Estudo mostra que quantizacao de modelos pode piorar ou melhorar resistencia a ataques de inversao, dependendo do bit
O artigo investiga como a quantizacao pos-treino -- reduzir a precisao numerica de pesos e ativacoes -- altera a eficacia de ataques de inversao de modelo, que reconstroem dados sensiveis de treino ou de inferencia a partir das saidas do modelo. Usando um limite teorico sobre a mudanca de informacao mutua induzida pela quantizacao e um metodo de quantizacao sensivel a privacidade que aloca bits por importancia da tarefa, os autores encontram sensibilidade pronunciada em 4 bits e mostram, em reconhecimento facial, de palma da mao e de iris, que e possivel reduzir significativamente o sucesso de ataques de inversao com perda controlada de acuracia.
Quantizacao pos-treino e aplicada rotineiramente por eficiencia de implantacao -- modelos menores, menos custo computacional. Ataques de inversao de modelo, por outro lado, reconstroem entradas sensiveis (rostos, biometria, registros de treino) a partir das saidas ou de caracteristicas intermediarias do modelo. O artigo pergunta se essa otimizacao de eficiencia muda, de forma nao intencional, a exposicao a privacidade.
Os autores derivam um limite sobre a mudanca de informacao mutua, induzida pela quantizacao, entre as entradas e a variavel categorica definida pelas probabilidades de predicao -- separando efeitos informacionais genuinos (o quanto a saida quantizada de fato revela) de meros obstaculos de otimizacao do ataque (o ataque ficar mais dificil de executar, sem estar realmente bloqueado). Isso revela sensibilidade pronunciada especificamente em 4 bits. A partir disso, propoem um metodo de quantizacao sensivel a privacidade que usa uma proxy do tipo Fisher para sensibilidade da tarefa na alocacao de bits por orcamento, calibra faixas de ativacao e otimiza conjuntamente escalas de peso e ativacao e decisoes de arredondamento.
Nos experimentos, em ResNet-50 com reconhecimento de palma da mao, a quantizacao em 4 bits com o metodo proposto reduz o sucesso estrito de um ataque de inversao de 54% para 26%, com a acuracia caindo de 99,01% para 96,55% em relacao a FP32. Combinando com uma defesa adicional em nivel de saida no reconhecimento de iris, o sucesso estrito de outro ataque cai de 63,33% para 37,33%, com acuracia caindo de 92,8% para 87,6%.
Equipes que implantam modelos biometricos quantizados por motivos de eficiencia em dispositivos de borda normalmente tratam a quantizacao como uma troca pura entre desempenho e acuracia. Este resultado mostra que a escolha de largura de bits tambem e uma decisao relevante para privacidade, e que selecionar o bit apenas perseguindo a menor perda de acuracia pode deixar mais ou menos informacao privada residual exposta a ataques de inversao do que o pretendido -- algo a considerar especificamente em sistemas de reconhecimento facial, de palma da mao e de iris.