Privacidade, robustez e imparcialidade em detecção federada de intrusão: o dilema da indistinguibilidade geométrica na agregação
O estudo mostra que, em sistemas federados de detecção de intrusão de rede, privacidade diferencial formal, robustez contra participantes bizantinos e boa cobertura de ataques raros não se combinam de graça como a literatura costuma assumir. Usando o dataset UNSW-NB15 com DP-SGD e agregação por mediana por coordenada sob ataques de inversão de rótulos e envenenamento de modelo, os autores demonstram que o ruído de privacidade dispersa as atualizações dos clientes a ponto de a agregação robusta confundir sinais de ataques raros com outliers maliciosos. O resultado é uma degradação desproporcional da detecção justamente nas categorias de ataque mais escassas, com um piso residual de desempenho que persiste mesmo após ajuste do orçamento de privacidade.
Sistemas de detecção de intrusão em redes (NIDS) baseados em aprendizado federado prometem permitir que múltiplas organizações colaborem no treinamento de modelos de segurança sem expor dados brutos de tráfego, o que é atraente do ponto de vista de privacidade e conformidade regulatória. Na prática, porém, uma implantação operacional precisa atender simultaneamente a três exigências: garantias formais de privacidade diferencial, tolerância a clientes bizantinos ou maliciosos que tentam corromper o modelo global, e capacidade de detectar categorias de ataque raras em bases de dados severamente desbalanceadas, como costuma ocorrer com tráfego malicioso real. A literatura em geral trata essas três propriedades como módulos independentes que podem ser simplesmente empilhados — aplica-se DP-SGD para privacidade, agregação robusta para resistir a adversários, e pronto. Este artigo desafia essa suposição, tanto na teoria quanto empiricamente.
Os autores introduzem o conceito de "indistinguibilidade geométrica" para descrever o que acontece na interface de agregação quando privacidade e robustez interagem: o ruído adicionado pelo DP-SGD para satisfazer a privacidade diferencial dispersa as atualizações enviadas pelos clientes, tornando os padrões estatísticos das classes minoritárias (ataques raros) mais difíceis de distinguir de ruído aleatório ou de atualizações genuinamente maliciosas. Usando o dataset UNSW-NB15 como estudo de caso, o time avalia essa dinâmica combinando DP-SGD com agregação por mediana por coordenada (uma técnica clássica de robustez bizantina) sob ataques de inversão de rótulos (label-flip) e de envenenamento de modelo, medindo a cobertura de detecção separadamente por categoria de ataque. Os resultados mostram evidências de que o uso conjunto de ruído de privacidade e agregação robusta degrada desproporcionalmente a detecção das classes raras em comparação com as majoritárias — ou seja, a mediana por coordenada, criada justamente para filtrar atualizações anômalas de atacantes, acaba também filtrando o sinal legítimo, porém estatisticamente incomum, de ataques pouco frequentes.
Os autores ainda decompõem esse efeito, mostrando que parte do colapso de desempenho observado sob privacidade forte decorre de miscalibração no treinamento (algo que pode ser mitigado com ajustes), mas que sobra um piso residual de desempenho para categorias ultrarraras mesmo depois de otimizar o parâmetro epsilon de privacidade. Isso indica que não se trata apenas de um problema de calibração de hiperparâmetros, mas de uma tensão estrutural entre as três propriedades quando combinadas em um mesmo pipeline federado.
Na prática, isso importa porque times de segurança que adotam aprendizado federado para NIDS corporativos ou multi-organizacionais frequentemente empilham essas técnicas — privacidade diferencial por exigência regulatória, agregação robusta por medo de participantes maliciosos — assumindo que cada uma resolve seu problema isoladamente. O artigo sugere que essa combinação pode sair cara justamente onde mais importa: nas categorias de ataque mais raras e potencialmente mais perigosas, como exfiltração de dados sofisticada ou técnicas de intrusão pouco comuns, que são exatamente os casos em que detectar poucos exemplos corretamente já é um desafio. Privacidade e robustez, portanto, não formam um pacote "ganha-ganha" automático em detecção de intrusão, e os autores defendem que a modelagem consciente da agregação e uma avaliação sensível ao tamanho das amostras por classe sejam tratadas como parte do projeto de sistemas federados confiáveis, e não como um ajuste posterior.