🤖 machine learning

PRISM: Gauge-Invariant Tangent-Space Differentially Private LoRA

O artigo apresenta o PRISM, um mecanismo de privacidade diferencial invariante a gauge para Low-Rank Adaptation (LoRA) que resolve a amplificação de ruído ilimitada causada por fatorações de parâmetros não identificáveis ao operar diretamente no espaço tangente intrínseco da matriz de atualização.

Autores originais: Shihao Wang, Xueru Zhang

Publicado 2026-06-02

📖 5 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Shihao Wang, Xueru Zhang

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

A Visão Geral: Ensinando um Robô sem Revelar Segredos

Imagine que você tem um robô gigante e superinteligente (um "Modelo de Fundação") que sabe tudo sobre o mundo. Você quer ensinar a ele uma habilidade específica, como escrever relatórios médicos ou resolver problemas matemáticos, usando um pequeno conjunto de dados privados (como registros de pacientes ou notas de alunos).

Você não pode treinar o robô inteiro; é caro demais e lento demais. Em vez disso, você usa uma técnica chamada LoRA (Low-Rank Adaptation). Pense no LoRA como dar ao robô uns pequenos "óculos" ou um "adaptador" destacável que ajusta o comportamento dele apenas o suficiente para aprender a nova tarefa.

O problema? Se você treinar esses óculos com dados privados, o robô pode acidentalmente memorizar e vazar esses segredos. Para evitar isso, usamos a Privacidade Diferencial (DP), que é como adicionar uma camada de "ruído estático" ao processo de aprendizado, para que o robô aprenda o padrão, mas esqueça os detalhes específicos de qualquer pessoa.

O Problema: A "Régua Quebrada" da Privacidade

Os autores descobriram que a maneira padrão de adicionar esse ruído de privacidade ao LoRA é fundamentalmente falha. Aqui está a analogia:

O Problema do "Gauge" (A Régua Móvel)
Imagine que você está tentando medir o comprimento de uma mesa.

A Maneira Padrão (Naive DP-LoRA): Você tem uma régua que pode esticar e encolher. Se você estica a régua, os números mudam. Se você a encolhe, os números mudam de novo. Mas o comprimento real da mesa não mudou.
No LoRA, a "régua" é a forma matemática de decompor o adaptador em duas partes (vamos chamá-las de A e B). Existem infinitas maneiras de esticar ou encolher A e B, desde que o produto delas permaneça o mesmo. Isso é chamado de "não-identificabilidade de gauge".
O Erro: O método antigo adicionava ruído de privacidade diretamente nas partes A e B. Como a régua estava esticando e encolhendo, a quantidade de "ruído estático" adicionada ao resultado final (a atualização real do modelo) tornava-se caótica. Às vezes o ruído era minúsculo; às vezes era enorme. Era como tentar pintar uma parede enquanto você está em cima de um trampolim que muda de altura constantemente — o respingo da tinta (ruído) seria imprevisível e poderia arruinar a parede.

O Problema "Bilinear" (O Golpe Duplo)
Quando você adiciona ruído a A e ruído a B separadamente, eles interagem. É como adicionar um pouco de açúcar em uma xícara de café e um pouco de sal em uma colher, e depois misturar. A interação cria um efeito "bilinear" — um sabor estranho e extra (ruído) que não estava presente em nenhum dos ingredientes isoladamente. Esse ruído extra é elevado ao quadrado e amplificado, tornando o modelo muito pior no aprendizado.

A Solução: PRISM (A Tela Fixa)

Os autores propõem o PRISM (Projected Riemannian Invariant Subspace Mechanism).

Em vez de tentar medir a mesa com uma régua elástica, o PRISM muda a perspectiva. Ele ignora as partes que esticam e encolhem (A e B) e foca inteiramente na mesa real (a atualização intrínseca Z).

O Espaço Tangente (A Tela Plana): Imagine que a mesa existe em uma superfície curva. O PRISM projeta o processo de aprendizado em um "plano tangente" plano logo ao lado da mesa. Nesse plano plano, a matemática é simples e estável.
Invariância de Gauge (A Régua Fixa): O PRISM adiciona o ruído de privacidade diretamente a este plano plano. Não importa se você estica ou encolhe as partes subjacentes (A e B); o ruído adicionado ao resultado final será sempre a mesma quantidade previsível. É como pintar a parede enquanto você está em solo firme.
Sem o Golpe Duplo: Como o PRISM adiciona o ruído diretamente ao resultado final (no espaço tangente), ele evita a interação desordenada entre A e B. Não há a explosão de ruído "bilinear".

O "Otimizador Inteligente" (Mantendo o Trem nos Trilhos)

Mesmo com o ruído correto, o algoritmo de aprendizado do robô (o otimizador) pode ficar confuso. Se o robô tentar ser "esperto" e ajustar sua velocidade de aprendizado com base nos dados ruidosos, ele pode acidentalmente amplificar o ruído ainda mais, fazendo o modelo travar ou se tornar instável.

O PRISM inclui uma regra especial "consciente de DP" (DP-aware). Ele coloca um "piso" sob os ajustes de aprendizado. Pense nisso como um redutor de velocidade ou um limitador de velocidade em um motor de carro. Se o ruído ficar muito alto, o piso impede que a velocidade de aprendizado fique louca, mantendo o treinamento estável e seguro.

Os Resultados: Melhor Privacidade, Melhor Aprendizado

Os autores testaram o PRISM em várias tarefas (como compreensão de linguagem e resolução de problemas matemáticos) usando dados privados.

O Jeito Antigo: Quando tentavam ser privados, o desempenho do modelo caía significativamente porque o ruído era muito caótico ou muito forte.
PRISM: Como o ruído era controlado e previsível, o modelo aprendeu as tarefas muito melhor, mantendo os dados privados. Em muitos testes, o PRISM foi o melhor executor, especialmente em tarefas de raciocínio complexo.

Resumo

O Problema: A maneira padrão de proteger a privacidade no LoRA é como tentar medir um alvo móvel com uma régua elástica. Isso leva a um ruído imprevisível e massivo que arruína o modelo.
A Correção: O PRISM ignora as partes elásticas e adiciona o ruído diretamente à atualização central e estável. Ele utiliza uma abordagem de "tela plana" para garantir que o ruído tenha sempre o tamanho correto, não importa como a matemática seja organizada.
O Benefício: Você obtém uma forte proteção de privacidade sem sacrificar a capacidade de aprendizado do modelo. É estável, eficiente e funciona melhor do que métodos anteriores.

Em suma, o PRISM é uma nova maneira de ensinar modelos de IA com dados privados que impede que o "ruído" saia do controle, garantindo que o robô aprenda a lição sem memorizar os segredos.

Resumo Técnico: PRISM – LoRA com Diferencial de Privacidade no Espaço Tangente Invariante ao Gauge

1. Formulação do Problema

O artigo aborda o desafio de aplicar Privacidade Diferencial (DP) ao Low-Rank Adaptation (LoRA), um método dominante de ajuste fino eficiente em parâmetros (PEFT). Embora o DP-SGD padrão possa ser aplicado diretamente aos fatores de baixo posto $(A, B)$ de uma atualização de LoRA $Z = AB^\top$ , os autores identificam que essa abordagem ingênua é fundamentalmente desalinhada com a estrutura geométrica do LoRA, levando a três problemas críticos:

Dependência de Gauge: A fatoração LoRA não é identificável; para qualquer matriz invertível $R \in GL(r)$ , os pares $(A, B)$ e $(AR, BR^{-\top})$ representam a mesma atualização intrínseca $Z$ . No entanto, aplicar DP-SGD aos fatores $(A, B)$ resulta em clipping e injeção de ruído que dependem do gauge (fatoração) específico escolhido. Isso leva a garantias de privacidade e magnitudes de perturbação inconsistentes para a mesma atualização de modelo subjacente.
Amplificação de Ruído Ilimitada: Quando o ruído é injetado independentemente em ambos os fatores $A$ e $B$ , a atualização intrínseca resultante em $Z$ contém um termo bilinear de segunda ordem ( $\eta^2 \xi_A \xi_B^\top$ ) e um termo de primeira ordem cuja magnitude escala com as normas dos fatores ( $\|A\|_F, \|B\|_F$ ). Sob transformações de gauge (ex: redimensionar $A \to cA, B \to c^{-1}B$ ), a energia de ruído efetiva em $Z$ pode crescer sem limites, mesmo que a atualização alvo $Z$ permaneça constante.
Instabilidade com Otimizadores Adaptativos: Otimizadores adaptativos (ex: Adam, AdamW) utilizam precondicionadores estimados a partir de gradientes. Na presença de ruído DP, esses precondicionadores podem se adaptar às estatísticas do ruído em vez do sinal. No cenário de baixo posto, isso pode levar a matrizes de Gram mal condicionadas ( $A^\top A, B^\top B$ ), causando instabilidade numérica e amplificando ainda mais o ruído de privacidade injetado.

2. Metodologia: PRISM

Os autores propõem o PRISM (Projected Riemannian Invariant Subspace Mechanism), um mecanismo de DP projetado para operar diretamente na geometria intrínseca da variedade de atualização de baixo posto, em vez do espaço redundante de fatores.

Componentes Principais

Projeção no Espaço Tangente: Em vez de perturbar os fatores, o PRISM trata a atualização $Z$ como um ponto na variedade de posto fixo $\mathcal{M}_r$ . Ele projeta os gradientes por exemplo no espaço tangente $T_Z\mathcal{M}_r$ . Esta projeção é definida usando projetores ortogonais nos espaços coluna de $A$ e $B$ , garantindo que a direção do gradiente seja invariante a transformações de gauge.
Clipping Intrínseco Global: O PRISM computa a norma de Frobenius do gradiente tangente intrínseco projetado $\|\Delta Z\|_F$ para cada exemplo. Ele agrega essas normas em todos os módulos LoRA para calcular um coeficiente de clipping global único, garantindo um limite de sensibilidade unificado para toda a atualização do modelo.
Ruído Isotrópico no Tangente: O ruído é injetado diretamente no espaço tangente como uma distribuição Gaussiana isotrópica suportada na variedade. Os autores derivam uma expressão de forma fechada para a energia de ruído intrínseca efetiva, mostrando que ela depende apenas do multiplicador de ruído $\sigma$ , do limiar de clipping $C$ , do tamanho do lote $b$ e das dimensões das camadas $(m, n, r)$ . Isso elimina o escalonamento dependente de gauge encontrado em métodos de espaço de fator.
Retração: A atualização ruidosa do tangente é retraída de volta para a variedade de posto- $r$ usando um SVD truncado (melhor aproximação de posto- $r$ ). Demonstra-se que este passo é exato de primeira ordem, evitando os termos de ruído bilinear de segunda ordem espúrios inerentes às atualizações de fatores ingênuas.
Atualização Adaptativa Consciente de DP: Para abordar o Problema III, o PRISM introduz uma regra de atualização adaptativa invariante ao gauge. Ele rastreia momentos do espaço de posto e aplica um "piso de DP" (DP-aware floor) ao precondicionador. Este piso é escalonado de acordo com o nível conhecido de ruído DP, evitando que o precondicionador colapse quando os autovalores são pequenos devido ao ruído, limitando assim a amplificação do ruído de privacidade.

Garantias Teóricas

Invariância de Gauge: Prova-se que a distribuição da atualização intrínseca é invariante sob qualquer transformação de gauge dos fatores.
Privacidade: O PRISM satisfaz garantias $(\epsilon, \delta)$ -DP via contagem do mecanismo Gaussiano subamostrado, pois a operação central é um mecanismo Gaussiano em um espaço tangente linear seguido de pós-processamento preservador de DP.
Caracterização de Ruído: O artigo fornece uma caracterização de forma fechada do ruído efetivo, demonstrando que ele é limitado e independente da escala de fatorização.

3. Principais Contribuições

Identificação de Falhas Fundamentais: O artigo demonstra rigorosamente que o DP-LoRA ingênuo em espaço de fator leva a clipping dependente de gauge, amplificação de ruído ilimitada e termos de ruído bilinear espúrios.
Mecanismo PRISM: A proposta de um mecanismo de DP invariante ao gauge que opera no espaço tangente intrínseco, utilizando projeção, clipping intrínseco e retração para garantir perturbações estáveis e limitadas.
Análise Teórica: Estabelecimento de garantias $(\epsilon, \delta)$ -DP e uma caracterização de forma fechada do ruído intrínseco efetivo, provando sua independência de gauges de fatorização.
Melhoria de Estabilidade: A introdução de uma regra de atualização adaptativa consciente de DP que mitiga a amplificação de ruído em otimizadores adaptativos sob restrições de baixo posto.

4. Resultados Experimentais

Os autores avaliam o PRISM no ajuste fino do backbone Gemma-3-4B-pt através de duas suítes multitarefa: GLUE8 (Compreensão de Linguagem Natural) e Math-10K (raciocínio numérico de múltiplos passos).

Desempenho sob DP: Sob orçamentos de privacidade $\epsilon \in \{3, 6\}$ , o PRISM alcança o maior desempenho médio em 12 tarefas comparado aos baselines, incluindo DP-LoRA ingênuo (FFA), LoRA-RITE, AdamW, LoRA+ e LAMB. Especificamente, o PRISM obteve uma pontuação média de 0,690 em $\epsilon=6$ e 0,680 em $\epsilon=3$ , superando todos os outros métodos.
Robustez: O PRISM demonstrou superioridade consistente em diferentes tamanhos de backbone (Gemma-2-9B, Gemma-3-12B) e postos LoRA ( $r \in \{8, 16, 32\}$ ).
Diagnóstico do Mecanismo: A análise empírica confirmou que o DP em espaço de fator apresenta significativa sensibilidade de gauge (variabilidade nas normas de atualização baseada no escalonamento de inicialização) e amplificação de ruído ilimitada. Em contraste, o PRISM reduziu a sensibilidade de gauge para quase zero e manteu a energia de ruído intrínseca baixa e estável, independentemente do escalonamento de fator.
Eficiência: Embora o PRISM incorra em um overhead de tempo de execução (aproximadamente o dobro do tempo por passo devido aos cálculos de geometria), o uso de memória de pico permanece comparável às implementações padrão de LoRA.

5. Significância e Alegações

O artigo afirma que o PRISM resolve o desalinhamento fundamental entre o DP-SGD padrão e a estrutura não identificável do LoRA. Ao deslocar o mecanismo de privacidade do espaço de fator redundante para o espaço tangente intrínseco, o PRISM garante que as perturbações de privacidade sejam:

Determinísticas em Efeito: O ruído adicionado à atualização do modelo $Z$ é independente da escolha arbitrária da fatoração $(A, B)$ .
Limitadas: Evita a amplificação de ruído ilimitada que pode ocorrer em abordagens de espaço de fator.
Estáveis: Impede que otimizadores adaptativos desestabilizem o processo de treinamento devido ao mau condicionamento induzido pelo ruído.

Os autores posicionam o PRISM como um passo necessário para o deploy de ajuste fino de LoRA preservando a privacidade, particularmente em cenários envolvendo dados sensíveis onde a estabilidade e a previsibilidade da garantia de privacidade são primordiais. Eles reconhecem que o método é atualmente adaptado para atualizações LoRA de posto fixo e que estenderlo para outros métodos de PEFT exigiria derivar suas geometrias intrínsecas específicas.