Sovereign-Mohawk: Machine-Checked Hierarchical Byzantine Resilience and Probabilistic Composition for Federated Learning

No mundo moderno, os modelos de aprendizado de máquina são frequentemente grandes demais e os dados sensíveis demais para serem reunidos em um único lugar central. Em vez disso, uma técnica chamada aprendizado federado permite que milhares de dispositivos, desde smartphones a sensores industriais, treinem uma inteligência compartilhada sem nunca enviar seus dados privados para um servidor central. Cada dispositivo aprende com sua própria informação local e envia apenas um pequeno fragmento atualizado do modelo para ser combinado. Essa abordagem promete um futuro onde a inteligência artificial melhora sem comprometer a privacidade pessoal. No entanto, este sistema descentralizado enfrenta uma vulnerabilidade crítica: o problema "Bizantino". Neste contexto, uma falha Bizantina ocorre quando alguns participantes na rede agem de forma maliciosa ou apresentam mau funcionamento, enviando atualizações corrompidas projetadas para envenenar todo o modelo. Se mesmo um pequeno número de atores maldosos conseguir infiltrar seus dados corrompidos no cálculo final, todo o sistema pode falhar.

Para gerenciar a escala massiva de milhões de dispositivos, engenheiros frequentemente organizam esses participantes em uma hierarquia, como uma árvore com galhos e folhas. A ideia é que, se cada grupo local de dispositivos verificar seus próprios membros em busca de atores maldosos antes de enviar os dados para o topo da cadeia, toda a rede deverá permanecer segura. É uma suposição reconfortante: se cada supervisor local fizer o seu trabalho, o líder global ficará bem. Mas essa suposição, há muito tempo aceita como verdade no design desses sistemas, revela-se perigosamente falha. Um novo estudo de Ryan Williams, intitulado "Sovereign-Mohawk", expõe essa fraqueza oculta e oferece uma solução matematicamente comprovada que substitui o palpite pela certeza.

Os pesquisadores começaram testando a crença comum de que garantias de segurança locais garantem a segurança global. Eles construíram um modelo matemático formal de uma hierarquia de dois níveis, onde grupos de dispositivos enviam suas atualizações para supervisores regionais, que então enviam um resumo para um líder global. Em seu modelo, eles criaram um cenário onde cada um dos supervisores regionais seguiu as regras perfeitamente. Cada grupo local tinha uma maioria de dispositivos honestos, e os filtros locais bloquearam com sucesso os atores maldosos óbvios dentro de seus próprios pequenos círculos. No entanto, quando os pesquisadores olharam para o panorama geral, descobriram que a rede global era, na verdade, dominada por atores maldosos. Ao posicionar cuidadosamente os dispositivos maliciosos de modo que ficassem logo abaixo do limite de detecção em cada grupo local, eles conseguiram criar uma situação em que sessenta por cento da rede total era controlada por adversários. Os guardas locais estavam fazendo seu trabalho, mas o sistema como um todo havia colapsado. Isso não foi uma simulação de uma falha possível; foi uma prova verificada por máquina de que a antiga forma de pensar simplesmente não funciona.

Tendo refutado o método antigo, a equipe precisava de uma maneira de corrigir a hierarquia sem abandonar a eficiência do processamento local. Eles perceberam que o problema surgia porque o posicionamento dos dispositivos era previsível. Se um atacante sabe exatamente quais dispositivos serão agrupados, ele pode organizar seus nós maliciosos para passar pelas brechas. Para resolver isso, os pesquisadores introduziram um método de atribuição aleatória. Em vez de deixar os dispositivos em grupos fixos, eles propuseram embaralhá-los em comitês usando um processo semelhante a sortear nomes de um chapéu, mas feito com rigorosas garantias matemáticas. Eles provaram que, se os dispositivos forem atribuídos a esses comitês aleatoriamente, a chance de um grupo malicioso concentrar atores maldosos suficientes para quebrar um filtro local torna-se tão pequena que é efetivamente zero. Eles verificaram isso usando um sistema de computador projetado para verificar provas matemáticas, mostrando que, mesmo com cinquenta mil dispositivos em um comitê e um número significativo de atores maldosos na população total, a probabilidade de falha é menor do que um em um número tão vasto que possui mais zeros do que átomos no universo.

Este avanço teórico não foi deixado como uma ideia abstrata. Os pesquisadores construíram um sistema de software funcional para demonstrar que seu novo método poderia rodar no mundo real. Eles criaram um motor de alta velocidade escrito em uma linguagem chamada Go, que gerenciava o fluxo de dados entre milhares de dispositivos simulados. Este sistema incluía várias camadas de proteção para garantir a privacidade e a segurança. Ele adicionava um tipo específico de ruído matemático às atualizações de dados para evitar que alguém fizesse engenharia reversa das informações privadas dos usuários individuais. Também utilizou ferramentas criptográficas avançadas para provar que os dados enviados eram válidos sem revelar os dados em si, e empregou novos métodos de criptografia projetados para resistir a ataques de futuros computadores quânticos.

A equipe testou este sistema em um ambiente controlado que imitava uma rede massiva, executando até mil e quinhentos dispositivos virtuais em um único computador físico. Eles submeteram o sistema a ataques agressivos, nos quais até trinta e cinco por cento dos dispositivos estavam tentando ativamente sabotar o processo de aprendizado. Apesar dessa pressão intensa, o sistema manteve-se firme. O modelo continuou a aprender e melhorar, atingindo uma precisão de 86,4 por cento após cem rodadas de treinamento. Isso foi apenas uma queda minúscula comparado a um sistema perfeito e não atacado, que atingiu 88,2 por cento. O custo dessa segurança foi surpreendentemente baixo. O tempo extra necessário para verificar as provas e embaralhar os dispositivos adicionou apenas cerca de trinta e cinco milissegundos ao tempo total de cada rodada de treinamento, um atraso tão breve que é medido em microssegundos.

O trabalho representa uma mudança significativa na forma como pensamos sobre a segurança de inteligência artificial em larga escala. Ele move o campo para longe da dependência de suposições esperançosas sobre como as verificações locais escalam, e em direção a uma base de garantias rigorosas e verificadas por máquina. Ao provar que o antigo modelo hierárquico estava quebrado e fornecer uma nova maneira probabilística de organizar a rede, os pesquisadores mostraram que é possível construir sistemas que sejam simultaneamente eficientes e seguros contra atacantes determinados. O sistema "Sovereign-Mohawk" serve como um projeto para um futuro onde milhões de dispositivos podem colaborar com segurança, sabendo que sua inteligência coletiva é protegida não pela esperança, mas pela matemática que foi verificada até o seu menor detalhe.