Resumo Técnico: Aprendizado Federado de Ordem Zero Aprimorado por Privacidade via xMK-CKKS sobre Canais Sem Fio

1. Formulação do Problema

O Aprendizado Federado (FL) permite que dispositivos de borda treinem modelos colaborativamente sem compartilhar dados brutos, mas as atualizações de modelo transmitidas permanecem vulneráveis a ataques de inferência. Embora a Criptografia Homomórfica (HE) permita agregação preservadora de privacidade, permitindo que servidores computem sobre dados criptografados, os métodos existentes de "HE pelo ar" enfrentam duas limitações críticas:

1. Vulnerabilidade de Segurança: A maioria dos métodos depende de HE de chave única, onde todos os clientes compartilham uma chave secreta. Isso torna o sistema vulnerável a clientes "honestos, mas curiosos" (HBC) que podem descriptografar as atualizações de outros usuários, e o comprometimento de um único cliente coloca em risco toda a rede.
2. Dependência de Estimativa de Canal: Implementações existentes de HE de múltiplas chaves (especificamente xMK-CKKS) requerem parâmetros criptográficos grandes (por exemplo, módulo $q \approx 2^{109}$ a $2^{218}$). Quando combinadas com agregação pelo ar (OTA), técnicas padrão de estimativa de canal e pré-equalização falham. Qualquer erro residual de estimativa de canal é multiplicado pelo grande módulo $q$ durante a descriptografia, soterrando o sinal de mensagem (escalado por $\Lambda \approx 2^{40}$) sob um piso de ruído massivo, causando falha na descriptografia.

A questão central abordada é: É possível combinar HE de múltiplas chaves com agregação pelo ar sem estimar ou compensar o canal sem fio?

2. Metodologia

Os autores propõem um protocolo de quatro fases que integra xMK-CKKS (um esquema de HE de múltiplas chaves) com FL de Ordem Zero (ZO) sobre canais sem fio dominados por Linha de Visão (LoS) de variação lenta (por exemplo, THz de curto alcance em ambientes internos).

Mecanismo Central: Cancelamento Algébrico via Retransmissão de Canal

O protocolo evita a estimativa de canal garantindo que as chaves públicas parciais e os textos cifrados experimentem a mesma realização de canal exata dentro de um único round de comunicação. Isso permite que os termos de criptografia dominantes de grande módulo se cancelem algebricamente durante a descriptografia.

As Quatro Fases:

1. Agregação de Chave Fresca (Enlace de Subida): Cada dispositivo $i$ transmite sua chave pública parcial $b_i$ simultaneamente. O servidor recebe a superposição $\tilde{b}_k = \sum h_{i,k} b_i + \text{ruído}$. Crucialmente, o servidor não estima $h_{i,k}$; ele simplesmente transmite $\tilde{b}_k$.
2. Criptografia (Enlace de Subida): Os dispositivos codificam suas estimativas de gradiente ZO ($m_{i,k}$) usando o $\tilde{b}_k$ recebido como chave pública e transmitem os textos cifrados $(c_{0}, c_{1})$. O servidor agrega esses textos pelo ar.
3. Compartilhamento de Descriptografia (Enlace de Subida): O servidor transmite o $c_1$ agregado. Os dispositivos computam compartilhamentos parciais de descriptografia $D_j$ usando suas chaves secretas e os transmitem.
4. Recuperação (Enlace de Descida): O servidor combina o texto cifrado agregado e os compartilhamentos de descriptografia. Como a chave pública $\tilde{b}_k$ e os compartilhamentos de descriptografia foram gerados usando os mesmos coeficientes de canal $h_{i,k}$, o termo envolvendo o grande módulo $q$ cancela-se algebricamente:
   $$\tilde{b}_k + \tilde{S}_k a = \text{termos de ruído pequenos}$$
   onde $\tilde{S}_k$ é a soma ponderada pelo canal das chaves secretas. O resultado é um termo de ruído limitado independente de $q$, permitindo que o servidor recupere a mensagem agregada.

Integração de Ordem Zero

O protocolo utiliza estimativa de gradiente de ordem zero, onde cada dispositivo transmite apenas um único escalar criptografado por round. Isso garante que a sobrecarga de comunicação e criptografia seja independente da dimensão do modelo $d$, tornando o esquema escalável. A perturbação do canal é tratada como uma perturbação limitada dentro do algoritmo de aprendizado, em vez de um erro a ser removido.

3. Contribuições Principais

• HE de Múltiplas Chaves Agnóstica ao Canal: O artigo propõe o primeiro protocolo que permite agregação xMK-CKKS sobre um canal sem fio compartilhado sem aquisição de Informação de Estado do Canal (CSI) ou pré-equalização.
• Cancelamento Algébrico: Demonstra que retransmitir chaves públicas parciais e textos cifrados através da mesma realização de canal faz com que os termos de criptografia na escala de $q$ se cancelem algebricamente. Isso impede que a incerteza do canal apareça como um erro amplificado por $q$ que, de outra forma, destruiria a descriptografia.
• Análise de Convergência: Os autores provam que o protocolo preserva a taxa de convergência padrão de ZO-FL de $O(1/\sqrt{K})$ até um piso de ruído negligenciável. O ruído residual do canal e da criptografia entra no estimador de gradiente como perturbações limitadas.
• Segurança Aprimorada: O esquema é seguro contra um servidor HBC coludindo com até $N-1$ clientes, uma melhoria significativa em relação aos esquemas de HE de chave única, onde um único cliente comprometido quebra o sistema.
• Validação de Viabilidade: Resultados numéricos no MNIST validam que o protocolo funciona com parâmetros RLWE padrão ($n=4096, 8192$) e que o ruído decodificado é negligenciável em comparação com o ruído do canal.

4. Resultados

• Convergência: A análise teórica (Teorema 2) mostra que o algoritmo converge para uma vizinhança da solução ótima com um piso de ruído $\rho$. Para os parâmetros testados ($n=4096/8192$, $\Lambda=2^{40}$), o piso de ruído é aproximadamente $10^{-16}$, o que é negligenciável em comparação com o ruído típico do canal.
• Desempenho: Experimentos no MNIST (classificação 0-vs-1) mostram que o protocolo criptografado alcança uma precisão de teste dentro de 1% da linha de base não criptografada.
• Falha de Alternativas: O artigo demonstra que a pré-equalização baseada em CSI padrão (Zero-Forcing ou MMSE) falha completamente no cenário de múltiplas chaves. Mesmo com pequenos erros de estimativa de canal ($\sigma_{pilot}=0.1$), o erro residual é multiplicado por $q$, fazendo com que a perda de treinamento diverja imediatamente (saturando perto de $10^{14}$).
• Sobrecarga: A sobrecarga de comunicação por dispositivo é independente da dimensão do modelo. Com uma largura de banda de 1 THz, os tempos de transmissão são inferiores a 8 ms, cabendo dentro do tempo de coerência de canais THz internos estáticos.

5. Significado e Alegações

O artigo afirma que o CKKS de chave única pode escalar para grandes módulos pelo ar usando beamforming, mas o cenário de múltiplas chaves é fundamentalmente diferente. Na HE de múltiplas chaves, o cancelamento de termos de chave grandes depende de uma identidade algébrica entre a chave pública agregada e os compartilhamentos de descriptografia. Se esses termos experimentarem coeficientes de canal diferentes (devido a erros de estimativa ou canais variantes no tempo), o cancelamento falha e o resíduo na escala de $q$ destrói a mensagem.

O significado deste trabalho reside em resolver esse conflito sacrificando a estimativa de canal pela consistência do canal. Ao retransmitir chaves e dados através da mesma realização de desvanecimento, o protocolo garante que o cancelamento algébrico se mantenha sem necessidade de conhecer o canal. Isso permite:

1. Segurança Mais Forte: Proteção de múltiplas chaves contra colusão.
2. Robustez: Operação sem aquisição complexa de CSI ou beamforming.
3. Escalabilidade: Sobrecarga de comunicação de ordem zero que não cresce com o tamanho do modelo.

Os autores concluem que, embora o protocolo seja atualmente adequado para enlaces de variação lenta dominados por LoS (como THz internos fixos), ele estabelece um método fundamental para combinar privacidade criptográfica forte com a eficiência da computação pelo ar. Trabalhos futuros sugeridos incluem a redução da sobrecarga de retransmissão de chaves e a combinação do protocolo com privacidade diferencial.