LightSplit usa projeção ortogonal para blindar split learning contra ataques de reconstrução, aceito no NDSS 2027

Split learning é uma forma de treinamento colaborativo de redes neurais em que o modelo é dividido entre dispositivos clientes (que processam a parte inicial da rede) e um servidor central (que processa o restante), trocando apenas as ativações intermediárias na “camada de corte”, em vez de dados brutos ou gradientes completos do modelo. Essa divisão foi originalmente motivada por eficiência computacional em dispositivos de borda, mas a literatura de segurança já mostrou repetidamente que essas ativações intermediárias, apesar de parecerem abstratas, ainda carregam informação suficiente para que um servidor curioso (ou comprometido) tente reconstruir aproximações dos dados originais do cliente — um ataque conhecido como ataque de reconstrução ou de inversão de modelo.

O LightSplit, de Mert Cihangiroglu, Alessandro Pegoraro, Phillip Rieger, Antonino Nocera e Ahmad-Reza Sadeghi, ataca esse problema aplicando uma projeção aleatória ortogonal fixa exatamente na camada de corte, fundamentada em teoria da informação de Shannon: a projeção atua como um gargalo informacional que restringe deliberadamente quanta informação específica de cada instância passa para o servidor, descartando parte da representação original de forma irreversível, já que a projeção não é invertível. Como a técnica não exige nenhum componente treinável adicional no lado do cliente, ela permanece leve o suficiente para dispositivos de borda, e preserva a diferenciabilidade de ponta a ponta via retropropagação exata de gradientes, não exigindo mudanças na arquitetura de split learning já existente — o servidor opera normalmente sobre as representações projetadas.

Os números reportados mostram que a defesa funciona sem destruir a utilidade do sistema: em compressões de até 32 vezes, o LightSplit mantém pelo menos 94% da acurácia de linha de base em conjuntos de imagem como CIFAR-10 e GTSRB, e contra o ataque de reconstrução mais forte testado — um ataque co-treinado especificamente para tentar inverter a projeção — a similaridade estrutural (SSIM) da reconstrução cai em até 87,3%, enquanto a taxa de reidentificação de sujeitos em um conjunto de dados de atividade humana (UCI HAR) cai mais da metade. O trabalho foi aceito no NDSS Symposium 2027, uma das conferências de maior peso em segurança de redes e sistemas, o que indica que passou por revisão por pares rigorosa nesse domínio específico.

Na prática, esse resultado importa porque split learning vem sendo adotado como alternativa de privacidade a enviar dados brutos ou modelos completos para um servidor central, mas a mera divisão do modelo não é, por si só, uma garantia de privacidade — ativações intermediárias continuam sendo um vetor de fuga de informação se não forem tratadas deliberadamente. O LightSplit mostra que é possível reduzir simultaneamente custo de comunicação e risco de reconstrução com uma intervenção simples e barata na camada de corte, sem reescrever a arquitetura de treinamento distribuído, o que facilita adoção em sistemas de aprendizado federado/distribuído já implantados que hoje tratam as ativações do cut-layer como implicitamente seguras.