Ataque por inversao de modelo com GANs reconstroi imagens de ressonancia a partir de aprendizado federado
Pesquisadores demonstraram um ataque de inversao de modelo contra sistemas de aprendizado federado (federated learning) usados em imagens medicas, usando uma GAN convolucional profunda (DCGAN) para reconstruir, a partir das atualizacoes de modelo compartilhadas, imagens sinteticas de ressonancia cerebral semanticamente reconhecıveis -- sob premissas realistas sobre o que um atacante pode observar. A mitigacao via privacidade diferencial no cliente reduz o sucesso do ataque mas piora a acuracia do modelo; os autores mostram que personalizar o treinamento federado por cliente recupera parte dessa acuracia perdida, sem abrir mao da privacidade diferencial.
Aprendizado federado foi desenhado para reduzir risco de privacidade: em vez de centralizar dados sensiveis (como imagens de ressonancia cerebral de pacientes) em um servidor, cada hospital ou clinica treina um modelo localmente e compartilha apenas as atualizacoes de parametros com um servidor agregador. A premissa e que atualizacoes de modelo revelam muito menos do que os dados brutos. Este trabalho ataca justamente essa premissa, mostrando que, mesmo sem acesso aos dados originais, e possivel reconstruir informacao sensivel a partir do que e compartilhado.
Tecnicamente, o ataque usa uma rede generativa adversarial convolucional profunda (DCGAN) treinada para, a partir das atualizacoes de gradiente ou de parametros observadas no processo de agregacao federada, gerar imagens sinteticas que reproduzem padroes semanticos presentes nos dados de treinamento originais -- no caso testado, imagens de ressonancia magnetica cerebral do dataset Brain MRI ND-5. Os autores enfatizam que o ataque opera sob premissas realistas sobre o conhecimento e a capacidade do atacante (ou seja, nao exige acesso privilegiado alem do que um participante ou observador do processo federado legitimamente teria), o que torna o cenario mais preocupante do que ataques de inversao que dependem de acesso de caixa-branca total ao servidor agregador.
Como defesa, o trabalho aplica privacidade diferencial (DP) no lado do cliente -- adicionando ruido calibrado as atualizacoes antes de envia-las ao agregador, de forma a limitar matematicamente quanto qualquer atualizacao individual revela sobre os dados de origem. Isso reduz o sucesso do ataque de inversao, mas como e esperado em DP, introduz uma perda de acuracia do modelo final. A contribuicao adicional dos autores e mostrar que incorporar personalizacao por cliente ao aprendizado federado (ajustar o modelo global a particularidades de cada participante, em vez de forcar um unico modelo compartilhado) recupera parte dessa acuracia perdida sob DP, sem reverter a protecao de privacidade.
Na pratica, isso importa especialmente para aprendizado federado em saude, onde a justificativa regulatoria e etica para usar FL e exatamente evitar centralizar dados de pacientes -- se essa premissa de que compartilhar atualizacoes de modelo e seguro nao se sustenta sem DP, qualquer implantacao de FL medico que ainda nao adotou privacidade diferencial no cliente esta, na pratica, oferecendo uma falsa sensacao de protecao de dados de pacientes, e precisa revisar essa decisao de arquitetura.