Resumo Técnico: Quando Menos Coordenadas São Suficientes em DP-SGD?

Declaração do Problema

O Gradiente Descendente Estocástico com Diferencial de Privacidade (DP-SGD) é o método padrão para treinar modelos de aprendizagem profunda com garantias formais de privacidade. No entanto, ele sofre de limitações inerentes em configurações de alta dimensionalidade, particularmente ao treinar do zero sem dados públicos ou checkpoints pré-treinados. O problema central é a dependência da dimensionalidade: o DP-SGD injeta ruído Gaussiano isotrópico em todas as $d$ coordenadas dos parâmetros. A norma quadrática esperada deste ruído escala linearmente com a dimensão ambiente ($E[\|z\|^2] = d\sigma^2 C^2$). À medida que o tamanho do modelo ($d$) aumenta, a energia do ruído degrada a convergência e a utilidade do modelo, afetando desproporcionalmente domínios sensíveis (ex: registros clínicos) onde dados de proxy públicos não estão disponíveis.

O artigo investiga se o treinamento privado pode ser realizado atualizando apenas um subconjunto de coordenadas ($k \ll d$) sem perder o sinal de otimização. O desafio central é identificar um suporte de coordenadas de "alta energia" (um conjunto de parâmetros com magnitude de gradiente significativa) usando apenas dados privatizados, de modo que a redução na energia do ruído supere a perda de sinal do congelamento das $d-k$ coordenadas restantes.

Metodologia: TP-TopK

Os autores propõem o TP-TopK (Two-Phase TopK DP-SGD), uma estrutura de treinamento privado de coordenadas esparsas projetada para o cenário de "treinamento do zero, sem dados públicos". O método opera em duas fases:

Fase 1: DP Warm-up (Descoberta de Suporte)

• Processo: O modelo passa por um curto warm-up de DP-SGD de parâmetros totais por $T_1$ passos.
• Pontuação (Scoring): Em cada passo, os gradientes por exemplo são clipados e agregados com ruído Gaussiano. O algoritmo acumula os gradientes quadrados privatizados para cada coordenada.
• Denoising (Remoção de Ruído): Para estimar o verdadeiro sinal do gradiente, a variância do ruído acumulado é subtraída. A pontuação para a coordenada $p$ é calculada como:
  $$a_p = \frac{1}{T_1} \sum_{t=1}^{T_1} \tilde{g}_{t,p}^2 - \left(\frac{\sigma_1 C_1}{B}\right)^2$$
  onde o termo subtraído representa a variância do ruído DP por coordenada.
• Seleção: O conjunto de suporte ativo $A$ é selecionado como as top-$k$ coordenadas com as maiores pontuações ($A = \text{TopK}(a, k)$).
• Privacidade: Como as pontuações e a seleção de suporte são pós-processamentos determinísticos do histórico privatizado, eles não incorrem em custo adicional de privacidade.

Fase 2: DP-SGD Restrito ao Suporte

• Processo: O treinamento continua por $T_2$ passos, mas o otimizador é restrito ao suporte ativo $A$.
• Mecanismo: Os gradientes são mascarados para $A$ antes da clipagem e injeção de ruído. O ruído Gaussiano é adicionado apenas às $k$ coordenadas ativas.
• Redução de Ruído: A energia de ruído efetiva vista pelo otimizador escala com $k$ em vez de $d$, reduzindo a energia de ruído por passo de $d\sigma^2 C^2/B^2$ para $k\sigma^2 C^2/B^2$.

Principais Contribuições

1. Garantias Teóricas

• Privacidade: Os autores provam que o TP-TopK satisfaz a privacidade diferencial $(\varepsilon, \delta)$. O custo total de privacidade é a soma dos custos de Privacidade Diferencial de Rényi (RDP) das duas fases, sendo que a etapa de seleção de suporte incorre em custo zero devido à imunidade de pós-processamento.
• Convergência: Uma cota de estacionariedade não convexa é derivada para a Fase 2. A cota demonstra que o termo de ruído DP escala com a dimensão ativa $k$ (ou $\bar{k}$ no caso geral) em vez da dimensão total $d$. A cota se decompõe em progresso de otimização, viés de clipagem, variância de mini-lote e o termo de perturbação DP reduzido.
• Critério de Qualidade de Suporte: Um critério de um passo é estabelecido: a restrição de coordenadas é benéfica se a energia do gradiente descartada nas coordenadas congeladas for menor que a energia de ruído DP economizada.
• Limite de Confiabilidade: Um limite de probabilidade de erro de classificação (misranking) é fornecido, mostrando que o suporte aprendido supera confiavelmente a seleção aleatória quando a duração do warm-up ($T_1$) é suficiente e o gap de sinal entre as coordenadas é grande em relação ao nível de ruído.

2. Avaliação Empírica

O método foi avaliado no MNIST, Fashion-MNIST (FMNIST) e CIFAR-10, bem como em uma tarefa de imagem médica sensível (EyePACS para retinopatia diabética).

• Baselines: Comparações foram feitas contra DP-SGD total, seleção de coordenadas aleatória (TP-Rand) e variantes online (ON-TopK, ON-Rand). Todos os métodos foram pareados em termos de razões ativas, orçamentos de privacidade e passos de treinamento.
• Resultados:
  • Aprendido vs. Aleatório: O TP-TopK superou consistentemente o TP-Rand, com os maiores ganhos observados no desafiador conjunto de dados CIFAR-10 (ex: +1,23% em $\varepsilon=1$).
  • Esparso vs. Denso: O TP-TopK superou significativamente o DP-SGD total no CIFAR-10 (até +10,25% em $\varepsilon=3$), demonstrando que a redução de ruído compensa a perda de sinal.
  • Domínio Médico: No experimento EyePACS (treinado do zero sem dados públicos), o DP-SGD total colapsou para a previsão da classe majoritária (Recall $\approx$ 0,04). O TP-TopK recuperou o recall da classe minoritária para 0,52 mantendo um alto AUC, demonstrando utilidade em domínios sensíveis à privacidade e escassos em dados.

Significância e Alegações

O artigo afirma que o TP-TopK fornece um mecanismo viável para treinamento privado em cenários onde dados públicos não estão disponíveis, um cenário onde métodos de subespaço ou esparsidade existentes frequentemente falham.

• Mitigação de Ruído: Ao restringir a injeção de ruído a um suporte aprendido, o método reduz efetivamente a "maldição da dimensionalidade" no DP-SGD sem exigir dados externos.
• Recuperação de Sinal: A fase de warm-up identifica com sucesso as coordenadas de alta energia usando gradientes privatizados, permitindo que a fase principal de treinamento foque os recursos computacionais e de privacidade nos parâmetros mais informativos.
• Gestão de Trade-off: O trabalho destaca um trade-off entre o orçamento de privacidade alocado para a descoberta de suporte (Fase 1) e o restante do orçamento para otimização (Fase 2). Resultados empíricos sugerem um ótimo interior (ex: alocar ~30% do orçamento para o warm-up) que maximiza o desempenho.
• Aplicabilidade: O método é particularmente eficaz quando a dimensão ativa é pequena e a energia do gradiente está concentrada, condições frequentemente encontradas em tarefas de aprendizagem profunda onde um subconjunto de parâmetros impulsiona a otimização precocemente no treinamento.

Os autores concluem que, embora o método dependa da premissa de que a energia do gradiente é concentrada (o que ocorre empiricamente nos conjuntos de dados testados), ele oferece uma abordagem robusta e teoricamente fundamentada para melhorar a utilidade do DP-SGD em ambientes sensíveis à privacidade e com recursos limitados.