Rischi per la privacy nei framework di apprendimento federato

Federated Learning (FL) è un modo per più gruppi o persone di collaborare per migliorare un modello di machine learning senza dover condividere i propri dati privati tra di loro. Ogni partecipante addestra un modello sui propri dati e condivide solo gli aggiornamenti con un server centrale. Questo processo aiuta a tenere al sicuro le informazioni personali, pur beneficiando della conoscenza collettiva.

FL sta diventando popolare in vari campi. Viene usato in applicazioni come il miglioramento delle previsioni della tastiera sugli smartphone, come GBoard, e in ambiti come l'imaging medico. Tuttavia, FL ha anche i suoi problemi. Gli attaccanti possono cercare di manomettere il modello inviando aggiornamenti dannosi, oppure possono trovare modi per raccogliere informazioni sensibili dai dati di altri utenti.

#Comprendere le minacce nel Federated Learning

Nel FL, ci sono diversi rischi che possono emergere. Un rischio significativo è quello del "model poisoning", dove un attaccante inganna alcuni partecipanti per far inviare aggiornamenti nocivi. Questo può danneggiare sia l'integrità del modello che la privacy dei partecipanti. Ci sono anche attacchi di inferenza, dove un esterno cerca di dedurre informazioni sensibili su individui basandosi sul comportamento o sull'output del modello.

Per combattere queste minacce, i ricercatori hanno sviluppato vari metodi e framework. Uno di questi framework è stato proposto nel 2021, con l'obiettivo di proteggere la privacy degli utenti mentre si rilevavano comportamenti dannosi nel FL.

#Framework di Federated Learning Potenziato per la Privacy

Il framework introdotto nel 2021 utilizzava un metodo chiamato crittografia omomorfa, che permette di fare calcoli su dati crittografati senza bisogno di decrittografarli prima. Si pensava fosse un modo per preservare la privacy degli utenti, consentendo comunque al server centrale di rilevare attività sospette dai partecipanti.

L'idea era che utilizzando questo framework, gli aggiornamenti dannosi potessero essere identificati senza rivelare informazioni personali sugli utenti. Tuttavia, dopo un'analisi più approfondita, è emerso che questo framework potrebbe non essere così privato come si pensava inizialmente.

#Identificazione dei problemi di privacy

Esaminando il framework potenziato per la privacy più da vicino, sono emersi diversi problemi di privacy. Il framework coinvolgeva più entità: un Centro di Generazione Chiavi che gestisce le chiavi di crittografia, i proprietari dei dati che addestrano i modelli, un fornitore di servizi che aggrega gli aggiornamenti e una piattaforma cloud che aiuta nei calcoli.

Ognuna di queste entità ha ruoli e gradi di fiducia diversi. I proprietari dei dati forniscono aggiornamenti, mentre il fornitore di servizi e la piattaforma cloud elaborano queste informazioni. Tuttavia, si è scoperto che il modo in cui queste entità comunicavano permetteva la possibilità che informazioni private venissero esposte.

#Analisi dei componenti del framework

Nel framework, ogni utente addestra il proprio modello e invia i propri aggiornamenti al fornitore di servizi. Questo fornitore di servizi poi aggrega gli aggiornamenti per creare un modello globale. Tuttavia, durante questo processo, è diventato evidente che la piattaforma cloud poteva captare quantità significative di informazioni sugli aggiornamenti degli utenti.

#Calcolo del Gradiente

Quando gli utenti inviano i loro aggiornamenti al fornitore di servizi, questi aggiornamenti possono essere considerati come un insieme di valori numerici noti come vettore gradiente. Anche se questi valori dovrebbero essere crittografati, il modo in cui vengono elaborati consente alla piattaforma cloud di ottenere informazioni su cosa contengono gli aggiornamenti.

#Calcolo della Mediana

Per calcolare un valore mediano dagli aggiornamenti degli utenti, il fornitore di servizi e la piattaforma cloud utilizzano un algoritmo specifico. Tuttavia, il metodo che hanno usato ha inavvertitamente rivelato informazioni. Utilizzando gli stessi valori casuali per tutti gli utenti durante il calcolo, la piattaforma cloud potrebbe vedere una distribuzione dei valori aggiornati. Questo ha permesso di raccogliere informazioni che avrebbero dovuto rimanere private.

#Calcolo della Correlazione di Pearson

Successivamente, il framework ha tentato di calcolare il Coefficiente di correlazione di Pearson, che aiuta a capire la relazione tra diversi set di dati. Tuttavia, si sono verificati simili leak di privacy. Poiché gli stessi valori casuali venivano riutilizzati, la piattaforma cloud poteva apprendere la relazione tra gli aggiornamenti degli utenti. Questo è stato un ulteriore violazione della privacy prevista.

#Aggregazione dei Gradienti

Infine, l'ultimo passaggio ha comportato l'aggregazione di tutti gli aggiornamenti degli utenti dopo averli regolati in base all'analisi di correlazione precedente. Anche qui, la piattaforma cloud è riuscita a vedere abbastanza informazioni da ricostruire tutti gli aggiornamenti degli utenti. Questa totale esposizione dei dati degli utenti contraddiceva la promessa di privacy del framework.

#Potenziali attacchi alla privacy

Comprendere queste lacune nella privacy rivela come un attaccante potrebbe sfruttarle. Se la piattaforma cloud agisse come un utente normale e inviasse i propri aggiornamenti, potrebbe raccogliere ancora più informazioni dai partecipanti. Questo comportamento non violerebbe le assunzioni fatte sulla fiducia della piattaforma cloud, il che significa che potrebbe raccogliere dati senza sollevare sospetti.

Inoltre, unendo le informazioni di vari calcoli, la piattaforma cloud potrebbe determinare l'insieme completo di aggiornamenti di tutti gli utenti. Questo rompe la promessa di privacy centrale che il framework doveva fornire.

#Necessità di miglioramenti

Nonostante le scoperte riguardanti le vulnerabilità della privacy nel framework introdotto nel 2021, molti studi successivi hanno continuato a riferirsi ad esso come possibile soluzione per il federated learning privato. Anche quando alcuni ricercatori hanno riconosciuto i problemi di privacy, molti altri hanno continuato a utilizzare i metodi difettosi senza rendersi conto dei rischi associati.

La persistenza di questi difetti nella ricerca in corso mette in evidenza la necessità di una maggiore consapevolezza e vigilanza nel garantire che le misure di protezione della privacy tutelino realmente i dati sensibili degli utenti.

#Conclusione

Il federated learning è un approccio promettente per il machine learning, che consente la collaborazione mantenendo i dati privati. Tuttavia, le lacune nella privacy identificate in alcuni framework rivelano che è fondamentale valutare e migliorare continuamente questi sistemi. I ricercatori devono assicurarsi che qualsiasi soluzione proposta protegga realmente la privacy degli utenti, invece di esporre inavvertitamente informazioni sensibili.

L'importanza di proteggere la privacy non può essere sottovalutata, soprattutto con l'emergere di ulteriori applicazioni di federated learning in vari campi. Man mano che la tecnologia evolve, anche i metodi utilizzati per salvaguardare le informazioni sensibili devono evolversi contro potenziali minacce.