Aprendizaje federado: entrenamiento de modelos en datos distribuidos

El 17 de febrero de 2016, un equipo de Google encabezado por H. Brendan McMahan publicó «Communication-Efficient Learning of Deep Networks from Decentralized Data», el artículo que bautizó una idea con nombre propio. Sus autores lo formularon así: proponen «una alternativa que deja los datos de entrenamiento distribuidos en los dispositivos móviles, y aprende un modelo compartido agregando actualizaciones calculadas localmente. Denominamos a este enfoque descentralizado Federated Learning».

La promesa se resume en una frase que desde entonces aparece en todas las presentaciones del sector: sus datos nunca salen de su teléfono. Y es verdad. El problema es que casi todo el mundo oye otra cosa distinta —«sus datos están a salvo»— y esas dos afirmaciones no son la misma. Distinguirlas es lo más útil que puede llevarse de este artículo.

Cómo funciona, en cuatro pasos

El servidor central envía el modelo actual a un conjunto de dispositivos. Cada uno lo entrena un poco con los datos que ya tiene —sus mensajes, sus fotos, sus hábitos— y calcula una actualización: la diferencia entre el modelo que recibió y el que le ha salido. Esa actualización, y no los datos, viaja de vuelta. El servidor promedia las actualizaciones de miles de dispositivos, obtiene un modelo mejorado y repite el ciclo.

La motivación original no fue principalmente la privacidad, sino la logística. Los propios autores lo dicen sin ambages: «los costes de comunicación son la restricción principal», y su método reduce las rondas necesarias «entre 10 y 100 veces» frente al descenso de gradiente sincronizado convencional. Mover modelos es más barato que mover petabytes de fotos.

Hay un segundo obstáculo, más sutil y muy real. Los datos de cada dispositivo no son una muestra aleatoria del mundo: las fotos de un teléfono son de una persona, en unos sitios, con unos gustos. En la jerga, están «desbalanceados y no idénticamente distribuidos», y los autores destacan que su método demostró ser robusto ante esa característica, que describen como definitoria de este escenario. Un algoritmo que promedia contribuciones muy dispares y aun así converge no es un detalle: es la razón de que esto funcione fuera del laboratorio.

Dónde se usa de verdad

El 6 de abril de 2017, McMahan y Daniel Ramage describieron el primer despliegue real: Gboard, el teclado de Android, para mejorar las sugerencias de búsqueda. «Cuando Gboard muestra una consulta sugerida», explican, «su teléfono almacena localmente información sobre el contexto actual y sobre si usted pulsó la sugerencia».

Los detalles operativos importan más de lo que parece, porque son los que hacen viable la idea en un aparato que alguien lleva en el bolsillo: «el entrenamiento ocurre solo cuando el dispositivo está inactivo, enchufado y con conexión inalámbrica gratuita, de modo que no hay impacto en el rendimiento del teléfono».

Y ese mismo texto, conviene subrayarlo, no se limita a prometer: nombra el mecanismo. Con agregación segura, «un servidor coordinador solo puede descifrar la actualización promedio si han participado cientos o miles de usuarios; ninguna actualización de un teléfono concreto puede inspeccionarse antes del promediado». Ése es el modo correcto de hacer una afirmación de privacidad: acompañada de la técnica que la sostiene y de su umbral.

Conviene además distinguir dos escenarios que se llaman igual y son problemas distintos. En el federado entre dispositivos participan millones de teléfonos poco fiables, cada uno con poquísimos datos, y la mitad se desconecta a media ronda. En el federado entre organizaciones —varios hospitales, varios bancos— hay un puñado de participantes estables con muchísimos datos cada uno, y el obstáculo deja de ser técnico para volverse contractual y regulatorio. Las soluciones no se trasladan de un caso al otro.

«No sale» y «no se sabe» son cosas distintas

Aquí está el núcleo. Lo que sale del dispositivo no son los datos, pero tampoco es una cifra inocua: es una función matemática calculada a partir de esos datos. Y las funciones, a veces, se pueden invertir.

En junio de 2019, Ligeng Zhu, Zhijian Liu y Song Han publicaron un artículo con un título que no admite ambigüedad: «Deep Leakage from Gradients», fuga profunda a partir de gradientes. Su resumen empieza describiendo la creencia que venían a demoler: «Durante mucho tiempo se creyó que los gradientes son seguros de compartir: es decir, que los datos de entrenamiento no se filtrarían mediante el intercambio de gradientes. Sin embargo, mostramos que es posible obtener los datos privados de entrenamiento a partir de los gradientes compartidos públicamente».

Y no hablan de una filtración vaga o estadística. Sus resultados, en sus palabras, muestran que «la recuperación es exacta píxel a píxel para imágenes y coincide token a token para textos». Es decir: a partir de la actualización que un dispositivo envía, se puede reconstruir la imagen concreta con la que entrenó. Los propios autores cierran diciendo que quieren «concienciar a la gente para que replantee la seguridad del gradiente».

Lo que el campo hizo al respecto

Conviene decirlo con claridad, porque lo contrario sería alarmismo: esto no invalida el aprendizaje federado, y quienes lo desarrollan lo saben desde hace años. Existen defensas, y son reales.

La agregación segura hace que el servidor solo pueda descifrar la suma de muchas actualizaciones, nunca la de un participante concreto. La privacidad diferencial añade ruido calculado a cada aportación, de modo que se pueda demostrar matemáticamente cuánto puede aprenderse sobre un individuo. Y el propio artículo de la fuga propone su remedio: los autores señalan que «el método de defensa más efectivo es la poda del gradiente» —enviar solo una parte de la actualización, no toda—.

Lo importante, y lo que casi nunca se dice en un folleto, es que ninguna de las tres es gratis. El ruido de la privacidad diferencial cuesta precisión. La agregación segura cuesta cómputo y coordinación. Podar gradientes cuesta velocidad de aprendizaje. La privacidad en estos sistemas no es una propiedad que se tiene o no se tiene: es un presupuesto que se gasta, y alguien decide cuánto.

La capacidad que se lleva usted

Generalice el patrón, porque va a encontrárselo constantemente y casi nunca con esta etiqueta. Cada vez que alguien le asegure que no envía sus datos sino algo derivado de sus datos —agregados, anonimizados, estadísticas, telemetría, «solo metadatos», un identificador «hasheado»—, la pregunta correcta no es si el dato original viaja. Es esta:

¿Qué se puede reconstruir a partir de lo que sí viaja?

Casi siempre, más de lo que parece. Un derivado conserva información sobre su origen; ésa es exactamente la razón de ser de un derivado, porque si no conservara nada no serviría para entrenar nada. La utilidad y la fuga son, hasta cierto punto, la misma propiedad vista desde dos lados.

Y la segunda pregunta, que separa un compromiso serio de una frase de marketing: ¿qué defensa concreta se ha aplicado, y qué ha costado? Quien responde «agregación segura con este parámetro, y nos cuesta esto en precisión» está gestionando un riesgo. Quien responde «sus datos nunca salen de su dispositivo» está contestando a otra pregunta.

Por dónde seguir, sin intermediarios

Los dos artículos son públicos y gratuitos. El de McMahan y sus colegas es sorprendentemente legible y explica el algoritmo de promediado con detalle. El de Zhu, Liu y Han incluye las reconstrucciones de imágenes, y verlas cambia bastante la intuición sobre lo que es un gradiente.

La capacidad que se lleva de aquí es no confundir el lugar donde está un dato con el control sobre ese dato — y preguntar siempre qué se puede reconstruir a partir de lo que sí se comparte.