Vazamento de privacidade em aprendizado federado: inferência de identidade de clientes via gradientes e defesas para sensores inerciais em redes veiculares
Pesquisadores mostram que, mesmo sem acessar dados brutos de sensores, um servidor de aprendizado federado pode identificar qual veículo enviou cada atualização de modelo apenas analisando os gradientes/pesos transmitidos, com acurácia próxima de 100%. O estudo usa dados de sensores inerciais (IMU) do benchmark HAR como proxy para telemetria veicular e testa uma defesa de recorte de gradiente combinado com ruído gaussiano (privacidade diferencial), que derruba a taxa de identificação para quase aleatória com perda de acurácia do modelo abaixo de 5%. Os autores também apontam o uso de ensembles de FL como defesa estrutural complementar, sem custo de ruído.
O aprendizado federado (FL) é amplamente promovido como a solução de privacidade para redes veiculares conectadas a infraestrutura 5G/6G: em vez de enviar os dados brutos captados pelos sensores do carro para um servidor central, cada veículo treina localmente um modelo e compartilha apenas as atualizações de pesos (gradientes). A promessa é que, como os dados nunca saem do veículo, a privacidade dos motoristas e a anonimidade exigida por aplicações V2X críticas de segurança estariam preservadas. Este artigo mostra que essa promessa é falha: as próprias atualizações de gradiente carregam uma "impressão digital" estatística suficiente para revelar de qual cliente elas vieram.
Tecnicamente, os autores simulam um servidor "honesto mas curioso" (ou seja, que segue o protocolo mas tenta extrair informações extras) que recebe os deltas de peso enviados por diferentes clientes federados treinando sobre dados de sensores inerciais (IMU) — usando o benchmark público UCI Human Activity Recognition como substituto acessível para os fluxos de acelerômetro/giroscópio que equipamentos veiculares gerariam. Esse servidor treina cinco classificadores diferentes para tentar adivinhar a identidade do cliente apenas a partir dos gradientes recebidos, testando cinco formas distintas de distribuição não-uniforme de dados entre clientes. O resultado é que a identificação chega a uma acurácia próxima de 1,000 (praticamente perfeita) nas atualizações sem proteção, confirmando um risco concreto de reidentificação. Em seguida, os pesquisadores avaliam uma defesa leve de "clip-then-noise": primeiro recorta-se a magnitude do gradiente (limitando-a a um valor fixo) e depois se adiciona ruído gaussiano calibrado, com garantias formais de privacidade diferencial (epsilon, delta) calculadas via contabilidade de Rényi. Ajustando a intensidade do ruído numa faixa prática (sigma entre 0,1 e 0,2), a acurácia do ataque de identificação cai para próxima do acaso, com um custo de menos de 5% na acurácia final do modelo federado — um trade-off considerado favorável.
O motivo pelo qual isso importa vai além de uma curiosidade acadêmica: aplicações V2X de segurança crítica (como alerta de colisão, coordenação de tráfego e comunicação entre veículos e infraestrutura) dependem da premissa de que os participantes da rede federada permanecem anônimos entre si e frente ao servidor agregador. Se um servidor comprometido ou malicioso consegue associar atualizações de modelo a veículos específicos, isso permite rastrear padrões de movimento, comportamento de condução ou presença de um veículo em determinado local e horário — uma quebra direta de privacidade que se soma a outros riscos já conhecidos em aprendizado federado, como ataques adversariais, envenenamento de modelo (model poisoning) e inserção de backdoors. Os autores também propõem, como defesa complementar sem custo de ruído, o uso de ensembles de FL, que oferecem uma garantia estrutural de anonimato limitada por um fator 1/K (K sendo o tamanho do conjunto de anonimato).
É importante notar que os próprios autores fazem questão de frisar os limites do estudo: o benchmark HAR usado é explicitamente tratado como um proxy de laboratório para o comportamento de sensores inerciais, e não uma validação com telemetria veicular real. Os autores discutem o que seria necessário para validar essas descobertas em dados de veículos conectados de verdade, reforçando que os resultados — embora alarmantes quanto à viabilidade técnica do ataque — devem ser generalizados com cautela até serem reproduzidos em cenários automotivos reais.