Técnico: Federated Computing as Code (FCaC)

1. O Problema

O Computo Federado (FC) permite a colaboração computacional (como aprendizado de máquina e análise de dados) entre organizações distribuídas mantendo os dados brutos locais. No entanto, sistemas federados que atravessam fronteiras organizacionais e jurisdicionais enfrentam um desafio crítico de governança e soberania:

• Falta de Mecanismos Portáteis: Não existe um mecanismo portátil para impor restrições críticas de soberania (como privacidade e conformidade regulatória) além das fronteiras locais.
• Dependência de Infraestrutura Compartilhada: As abordagens atuais dependem de avaliação de políticas em tempo de execução, infraestrutura de confiança compartilhada ou acordos institucionais. Isso introduz sobrecarga de coordenação, oferece garantias criptográficas limitadas e falha quando as partes operam sob regimes legais diferentes.
• Fragilidade na Auditoria e Desvio: Mecanismos tradicionais (como listas de controle de acesso e motores de políticas) são frágeis em cenários multi-partes. A reconstrução de auditorias é difícil (logs incompletos, políticas mutáveis) e a semântica de admissão tende a "desviar" (drift) para exceções bilaterais e confiança dependente do operador à medida que a federação cresce.
• Risco de Vazamento de Saídas Derivadas: Modelos treinados, métricas e previsões (ativos derivados) muitas vezes não são governados com o mesmo rigor que os dados brutos, permitindo vazamento de informações sensíveis mesmo sem movimento de dados.

2. Metodologia e Arquitetura

O artigo propõe o Federated Computing as Code (FCaC), uma arquitetura declarativa que transforma restrições de soberania em condições localmente verificáveis, compilando autoridade e delegação em artefatos criptograficamente verificáveis em vez de depender de interpretação de políticas online.

Princípios Arquitetônicos

O FCaC baseia-se em quatro pilares do Computo Federado, redefinidos como princípios de implementação:

1. Ativos de Dados Distribuídos: Os dados permanecem sob controle local.
2. Serviços Federados: A computação move-se para os dados (não o contrário).
3. APIs Padronizadas: Protocolos seguros para interoperabilidade.
4. Governança Descentralizada: Controle de política distribuído entre participantes independentes.

Separação de Governança: Constitucional vs. Procedural

Uma contribuição central é a distinção estrita entre dois níveis de governança:

• Governança Constitucional (Admissão): Define quem pode executar e o que pode ser feito através das fronteiras. É estatal (stateless), determinística e portátil. É verificada localmente na fronteira usando artefatos assinados.
• Governança Procedural (Operacional): Define como a operação é processada após a admissão (fluxos de trabalho, limites de taxa, validação de consentimento específico, controle de estado). Permanece dentro do ambiente local (Core) e depende de estado mutável.

Cadeia de Confiança Criptográfica (Trust Chain)

O FCaC introduz o conceito de Virtual Federated Platforms (VFPs) e utiliza uma cadeia de três elementos para garantir a admissão na fronteira:

1. KYO (Key Your Organization): Prova de autoridade. Cada organização prova sua identidade soberana através do controle criptográfico de suas chaves (geralmente em ambientes de execução confiável - TEE), estabelecendo a raiz de confiança sem depender de provedores de identidade centralizados.
2. ECT (Envelope Capability Tokens): Prova de capacidade. Tokens (baseados em JWT) que codificam permissões delegadas, escopos e restrições. Eles são compilados a partir de contratos declarativos em "tuplas de capacidade" (recurso, ação, escopo, restrições).
3. PoP (Proof of Possession): Prova de posse. Vincula o uso da capacidade a uma execução concreta. Implementado via DPoP (Demonstrating Proof-of-Possession), onde o solicitante assina a solicitação HTTP com a chave privada vinculada ao ECT, impedindo o reuso ou transferência não autorizada do token.

3. Principais Contribuições

• Mudança de Paradigma de Governança: Transição da avaliação de políticas em tempo de execução (online) para a verificação de artefatos assinados (offline/estáticos) nas fronteiras de execução.
• Portabilidade de Admissão: A capacidade de admitir requisições em qualquer domínio federado sem depender de um motor de políticas centralizado ou estado compartilhado, desde que os artefatos sejam válidos e as âncoras de confiança estejam em cache localmente.
• Separação de Responsabilidades: Clarificação técnica entre o que deve ser verificado na fronteira (soberania, delegação, escopo) e o que deve ser gerenciado internamente (estado de fluxo de trabalho, lógica de negócio).
• Artefatos de Auditoria Imutáveis: Cada operação admitida carrega um rastro criptográfico (KYO -> ECT -> PoP) que permite auditoria determinística e reproducible, eliminando a necessidade de reconstrução frágil de logs.
• Implementação de Prova de Conceito (PoC): Desenvolvimento de um sistema funcional usando MNIST como carga de trabalho substituta para aprendizado federado, demonstrando emissão de envelopes, verificação de fronteira e treinamento acionado por envelopes.

4. Resultados e Evidências (Prova de Conceito)

Os autores implementaram um PoC open-source (FCaC-MNIST) para validar a abordagem:

• Validação de Admissão: O sistema demonstrou sucesso na verificação local de requisições usando ECTs e DPoP.
• Rejeição Determinística: Requisições que tentavam escalar privilégios (ex.: acessar um conjunto de dados não autorizado ou um grupo de pacientes diferente) foram rejeitadas automaticamente na fronteira, sem depender de lógica de backend.
• Separação de Controle: O sistema mostrou que a verificação na fronteira é independente da execução do serviço federado. O serviço de aprendizado (Flower server) só é acionado se a verificação na fronteira for bem-sucedida.
• Interface de Usuário: Um demonstrador web mostrou o fluxo completo de "Admin emite ECT" -> "Usuário solicita" -> "Hub verifica" -> "Backend executa", validando a separação de deveres.

Limitações do PoC:

• A revogação imediata de tokens válidos ainda não está implementada (depende de janelas de validade curtas).
• A gestão de chaves é simulada (não usa HSM/TEE em produção no PoC).
• A vinculação de capacidades a envelopes específicos (em vez de conjuntos) é um trabalho futuro.

5. Significado e Impacto

O FCaC oferece uma solução fundamental para a soberania de dados em colaborações globais (saúde, finanças, cadeia de suprimentos):

• Autonomia Preservada: Permite que organizações colaborem sem ceder controle sobre seus dados ou depender de uma autoridade central confiável.
• Conformidade Regulatória: Facilita o cumprimento de leis de proteção de dados (como GDPR) ao garantir que os dados nunca saiam da jurisdição e que o acesso seja estritamente limitado a contratos criptograficamente assinados.
• Resiliência Operacional: Reduz a fragilidade de federações contra falhas de coordenação ou mudanças de políticas em tempo de execução.
• Escalabilidade de Confiança: Permite a criação de federações dinâmicas onde novos parceiros podem ser integrados através de contratos declarativos e verificação criptográfica, sem a necessidade de reconfigurar toda a infraestrutura de confiança.

Em suma, o FCaC transforma a governança de sistemas federados de um problema de coordenação de confiança para um problema de verificação criptográfica, tornando a soberania uma propriedade verificável e portátil da execução computacional.