PPFLex usa computação multipartidária segura para corrigir vazamento de privacidade em aprendizado federado otimizado

O aprendizado federado (Federated Learning, FL) permite treinar um modelo de visão computacional compartilhado entre vários clientes — no caso deste estudo, câmeras ou sistemas de percepção de veículos — sem que nenhum cliente precise enviar seus dados brutos (imagens) para um servidor central, enviando apenas atualizações de modelo. O desafio prático é que, quando os dados de diferentes clientes têm distribuições muito diferentes entre si (dados não-IID, um cenário comum e esperado em frotas de veículos operando em regiões e condições distintas), o desempenho do modelo agregado cai. Métodos de FL mais avançados contornam isso compartilhando informação adicional sobre o comportamento do gradiente de cada cliente — "guidance matrices" — que ajudam o servidor a combinar melhor as atualizações. O problema, identificado empiricamente neste trabalho, é que essa informação extra de gradiente, pensada apenas para melhorar a otimização, também carrega informação suficiente para que um servidor central malicioso infira quais classes (rótulos) cada cliente possui em seu conjunto de dados local.

No experimento de vazamento de privacidade, os autores simulam distribuições heterogêneas de rótulos entre clientes usando partições baseadas em distribuição de Dirichlet — uma forma padrão de simular não-IID em pesquisa de FL — e mostram que um servidor adversarial, usando apenas as matrizes de orientação compartilhadas, consegue inferir os conjuntos de rótulos dos clientes com acurácia entre 50% e 84%, dependendo do grau de heterogeneidade simulado. Esse é um vazamento de privacidade relevante em cenários de percepção veicular, onde o conjunto de classes de objetos que um veículo encontra com frequência pode revelar informação sensível sobre rotas, localização habitual ou padrões operacionais daquele veículo específico, informação que o paradigma de FL deveria, em princípio, proteger.

A mitigação proposta, PPFLex, é estrutural: em vez de um único servidor central que recebe e processa as matrizes de orientação de cada cliente, o papel do servidor é dividido entre três servidores que executam um protocolo de computação multipartidária segura (MPC). Sob o modelo de segurança adotado — que cobre tanto servidores semi-honestos (que seguem o protocolo mas tentam extrair informação passivamente) quanto servidores maliciosos (que podem desviar do protocolo) —, o cálculo da matriz de orientação global e da média federada é realizado de forma distribuída entre os três servidores, de modo que nenhum deles individualmente tem acesso aos dados de gradiente brutos de nenhum cliente específico, apenas a fragmentos criptograficamente protegidos que só revelam informação quando combinados conforme o protocolo.

Avaliado em datasets de classificação de sinais de trânsito (GTSRB e BTSC), usados como representativos de percepção de veículos autônomos, o PPFLex mantém acurácia de modelo comparável à do pipeline original em texto plano (sem a proteção MPC), ao custo de uma sobrecarga computacional e de comunicação adicional considerada aceitável pelos autores. O resultado importa porque mostra um padrão recorrente em pesquisa de ML: otimizações pensadas puramente para melhorar desempenho sob restrições técnicas (aqui, dados não-IID) frequentemente introduzem canais de vazamento de privacidade não intencionais que só são descobertos depois que a técnica já está em uso, reforçando a necessidade de uma análise de privacidade dedicada sempre que uma nova forma de compartilhamento de informação auxiliar é adicionada a um protocolo de aprendizado distribuído, mesmo quando a informação compartilhada não é, à primeira vista, "dados do usuário".