Novo protocolo de agregação segura elimina repasse de dados entre usuários em federated learning com um único servidor
O trabalho propõe NFSA, um protocolo de agregação segura para federated learning que combina Shamir's Secret Sharing com PRF aditiva de duas partes para eliminar a necessidade de um servidor central repassar segredos entre os participantes, reduzindo overhead de comunicação e a superfície de risco associada a esse repasse. Os autores reportam ganhos de até 100x em eficiência de comunicação e redução de até 75% no tempo de computação do cliente em relação a esquemas anteriores.
Em federated learning, clientes treinam modelos localmente e enviam apenas atualizações (gradientes) a um servidor agregador, com o objetivo de preservar a privacidade dos dados brutos de cada participante. É sabido, porém, que atualizações de modelo não mascaradas podem vazar informação sobre os dados de treinamento originais por meio de ataques de inversão de gradiente, o que motiva o uso de protocolos de agregação segura antes que o servidor veja qualquer atualização individual.
Protocolos tradicionais de agregação segura exigem que o servidor repasse segredos compartilhados entre pares de usuários, o que aumenta o custo de comunicação e cria um ponto de risco adicional, já que o próprio servidor manuseia e retransmite material sensível entre os clientes. O NFSA combina Shamir's Secret Sharing com secret sharing aditivo 2-de-2 baseado em uma Pseudo-Random Function (PRF), estendida com uma PRF key-homomorphic para suportar atualizações de alta dimensionalidade, permitindo que a agregação ocorra sem que o servidor precise encaminhar dado nenhum entre os clientes.
Em implantações reais de federated learning — por exemplo em dispositivos móveis ou hospitais treinando modelos colaborativamente — o custo de comunicação costuma ser o gargalo prático que decide se um protocolo de privacidade é de fato usado ou descartado em favor de agregação em texto claro, mais barata porém insegura. Um esquema que reduz a comunicação em ordem de grandeza sem abrir mão da garantia contra um servidor honesto-mas-curioso torna a agregação segura viável em cenários com muitos participantes e atualizações grandes, como as de modelos de linguagem.
Uma ressalva importante é que o protocolo assume um único servidor honesto-mas-curioso e não substitui defesas contra clientes maliciosos que enviam atualizações deliberadamente envenenadas durante o treinamento — ele trata apenas do vazamento de privacidade no canal de agregação, não da integridade do processo de treinamento em si.