Fairis propõe defesa contra 'fairness poisoning' em aprendizado federado usado por instituições financeiras

O trabalho, assinado por Devharsh Trivedi, Nesrine Kaaniche, Nikos Triandopoulos, Maryline Laurent e Jackson Walters, parte de um cenário concreto: instituições financeiras que treinam modelos em conjunto via aprendizado federado precisam que o modelo final seja simultaneamente preciso e justo entre grupos demográficos, já que discriminação algorítmica em crédito é matéria regulatória. O artigo mostra que um participante malicioso consegue sabotar essa fairness sem que isso apareça nas métricas de acurácia que defesas Bizantinas convencionais monitoram — e, pior, consegue enganar especificamente o mecanismo de ponderação do FairFed, que pondera clientes usando um escore de fairness global visível ao próprio adversário.

A defesa proposta, Fairis, calcula para cada cliente um peso normalizado a partir de um escore não normalizado baseado na diferença de Equal Opportunity local e um parâmetro de segurança η, combinando esse esquema com recorte de norma no servidor. Os autores provam formalmente três propriedades — redução monotônica de peso, participação demográfica garantida e não manipulabilidade ('Non-Gamesmanship') — e mostram que a combinação limita o deslocamento que um adversário pode impor ao modelo global, de forma estritamente decrescente na própria disparidade reportada por ele.

Isso importa na prática porque expõe uma classe de ataque que fica fora do radar de quem só audita acurácia: um atacante pode literalmente treinar o modelo para discriminar um subgrupo enquanto mantém indicadores agregados de desempenho estáveis, o que é exatamente o tipo de falha que passaria despercebida em uma auditoria de fairness superficial baseada só no output do modelo agregado. Como aponta o próprio artigo, sistemas de aprendizado federado com garantias de fairness formam uma superfície de ataque distinta da robustez tradicional contra Byzantine attacks, e escolher a defesa errada (ex.: uma que zera clientes com base em heurísticas frágeis) pode até ser pior que não ter defesa nenhuma em alguns cenários.

A ressalva mais importante do próprio trabalho é que a garantia de Fairis depende do 'honest score reporting' — ou seja, assume que o cliente reporta corretamente sua métrica de disparidade local, uma premissa que os autores explicitamente dizem não discutir a fundo. Isso significa que, em um cenário onde o adversário também consegue mentir sobre seu próprio escore de fairness (e não só sobre gradientes), a defesa proposta ainda tem uma lacuna em aberto — um ponto relevante para quem for avaliar Fairis para uso real antes de tratá-la como solução definitiva.