Riscos de privacidade em redes neurais quantizadas

O problema

Redes neurais profundas (deep neural networks) são poderosas, mas exigem muita memória e poder computacional. Para rodar esses sistemas em celulares ou dispositivos limitados, usa-se a quantização (quantization). Essa técnica reduz o tamanho do modelo usando números com menos bits. A dúvida dos pesquisadores é se essa compressão protege os dados originais de treinamento contra ataques de inferência de membro (membership inference attacks ou MIAs).

O que os pesquisadores fizeram

A equipe realizou um estudo empírico abrangente testando oito tipos diferentes de ataques de inferência em seis métodos populares de quantização. Os testes abrangeram diferentes níveis de precisão, desde configurações mais comuns até reduções extremas. Imagine uma oficina testando várias ferramentas de corte para ver se alguma delas estraga o padrão das peças fabricadas. Os cientistas também avaliaram se defesas de privacidade tradicionais funcionam bem nesses modelos compactos.

O que descobriram

Os níveis práticos de quantização, entre quatro e oito bits, mantêm os modelos quase tão vulneráveis quanto as versões originais completas. Apenas reduções muito agressivas, como usar apenas dois bits, conseguiram diminuir os riscos de privacidade. No entanto, essa compressão extrema estraga a utilidade do modelo, fazendo com que ele funcione mal. Além disso, as defesas de privacidade antigas trouxeram poucos benefícios adicionais para os modelos quantizados.

Por que isso importa

Muitas empresas compactham seus modelos de inteligência artificial achando que isso garante mais segurança para os dados dos usuários. O estudo mostra que a compactação padrão não serve como ferramenta de proteção de privacidade. Desenvolvedores de tecnologia precisam repensar a segurança de seus sistemas. Não basta apenas diminuir o modelo para tentar esconder informações sensíveis.

Limites e o que falta

O trabalho analisou cenários específicos com determinados conjuntos de dados e arquiteturas de redes neurais. Os resultados mostram que o impacto varia dependendo de como o modelo foi treinado e atacado. Novas pesquisas são necessárias para criar defesas que protejam a privacidade sem prejudicar o desempenho do sistema. A área ainda precisa desenvolver mecanismos conjuntas de otimização.

Na prática

No futuro, empresas que reduzem o tamanho de inteligências artificiais para economizar espaço em servidores ou aplicativos precisarão adotar novas estratégias de segurança. O uso de modelos compactos por si só não impede que pessoas mal-intencionadas descubram quais dados foram usados no treinamento comercial.