Byzantine-Robust and Differentially Private Federated Optimization under Weaker Assumptions

Título: Otimização Federada Robusta a Bizâncio e com Privacidade Diferencial sob Hipóteses Mais Fracas

1. O Problema

O Aprendizado Federado (FL) permite que clientes heterogêneos treinem um modelo compartilhado sem centralizar seus dados brutos. No entanto, o sistema enfrenta duas vulnerabilidades críticas simultâneas:

1. Privacidade: Gradientes e atualizações do modelo podem vazar informações sensíveis sobre os dados de treinamento (ataques de inferência de associação, roubo de modelo).
2. Segurança (Bizâncio): Clientes maliciosos (ataques de tipo "Bizâncio") podem enviar atualizações arbitrárias ou adversárias para sabotar o treinamento ou degradar a qualidade do modelo.

Limitações do Estado da Arte:
A maioria das abordagens existentes que tentam resolver esses dois problemas simultaneamente depende de hipóteses irreais para garantir a convergência teórica, tais como:

• Gradientes limitados (bounded gradients), o que falha mesmo para objetivos quadráticos simples.
• Necessidade de conjuntos de dados auxiliares no servidor.
• Regras de agregação não realistas ou restrições severas de convexidade forte.
• Análise apenas em expectativa (in-expectation), em vez de garantias de alta probabilidade.

O artigo questiona: É possível desenvolver um algoritmo que convirja provavelmente na presença de clientes maliciosos e forneça garantias fortes de Privacidade Diferencial (DP) sob hipóteses padrão?

2. Metodologia: O Algoritmo Byz-Clip21-SGD2M

Os autores propõem um novo algoritmo chamado Byz-Clip21-SGD2M. Ele integra três mecanismos principais para lidar com ruído, ataques e heterogeneidade:

1. Momentum Duplo (Double Momentum):

   • Utiliza dois buffers de momentum: um no lado do cliente ($v_i^t$) e outro no servidor ($m_i^t$).
   • O momentum no cliente suaviza o ruído dos mini-batches.
   • O momentum no servidor contrabalança o acúmulo de ruído da Privacidade Diferencial (DP), prevenindo que o ruído acumulado destrua a convergência.

2. Mecanismo de Clipping (Clip) e Feedback de Erro (Error Feedback - EF):

   • Clipping: Limita a norma das atualizações antes de adicionar ruído DP, garantindo a sensibilidade necessária para a privacidade e controlando a magnitude de ataques bizantinos.
   • Feedback de Erro (Estilo EF21): Compensa o viés introduzido pelo clipping e pela heterogeneidade dos dados dos clientes, permitindo que o algoritmo convirja mesmo sem a suposição de gradientes limitados.

3. Agregação Robusta:

   • Utiliza uma regra de agregação robusta (como mediana coordenada ou mediana geométrica) que satisfaz uma definição de robustez $(\delta_{byz}, c)$, garantindo que o resultado agregado permaneça próximo da média dos clientes honestos, mesmo na presença de uma fração de clientes maliciosos.

3. Contribuições Principais

• Novo Algoritmo: Introdução do Byz-Clip21-SGD2M, que combina agregação robusta, momentum duplo e clipping cuidadosamente projetado.
• Análise de Alta Probabilidade sob Hipóteses Fracas:
  • Prova garantias de convergência com alta probabilidade (não apenas em expectativa).
  • Relaxa as suposições para L-suavidade (L-smoothness) e ruído sub-Gaussiano ($\sigma$-sub-Gaussian).
  • Elimina a suposição de gradientes limitados, que era um gargalo teórico em trabalhos anteriores.
• Taxas de Convergência Otimizadas:
  • Recupera as taxas de convergência state-of-the-art na ausência de adversários.
  • Melhora as garantias de utilidade (performance do modelo) em cenários com DP e ataques bizantinos simultâneos.
• Validação Empírica: Demonstração prática da eficácia em modelos CNN e MLP treinados no dataset MNIST.

4. Resultados Teóricos e Experimentais

Teoria:

• O teorema principal (Teorema 5.1) estabelece que o algoritmo converge para um vizinhança do ponto estacionário com uma taxa que depende logaritmicamente da probabilidade de falha.
• A análise mostra que os impactos da privacidade e dos adversários bizantinos se multiplicam, mas o algoritmo consegue controlar esse efeito.
• Em cenários sem adversários, o algoritmo atinge a taxa $\tilde{O}(1/\sqrt{GT})$, que é ótima para otimização estocástica não convexa.
• O artigo compara suas garantias com trabalhos anteriores (Tabela 1), mostrando que suas suposições são as mais fracas (mais realistas) da literatura atual.

Experimentos:

• Cenários Testados: Treinamento de CNNs e MLPs no dataset MNIST.
• Ataques: Simulação de ataques de "Inner Product Manipulation" (IPM) e "Label Flipping" (inversão de rótulos).
• Comparação: O algoritmo foi comparado com Byz-Clip-SGD e Safe-DSHB.
• Desempenho:
  • O Byz-Clip21-SGD2M superou ou empatou com as linhas de base em todas as configurações de orçamento de privacidade ($\epsilon$) e número de clientes bizantinos.
  • Demonstrou robustez significativa mesmo com um número elevado de clientes maliciosos (até 44% dos clientes em alguns testes de MLP).
  • A eficácia foi mantida sob diferentes orçamentos de privacidade, validando a teoria de que o algoritmo equilibra bem privacidade, robustez e utilidade.

5. Significado e Impacto

Este trabalho é fundamental para o avanço da IA Confiável (Trustworthy AI) em ambientes distribuídos.

• Regulamentação: Oferece uma base teórica sólida para sistemas de FL que precisam cumprir regulamentos rigorosos como o GDPR e o AI Act da UE, que exigem privacidade e robustez.
• Viabilidade Prática: Ao remover a suposição de "gradientes limitados", o algoritmo torna-se aplicável a uma gama muito mais ampla de problemas de otimização realistas, onde os gradientes podem crescer arbitrariamente.
• Unificação: Resolve o dilema de projetar algoritmos que sejam simultaneamente privados e robustos, mostrando que é possível obter garantias fortes sem sacrificar a convergência ou depender de dados auxiliares.

Em resumo, o artigo estabelece um novo padrão teórico para a otimização federada, provando que é possível alcançar robustez contra ataques maliciosos e privacidade rigorosa sob condições matemáticas realistas e amplamente aplicáveis.