Conluio entre analista e participantes quebra anonimização por perturbação geométrica em aprendizado colaborativo

Geometric Data Perturbation é uma técnica de aprendizado colaborativo "de um round só": cada participante aplica uma transformação que preserva distâncias sobre seus próprios dados privados e envia apenas a representação transformada a um analista central, que treina um modelo sobre essas representações combinadas. A vantagem sobre aprendizado federado tradicional é não exigir múltiplas rodadas de comunicação nem coordenação síncrona. Um refinamento chamado Data Collaboration (DC) analysis usa uma matriz de âncoras compartilhada entre todos os participantes para alinhar as diferentes representações transformadas em um espaço comum, o que melhora a utilidade do modelo final — mas é justamente essa matriz de âncoras compartilhada que o paper identifica como o elo fraco.

O ataque de conluio funciona assim: se o analista central combina as representações enviadas por todos os participantes com as transformações e dados que participantes coniventes concordam em revelar, mais o conhecimento da matriz de âncoras compartilhada, ele consegue montar um sistema que recupera exatamente os dados privados de um participante que nunca cooperou com o ataque. Isso é mais grave do que um simples vazamento estatístico: os autores mostram recuperação exata, não aproximada, sob esse modelo de ameaça.

A correção óbvia — adicionar ruído diretamente às representações dos dados privados, como se faz em perturbação diferencial clássica — resolve o problema de segurança mas prejudica bastante a utilidade do modelo treinado sobre esses dados, porque introduz ruído justamente na informação que o modelo precisa aprender. A proposta central do artigo é perturbar em vez disso apenas a representação da matriz de âncoras (que cada participante transforma e polui de forma independente antes de enviar), preservando a representação dos dados privados intacta. O analista então resolve um Problema de Procrustes Ortogonal Generalizado usando as âncoras ruidosas para realinhar as representações privadas — os autores caracterizam formalmente o erro de alinhamento e de recuperação sob esse esquema, e mostram que ele resiste a três famílias de ataque de recuperação.

Em experimentos com MNIST e CelebA, a perturbação de âncoras manteve acurácia de aprendizado mais alta do que perturbar diretamente os dados privados, para um nível de vazamento medido comparável — ou seja, um trade-off privacidade-utilidade mais favorável dentro do modelo de conluio estudado. O ponto prático para quem avalia esquemas de colaboração de dados sem múltiplas rodadas é que compartilhar qualquer estrutura auxiliar comum entre participantes (como uma matriz de âncoras) pode se tornar, por si só, uma superfície de ataque quando o operador central não é totalmente confiável — um detalhe de design fácil de subestimar em esquemas otimizados primariamente para eficiência de comunicação.