Dupla ofuscação combina criptografia de imagens e gradientes ruidosos para proteger aprendizado federado
Um grupo de pesquisadores japoneses propôs combinar duas técnicas de proteção — zerar aleatoriamente parte dos elementos do gradiente e cifrar as imagens de treinamento com chaves únicas por cliente e por imagem — para dificultar ataques de reconstrução de imagem em aprendizado federado com Vision Transformers. O método reduziu a informação visual recuperada pelo ataque APRIL sem adicionar perda de desempenho além da já causada pela própria cifragem.
Assim como no caso de LLMs, aprendizado federado para classificação de imagens também sofre com ataques de reconstrução: é possível recuperar as imagens de treinamento originais a partir das atualizações de modelo compartilhadas, mesmo quando os dados brutos nunca saem do cliente. Este trabalho, aceito na APSIPA ASC 2026, ataca o problema por dois ângulos simultâneos em vez de um só.
A primeira camada de proteção zera aleatoriamente uma fração dos elementos do gradiente antes de enviá-lo ao servidor, reduzindo a quantidade de informação original disponível para um eventual atacante. A segunda camada cifra as próprias imagens de treinamento, usando uma chave independente para cada cliente e para cada imagem — o que evita a necessidade de compartilhar essas chaves explicitamente entre as partes. As duas técnicas são complementares: uma reduz o sinal no gradiente, a outra reduz a interpretabilidade visual de qualquer imagem eventualmente reconstruída.
Testado contra o ataque APRIL (Attention Privacy Leakage) em um Vision Transformer numa tarefa de classificação de imagens, o método combinado reduziu a informação visual recuperável sem penalidade adicional de acurácia além da já imposta pela cifragem isolada. Os próprios autores são honestos quanto ao limite do resultado: a combinação "não oferece garantia absoluta de segurança", apenas um benefício prático mensurável.
O trabalho reforça uma tendência visível também no AEGIS (outro item desta edição): defesas contra vazamento em aprendizado federado estão migrando de soluções de mão única (só ruído, ou só criptografia) para combinações de mecanismos complementares, reconhecendo que nenhuma técnica isolada fecha todos os canais de vazamento — uma lição relevante para quem avalia aprendizado federado como estratégia de privacidade para dados sensíveis.