Differentially Private Model Merging

Título: Differentially Private Model Merging (Fusão de Modelos com Privacidade Diferencial)

Autores: Qichuan Yin, Manzil Zaheer, Tian Li.

1. O Problema

Em aplicações de aprendizado de máquina no mundo real, os requisitos de privacidade durante a fase de inferência ou implantação podem mudar constantemente devido a novas regulamentações, políticas ou experiências do usuário.

• Desafio Atual: Re-treinar ou ajustar finamente (fine-tuning) um modelo para atender a um novo orçamento de privacidade (parâmetros $\epsilon, \delta$) é custoso. Envolve ajuste de hiperparâmetros, custos computacionais significativos (como clipping de gradiente por exemplo) e, crucialmente, o acesso aos dados brutos, o que pode violar a privacidade se os dados não estiverem mais disponíveis ou seguros.
• Cenário Existente: Frequentemente, provedores de serviços já possuem um portfólio de modelos treinados no mesmo conjunto de dados, mas com diferentes trade-offs entre privacidade e utilidade (diferentes hiperparâmetros de DP-SGD).
• Questão Central: É possível fundir esses modelos existentes para gerar um novo modelo que satisfaça um requisito de privacidade alvo específico, sem acessar os dados brutos e sem realizar etapas adicionais de treinamento?

2. Metodologia

Os autores propõem duas técnicas de pós-processamento, independentes dos dados, para combinar $N$ modelos privados ($\theta_1, \dots, \theta_N$) treinados no mesmo conjunto de dados $D$:

A. Seleção Aleatória (Random Selection - RS)

• Mecanismo: O algoritmo seleciona aleatoriamente um dos modelos de entrada para ser o modelo final, baseado em uma distribuição de probabilidade $\pi = (\pi_1, \dots, \pi_N)$.
• Funcionamento: Dado um alvo de privacidade $(\epsilon', \delta')$, o sistema sorteia um índice $I$ e retorna $\theta_I$.
• Vantagem: Não requer conhecimento da estrutura interna dos algoritmos de treinamento, apenas dos parâmetros de privacidade (RDP ou PLD) de cada modelo individual.

B. Combinação Linear (Linear Combination - LC)

• Mecanismo: O algoritmo calcula uma média ponderada determinística dos modelos: $\theta = \sum \lambda_i \theta_i$.
• Funcionamento: Os coeficientes de mistura $\lambda$ são escolhidos para otimizar a utilidade sob a restrição de privacidade.
• Requisito: Para obter limites de privacidade mais apertados, esta abordagem assume conhecimento da estrutura do algoritmo de treinamento (especificamente, que os modelos foram treinados via DP-SGD com ruído gaussiano independente).

Contabilidade de Privacidade (Privacy Accounting)

O artigo fornece uma análise rigorosa da privacidade para ambas as abordagens utilizando duas ferramentas modernas:

1. RDP (Rényi Differential Privacy): Fornece limites analíticos mais simples e interpretáveis.
2. PLD (Privacy Loss Distributions): Oferece limites numericamente mais apertados (tighter bounds) através da convolução de distribuições de perda de privacidade.

O trabalho demonstra que, sem conhecimento da estrutura do treinamento, a combinação linear não pode garantir privacidade melhor do que simplesmente liberar todos os modelos juntos (o limite do pior caso). No entanto, com a estrutura do DP-SGD, a LC pode superar a RS.

3. Contribuições Principais

1. Novo Paradigma: Primeiro trabalho a estudar sistematicamente a fusão de modelos para atender a requisitos de privacidade flexíveis durante a inferência, sem re-treinamento.
2. Algoritmos Leves: Proposição de dois mecanismos (RS e LC) que são independentes dos dados e computacionalmente eficientes.
3. Análise Teórica Rigorosa:
   • Estabelecimento de limites de privacidade baseados em RDP e PLD para ambos os métodos.
   • Estudo de Caso (Estimação de Média): Prova teórica de que, para estimativa de média com mecanismos gaussianos, a Combinação Linear (LC) domina a Seleção Aleatória (RS) em termos de erro quadrático médio (MSE) para o mesmo orçamento de privacidade.
   • Demonstração de que, sem assumir estrutura de treinamento, a LC não oferece vantagem de privacidade sobre a liberação conjunta dos modelos.
4. Validação Empírica: Experimentos em dados sintéticos e reais (MNIST, CIFAR-10) mostrando que a contabilidade baseada em PLD é mais apertada que a baseada em RDP, e que a fusão permite traçar fronteiras de Pareto contínuas entre privacidade e utilidade.

4. Resultados Chave

• Estimação de Média (Dados Sintéticos): A LC superou consistentemente a RS, validando a teoria de que a média de modelos gaussianos reduz a variância sem aumentar o custo de privacidade além do necessário, desde que o ruído seja independente.
• Conjuntos de Dados Reais (MNIST e CIFAR-10):
  • Ambos os métodos (RS e LC) adaptaram-se com sucesso a diferentes orçamentos de privacidade alvo.
  • A contabilidade via PLD forneceu limites de privacidade ($\epsilon$) consistentemente menores (mais favoráveis) do que a contabilidade via RDP.
  • Modelos Não Convexos: Em modelos complexos (como ResNet18), a LC mostrou-se menos flexível na região intermediária da fronteira de Pareto (tendendo a favorecer pesos extremos), enquanto a RS manteve uma adaptação mais suave.
• Aprendizado a partir de Pré-treinamento: Em cenários onde modelos são inicializados a partir de um modelo não-privado e depois ajustados com DP, a fusão (especialmente LC) às vezes resultou em modelos com maior utilidade do que qualquer modelo individual de entrada, sugerindo que a fusão pode "suavizar" o ruído induzido pela privacidade.

5. Significado e Impacto

Este trabalho é significativo por várias razões:

• Flexibilidade Operacional: Permite que organizações atendam a mudanças regulatórias de privacidade instantaneamente, selecionando ou combinando modelos já existentes, sem a necessidade de re-acessar dados sensíveis.
• Eficiência de Custos: Elimina o custo computacional e de sistema associado ao re-treinamento com DP-SGD para cada novo requisito de privacidade.
• Fundamentação Teórica: Preenche uma lacuna na literatura sobre como compor garantias de privacidade em algoritmos de fusão de modelos, indo além das composições sequenciais ou avançadas tradicionais, que muitas vezes são subótimas.
• Praticidade: A demonstração de que a fusão pode melhorar a utilidade (além de apenas ajustar a privacidade) torna a técnica atraente não apenas para conformidade, mas também para melhoria de desempenho em cenários de privacidade.

Em resumo, o artigo propõe uma solução elegante para o dilema "privacidade vs. utilidade" dinâmica, transformando um portfólio de modelos treinados em um recurso flexível capaz de atender a qualquer requisito de privacidade futuro sem violar a privacidade dos dados originais.