Resumo Técnico: HashGuard-FL

Declaração do Problema

O Aprendizado Federado (FL) em domínios de segurança crítica enfrenta dois desafios de integridade interligados que as soluções existentes não conseguem abordar simultaneamente:

1. Detecção em Tempo de Execução: As atuais regras de agregação robustas a ataques bizantinos e os detectores de anomalias de gradiente têm dificuldade sob condições de dados não-IID (não independentes e identicamente distribuídos). Eles frequentemente classificam incorretamente atualizações legítimas de clientes com poucos dados como anomalias ou falham em detectar ataques adaptativos que mimetizam estatísticas benignas. Além disso, os métodos existentes tipicamente oferecem apenas decisões binárias (aceitar/rejeitar), carecendo da granularidade para distinguir entre diferentes tipos de ataques (ex: envenenamento vs. falhas de hardware).
2. Auditabilidade de Longo Prazo: Os esquemas tradicionais de proveniência criptográfica dependem de assinaturas clássicas (ex: RSA, ECDSA) que são vulneráveis a futuros adversários quânticos. Dado que modelos de IA clínica e industrial podem operar por décadas, um registro de auditoria assinado hoje pode ser forjado retrospectivamente assim que computadores quânticos se tornem disponíveis. Há uma falta de frameworks integrados que forneçam tanto detecção refinada quanto trilhas de auditoria seguras contra computação quântica.

Metodologia: HashGuard-FL

O HashGuard-FL é um framework que acopla um discriminador de GAN baseado em hash treinável a uma camada de auditoria pós-quântica. O sistema opera através dos seguintes componentes:

1. Camada de Projeção de Hash

Para lidar com a variância de alta dimensão causada por dados não-IID, o sistema projeta as atualizações dos clientes ($\delta w$) em um espaço compacto de hash de sensibilidade à localidade (LSH) de 128 bits.

• Mecanismo: Utiliza projeções aleatórias assinadas ($H_i(\delta w) = \text{sign}(r_i^T \cdot \delta w / \|\delta w\|)$), onde $r_i$ são vetores Gaussianos fixos.
• Privacidade e Robustez: A projeção é irreversível (protegendo os gradientes brutos) e a L2-normalização remove informações de magnitude, que é o principal fator de confusão para detectores baseados em norma sob condições não-IID. Isso deixa a estrutura angular das atualizações como o principal sinal de detecção.
• Embedding: Um embedding aprendido de 32 dimensões é anexado ao hash de 128 bits, criando um descritor de 160 dimensões para o discriminador.

2. Discriminador Baseado em GAN

O detector central é uma Rede Adversária Generativa (GAN) treinada no espaço de hash comprimido.

• Arquitetura: Um discriminador ($D_\theta$) com quatro camadas totalmente conectadas (160-512-256-128-5) utiliza normalização espectral para garantir continuidade de Lipschitz e estabilidade de treinamento.
• Objetivo de Treinamento: O modelo é treinado usando uma função de perda composta:
  • Perda de Entropia Cruzada ($\mathcal{L}_{cls}$): Para classificação multiclasse.
  • Perda Adversária ($\mathcal{L}_{adv}$): Um gerador ($G_\phi$) sintetiza embeddings de hash adversários para enganar o discriminador, fornecendo uma garantia implícita de robustez contra ataques adaptativos.
  • Perda Contrastiva ($\mathcal{L}_{ctr}$): Um termo contrastivo supervisionado atrai embeddings da mesma classe e afasta classes diferentes, melhorando a separação de tipos de ataque visualmente semelhantes.
• Classificação: O sistema classifica as atualizações em cinco classes operacionalmente definidas:
  • C0: Benigno
  • C1: Envenenado (Inversão de rótulo + escalonamento)
  • C2: Instável (Cauchy/NaN)
  • C3: Replay (Atualizações obsoletas/stale)
  • C4: Adulterado (Bit-flip/ruído estruturado)
• Portão de Agregação: As decisões são mapeadas para ações: Aceitar (C0), Quarentena (C2, C4 para inspeção adicional) ou Rejeitar (C1, C3).

3. Trilha de Auditoria Pós-Quântica

Para garantir a integridade de longo prazo, o sistema compromete cada decisão de rodada a um transcrito à prova de adulteração.

• Construção: Um registro de rodada é processado via hash usando SHAKE-256 (uma função de saída extensível) e encadeado ao hash da rodada anterior.
• Assinatura: O hash é assinado usando ML-DSA-65 (CRYSTALS-Dilithium), um esquema de assinatura pós-quântica padronizado pelo NIST (FIPS 204) que fornece segurança quântica de 128 bits.
• Verificação: O transcrito resultante é leve (aprox. 1,3 MB para 500 rodadas) e verificável em hardware comum.

Principais Contribuições

1. Taxonomia de Ataque de Cinco Classes: O artigo formaliza um framework de detecção unificado que distingue entre atualizações benignas, envenenadas, instáveis, de replay e adulteradas, permitindo respostas diferenciadas (quarentena vs. rejeição) em vez de decisões binárias.
2. Projeção LSH para Robustez Não-IID: Introduz uma projeção de hash de sensibilidade à localidade que neutraliza a variância de distribuição, permitindo que o detector foque na geometria angular em vez da magnitude, o que é crítico em ambientes não-IID.
3. Treinamento de GAN Adversário: Ao acoplar um discriminador com um gerador no espaço de hash, o sistema aprende uma fronteira de decisão robusta contra a síntese de ataques adaptativos, superando detectores estatísticos estáticos.
4. Infraestrutura de Auditoria Pós-Quântica: Implementa o primeiro mecanismo de integridade de FL que utiliza assinaturas pós-quânticas padronizadas pelo NIST (ML-DSA-65) e SHAKE-256, garantindo que as trilhas de auditoria permaneçam verificáveis contra futuros adversários quânticos.
5. Avaliação Abrangente: O framework é validado em quatro benchmarks (MNIST, CIFAR-10, FEMNIST, PTB-XL ECG) e uma simulação de implantação clínica de 500 rodadas.

Resultados

• Desempenho: No conjunto de dados CIFAR-10 com 20% de clientes bizantinos sob condições extremas de não-IID, o HashGuard-FL alcançou um macro-F1 de 0,962 e um AUROC de 0,989.
• Comparação: Superou oito baselines (incluindo Krum, FLTrust e Flame) em até 0,111 pontos de F1. Notavelmente, melhorou significativamente a detecção de classes minoritárias (Replay e Adulterado), que são frequentemente invisíveis para detectores baseados em norma.
• Eficiência: O sistema adiciona apenas 2,3 ms de overhead por rodada.
• Simulação Clínica: Em uma simulação de 500 rodadas de uma tarefa de classificação de ECG, o sistema manteve uma Taxa de Falso Positivo (FPR) estável de 0,034 e detectou com sucesso todas as janelas de ataque injetadas dentro de duas rodadas do início, mesmo quando os atacantes mudaram de estratégia.

Significância e Alegações

O artigo afirma que o HashGuard-FL aborda uma lacuna crítica na segurança de FL ao integrar detecção e auditabilidade em um único framework. Sua significância reside em três escolhas de design:

1. Desacoplamento de Privacidade e Detecção: Ao usar projeção de hash determinística em vez de ruído aditivo (como no Diferencial de Privacidade), ele preserva a informação estrutural necessária para a detecção enquanto garante que os gradientes brutos nunca sejam expostos.
2. Robustez Implícita: O loop de treinamento adversário fornece uma garantia de "pior caso" contra ataques adaptativos que o gerador pode sintetizar, uma capacidade que detectores estáticos não possuem.
3. Segurança Temporal: Ao adotar primitivas pós-quânticas, o framework garante que as garantias de integridade sobrevivam aos ciclos de vida de décadas dos modelos de IA clínica, abordando a ameaça de "colher agora, decifrar depois" (harvest now, decrypt later) imposta pela computação quântica.

Os autores reconhecem limitações, incluindo a necessidade de 20 rodadas de "aquecimento" (warm-up) com dados limpos, o uso de uma matriz de projeção fixa (que poderia teoricamente ser inferida por um atacante adaptativo) e a necessidade de validação clínica real além da simulação. No entanto, eles posicionam o trabalho como um passo fundamental em direção à integridade de FL de granularidade fina e resiliente ao quantum.