Resumo Técnico: Aprendizado de Mapas de Rádio Federado com Preservação de Privacidade para Gêmeos Digitais Sem fio via Alocação Adaptativa de Ruído

1. Declaração do Problema

O artigo aborda uma vulnerabilidade crítica de privacidade em aplicações de Aprendizado Federado (FL) para Gêmeos Digitais Sem fio, especificamente na construção de Mapas de Rádio. Embora o FL permita que clientes distribuídos (por exemplo, nós de borda, estações base) treinem colaborativamente um modelo compartilhado sem compartilhar dados brutos do ambiente de rádio, as próprias atualizações de modelo trocadas podem vazar informações sensíveis.

No contexto do aprendizado de Mapas de Rádio utilizando a arquitetura RadioUNet, a localização do transmissor é explicitamente codificada como um canal de entrada (uma "matriz de transmissor"). Consequentemente, os gradientes ou deltas de modelo enviados pelos clientes contêm impressões digitais estruturadas e dependentes do transmissor. Um observador passivo pode explorar essas atualizações para inferir a localização precisa dos transmissores usados durante o treinamento local, mesmo que os dados brutos de medição permaneçam privados.

Defesas de privacidade existentes, como a Privacidade Diferencial (DP) padrão, tipicamente injetam ruído uniformemente em todos os parâmetros do modelo ou seguem regras estáticas e fixas. Os autores argumentam que essas abordagens são ineficientes porque ignoram a estrutura específica da arquitetura do vazamento: o ruído é desperdiçado em parâmetros que carregam pouca informação de localização, enquanto o orçamento pode ser insuficiente para os componentes altamente sensíveis e acoplados ao transmissor.

2. Metodologia

O artigo propõe um mecanismo de alocação adaptativa de ruído com restrição de orçamento projetado para ser integrado localmente no lado do cliente antes da transmissão para o servidor.

A. Modelo de Sistema e Definição de Ameaça

• Arquitetura: O sistema utiliza um RadioUNet em duas etapas. A primeira etapa produz uma estimativa grosseira de perda de caminho, e a segunda etapa a refina usando a entrada original e a saída da primeira etapa.
• Modelo de Ameaça: Um atacante observa a sequência de uploads dos clientes ($\Delta\theta$) e tenta regressar a coordenada do transmissor ($c$) a partir da "impressão digital" dessas atualizações. A métrica de privacidade é o erro de localização ($e_{loc}$).
• Restrição: O orçamento total de perturbação ($B$) por upload é fixo. O objetivo é maximizar a privacidade (erro de localização) enquanto minimiza a perda de utilidade (Erro Quadrático Médio de reconstrução).

B. Estratégia de Alocação Adaptativa de Ruído

Em vez de injeção de ruído uniforme, o método proposto redistribui dinamicamente o orçamento fixo de ruído com base no estado atual do upload.

1. Particionamento de Grupos: O espaço de parâmetros enviado é partitionado em grupos sensíveis ao transmissor (parâmetros diretamente acoplados ao canal de entrada do transmissor em ambas as etapas do RadioUNet) e um grupo residual (todos os outros parâmetros).
2. Extração de Estatísticas de Baixa Dimensão: Antes da injeção de ruído, um vetor de resumo compacto ($s_{k,r}$) é extraído da atualização do cliente. Isso inclui normas $\ell_2$ mascaradas, magnitudes médias, desvios padrão, razões de tamanho de grupo e contexto global (índice de rodada, fase).
3. Alocador de Rede Neural: Uma rede neural leve ($f_\eta$) mapeia o vetor de resumo para logits de alocação, que são normalizados via softmax para determinar a escala de ruído ($\sigma_{k,r,g}$) para cada grupo.
4. Injeção de Ruído:
   • A atualização é primeiro truncada em um limiar $C$.
   • Ruído Gaussiano é adicionado a cada grupo $g$ com uma variância proporcional ao orçamento alocado para aquele grupo ($E_{k,r,g}$).
   • O orçamento total permanece fixo ($\sum E_{k,r,g} = B$), mas a distribuição se adapta à sensibilidade de vazamento revelada durante o treinamento.

C. Objetivo de Treinamento

O alocador é treinado usando um modelo de ataque proxy para simular o adversário. O objetivo de otimização equilibra três termos:

• Perda de Tarefa ($L_{task}$): Qualidade de reconstrução do mapa de rádio.
• Perda de Privacidade ($L_{proxy}$): O erro do atacante proxy (maximizado pelo alocador).
• Regularização de Entropia ($H$): Impede que o alocador concentre todo o orçamento em um único grupo, garantindo robustez.

3. Contribuições Principais

Os autores resumem suas contribuições da seguinte forma:

1. Formulação do Problema: Eles formalizam o vazamento de localização de transmissor baseado em upload como uma ameaça de privacidade específica no aprendizado federado de mapas de rádio e definem um problema correspondente de otimização de privacidade-utilidade com restrição de orçamento.
2. Mecanismo Adaptativo: Eles propõem um alocador de ruído adaptativo consciente da estrutura que distribui dinamicamente um orçamento fixo de perturbação entre grupos de upload sensíveis ao transmissor com base no estado atual do upload, em vez de usar regras estáticas.
3. Protocolo de Avaliação: Eles estabelecem um protocolo de avaliação para RadioUNet federado sob ataques de localização baseados em upload, demonstrando que a alocação adaptativa supera tanto as bases uniformes quanto as conscientes da estrutura estáticas sob um orçamento de perturbação correspondente.

4. Resultados Experimentais

O framework foi avaliado em um conjunto de dados de 700 mapas de rádio urbanos usando uma configuração federada com 14 clientes (6 ativos por rodada) ao longo de 50 rodadas de comunicação. O método proposto foi comparado contra:

• Sem Defesa: Linha de base para fidelidade da tarefa.
• Apenas Truncamento (Clip Only): Truncamento global $\ell_2$ sem ruído.
• Ruído Uniforme: DP padrão com ruído adicionado a todos os parâmetros.
• Uniforme Direcionado: Ruído adicionado apenas ao subespaço sensível predefinido (consciente da estrutura estática).
• Proposto: O método adaptativo.

Principais Descobertas:

• Desempenho de Privacidade: Sob um multiplicador de ruído unificado ($\nu=3$), o método proposto alcançou o maior RMSE de Privacidade (45,63 m), superando o Uniforme Direcionado (42,26 m) e o Ruído Uniforme (36,78 m). Isso indica proteção mais forte contra localização de transmissores.
• Preservação de Utilidade: O método proposto manteve a melhor qualidade de reconstrução entre todas as defesas baseadas em ruído, alcançando um MSE de Validação de -15,87 dB. Isso foi superior ao Uniforme Direcionado (-15,66 dB) e significativamente melhor que o Ruído Uniforme (-14,43 dB).
• Adaptação Dinâmica: Enquanto métodos estáticos (Uniforme Direcionado) mostraram retornos decrescentes à medida que o treinamento avançava, o método adaptativo exibiu uma trajetória ascendente persistente na proteção de privacidade, sugerindo que ele se adapta com sucesso aos padrões de vazamento em evolução do processo de treinamento.

5. Significado e Alegações

O artigo afirma que onde o ruído é injetado é mais crítico do que quanto ruído é injetado. Ao reconhecer que o vazamento relacionado ao transmissor está concentrado em um pequeno subconjunto do espaço de parâmetros, o método proposto evita a ineficiência da perturbação uniforme.

Os autores enfatizam que seu trabalho fornece uma defesa de privacidade adaptativa com orçamento. Eles afirmam explicitamente modéstia em relação às suas alegações:

• O artigo não afirma fornecer um contador completo de privacidade diferencial ponta a ponta para o mecanismo adaptativo.
• O objetivo principal é demonstrar que a redistribuição dinâmica de um orçamento fixo com base na sensibilidade de vazamento específica da arquitetura produz uma compensação privacidade-utilidade superior em comparação com abordagens estáticas ou uniformes existentes.

Os resultados sugerem que, para aplicações de gêmeos digitais sem fio que exigem privacidade de localização, a alocação adaptativa de ruído é uma estratégia viável e eficaz para proteger as localizações dos transmissores sem comprometer a qualidade dos mapas de rádio reconstruídos.