Google apresenta federated learning com garantias de privacidade verificáveis
Novo sistema de aprendizado federado com privacidade verificável
O Google Research anunciou uma nova geração de seu sistema de Federated Learning (FL), que usa Trusted Execution Environments (TEEs) para oferecer garantias de anonimização de dados externamente verificáveis e auditáveis. Ao deslocar o processamento para o servidor, o sistema melhora velocidade de treinamento, precisão e cobertura de dispositivos. O Gboard já adotou o sistema, com modelos de previsão de próxima palavra em inglês e japonês.
O FL foi introduzido pelo Google em 2017 como técnica de treinamento de modelos sobre dados descentralizados e privados, e está por trás de recursos como previsão de próxima palavra e Smart Compose no Gboard, sugestões de resposta no Google Messages e Smart Text Selection no Android. O desenvolvimento segue quatro princípios de privacidade: minimização de dados, anonimização, transparência e controle, e verificabilidade e auditabilidade. Em 2025, o Google apresentou uma definição atualizada de FL centrada nesses princípios.
Arquitetura baseada em TEEs
A lógica em TEEs é remotamente atestável - terceiros podem verificar o código executado - além de ganhar confidencialidade e integridade, sujeita às limitações das TEEs atuais. O sistema coordena quatro conceitos: (1) dispositivos clientes criptografam localmente os exemplos de treinamento, autorizam previamente uma política de acesso (conjunto de computações TEE permitidas) publicada em um log de transparência público; (2) um Key Management System (KMS), um cluster de TEEs que implementa o protocolo de consenso RAFT, só entrega chaves de descriptografia a workloads que correspondem às políticas; (3) uma TEE de processamento executa um programa Python com o loop de treinamento, delegando subtarefas a TEEs trabalhadoras, usando a Federated Language, linguagem open source derivada do TensorFlow Federated; (4) o programa salva um estado de recuperação criptado pelo KMS para tolerar falhas sem vazamento de informações sensíveis.
Como a privacidade é fortalecida
Em sistemas anteriores, não havia como observadores externos verificarem que os dados não eram registrados ou inspecionados; o Secure Aggregation protegia criptograficamente os envios, mas era incompatível com garantias centrais de privacidade diferencial (DP) de ponta. No novo sistema, apenas métricas e pesos de modelo com DP ficam visíveis aos operadores; os dados criptografados só podem ser descriptografados e processados dentro de TEEs, por tempo limitado após o envio.
As políticas de acesso são publicadas no Rekor, log de transparência público, observável por auditores externos, e os binários podem ser reconstruídos de forma reprodutível a partir do código aberto no repositório Confidential Federated Compute, no GitHub. Para proteger arquiteturas proprietárias sem perder auditabilidade, as TEEs suportam sideloading de informações em tempo de execução, desde que toda a lógica relevante à privacidade permaneça fixa no programa Python. O post ressalva que observações por canais laterais ainda exigem pesquisas futuras e que a confiança no operador do servidor é progressivamente reduzida, mas não totalmente eliminada.
Ganhos no Gboard e próximos passos
Antes, treinar esses modelos podia levar de 1 a 2 meses, limitado pela disponibilidade dos dispositivos, pelo poder de cálculo local e pela competição entre workloads pelos mesmos dispositivos. Com o novo sistema, o gargalo migrou para o servidor: como todos os envios são coletados antes da execução, variações diurnas de disponibilidade deixam de afetar o treinamento, e a programação ótima de participação dos dispositivos pode ser calculada dinamicamente para ajustar parâmetros de DP. A paralelização em muitas máquinas acelera significativamente o treinamento, hoje limitado apenas pela disponibilidade de recursos de TEE. Curvas derivadas de um modelo de previsão de próxima palavra em inglês, treinado por 5.000 rodadas com coortes de 6.500 dispositivos, mostram garantias de privacidade mais fortes e/ou multiplicadores de ruído menores.
Como o cálculo dos gradientes migrou ao servidor, as limitações de hardware dos dispositivos desaparecem, abrindo caminho para modelos maiores via FL, o que deve exigir integração de TEEs com aceleradores. O Google também experimenta executar outras cargas na infraestrutura, como geração de dados sintéticos e inferência de LLMs. A empresa espera que TEEs futuras e pesquisas contra canais laterais ofereçam proteções mais profundas e que sistemas assim possam, um dia, vir com provas completas de correção das implementações dos algoritmos de DP.