🤖 machine learning

MLQENABLER: Enabling Secure Machine Learning Queries over Encrypted Database in Cloud Computing

Das Papier schlägt MLQENABLER vor, ein indexgestütztes Schema, das sichere Abfragen für maschinelles Lernen über verschlüsselte Datenbanken in Cloud-Speichern ermöglicht und dabei ein Gleichgewicht zwischen Datensicherheit und akzeptabler ML-Leistung erreicht.

Ursprüngliche Autoren: Xu Zhou, Haoyang Chen, Xinyu Lei

Veröffentlicht 2026-07-10

📖 5 Min. Lesezeit🧠 Tiefgang

CC0 1.0

Ursprüngliche Autoren: Xu Zhou, Haoyang Chen, Xinyu Lei

Originalarbeit unter CC0 1.0 der Gemeinfreiheit gewidmet (http://creativecommons.org/publicdomain/zero/1.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie haben ein riesiges, supergeheimes Fotoalbum, das Sie in der Cloud speichern möchten. Sie möchten, dass das Cloud-Unternehmen zwei Dinge für Sie tut: Ihre Fotos vor neugierigen Blicken schützen und sie auch nutzen, um eine superintelligente KI zu trainieren, die Gesichter oder Objekte erkennen kann.

Der knifflige Teil dabei ist: Wenn Sie Ihre Fotos in einem Standard-Safe einschließen (Verschlüsselung), sieht das Cloud-Unternehmen nur ein Durcheinander aus zufälligem Rauschen. Das Cloud-Unternehmen kann mit statischem Rauschen keine KI trainieren. Aber wenn Sie die Fotos jedoch unverschlüsselt lassen, damit die KI daraus lernen kann, kann das Cloud-Unternehmen (oder ein Hacker) Ihre Geheimnisse stehlen. Es ist ein klassisches „Entweder einsperren oder nutzen“-Dilemma.

Hier kommt MLQENABLER ins Spiel, ein neues Schema, das von den Forschern Xu Zhou, Haoyang Chen und Xinyu Lei von der Michigan Technological University vorgeschlagen wurde. Denken Sie an MLQENABLER als einen magischen „Übersetzer“, der dieses Rätsel löst, ohne das Schloss zu brechen.

Der magische Übersetzer: EncGAN

Anstatt Ihre Fotos einfach nur einzuschließen, erstellt MLQENABLER für jedes Bild eine spezielle „Schattenkopie“. Es verwendet ein cleveres Werkzeug namens EncGAN (Encryption Generative Adversarial Network).

Stellen Sie sich einen Meisterfälscher (den Generator) und einen scharfsinnigen Kunstkritiker (den Diskriminator) vor. Der Fälscher versucht, ein gefälschtes Foto zu erstellen, das so sehr wie ein zufälliges Rauschmuster aussieht, dass selbst der Kritiker keinen Unterschied feststellen kann. Gleichzeitig fungiert ein Rekonstruktor wie ein Code-Knacker, der versucht, das gefälschte Rauschen wieder in das ursprüngliche Foto zurückzuverwandeln.

Durch dieses hochspannende Spiel lernt der Fälscher, „sichere Index-Elemente“ zu erstellen. Diese Elemente sehen für den Cloud-Server wie zufälliges Rauschen aus (was Ihre Privatsphäre schützt), aber sie enthalten dennoch die verborgene „Form“ des ursprünglichen Fotos, sodass die KI daraus lernen kann.

Was sie versuchten (und warum sie „Nein“ sagten)

Die Forscher untersuchten andere Wege, um dieses Problem zu lösen, fanden diese jedoch unzureichend:

Full Homomorphic Encryption (FHE): Dies ist so, als würde man versuchen, Mathematik an einem verschlossenen Safe durchzuführen, ohne ihn zu öffnen. Die Arbeit legt nahe, dass dies zu langsam ist; es könnte mehrere Stunden dauagen, nur um ein einfaches 4-schichtiges KI-Modell auf einem normalen Computer zu trainieren.
Differential Privacy (DP): Dies fügt den Daten zufälliges „Rauschrauschen“ hinzu, um Details zu verbergen. Die Arbeit argumentiert, dass dies ein ungeschickter Ansatz ist. Wenn man zu viel Rauschen hinzufügt, wird die KI verwirrt und macht Fehler. Wenn man zu wenig hinzufügt, sind die Geheimnisse nicht sicher. Es ist ein schlechter Kompromiss.
Federated Learning (FL): Hierbei bleiben die Daten auf Ihrem Gerät und nur Aktualisierungen werden an die Cloud gesendet. Die Arbeit weist auf einen Fehler hin: Während Ihre Daten verborgen bleiben, wird das fertige KI-Modell selbst geleakt. Wenn das Modell Ihr geistiges Eigentum ist, könnte das Cloud-Unternehmen es stehlen und verkaufen.

Wie es in der realen Welt funktioniert

Im MLQENABLER-System verschlüsseln Sie Ihre Fotos mit einem Standard-Schloss (wie AES), damit das Cloud-Unternehmen sie nicht lesen kann. Dann verwenden Sie Ihren geheimen Schlüssel, um mithilfe des EncGAN diese „sicheren Index-Elemente“ (die Schattenkopien) zu generieren. Sie senden sowohl die verschlüsselten Fotos als auch die Schattenkopien an die Cloud.

Die Cloud trainiert ihre KI auf den Schattenkopien. Da die Schattenkopien wie zufälliges Rauschen aussehen, kann das Cloud-Unternehmen nicht herausfinden, was Ihre Fotos tatsächlich zeigen. Aber weil die Schattenkopien von dem speziellen Übersetzer erstellt wurden, kann die KI dennoch die richtigen Muster lernen.

Wenn Sie der KI eine Frage stellen möchten (wie „Ist das eine Katze?“), senden Sie ein spezielles „Token“ (eine Schattenversion Ihrer Frage) an die Cloud. Die Cloud führt die Frage durch ihre trainierte KI und sendet die Antwort zurück. Das Cloud-Unternehmen sieht niemals Ihr echtes Foto oder Ihre echte Frage.

Die Ergebnisse: Sicher, aber mit einem kleinen Preis

Die Forscher testeten dies an sechs verschiedenen Bilddatensätzen, darunter CIFAR-10, CIFAR-100, Tiny-ImageNet, GTSRB und CelebA. Sie verwendeten zwei verschiedene KI-Modelle: ResNet-18 und SwinV2-T.

Hier ist, was die Experimente zeigten:

Privatsphäre: Die „Schattenkopien“ sahen so sehr wie zufälliges Rauschen aus, dass das Cloud-Unternehmen sie nicht von tatsächlichen Zufallsdaten unterscheiden konnte. Als sie versuchten, die auf diesen Schatten trainierte KI zu nutzen, um die Originalbilder zu erraten, scheiterte dies kläglich; die Genauigkeit war nicht besser als reines Raten (z. B. bei CIFAR-10 sank die Genauigkeit von 95,75 % auf 10,18 %, was im Grunde einer bloßen Vermutung entspricht).
Leistung: Die auf den Schattenkopien trainierte KI war immer noch sehr gut, aber nicht perfekt. Die Genauigkeit sank im Vergleich zum Training mit den echten Fotos leicht ab.
- Für ResNet-18 lag der Rückgang zwischen 0,07 % und 3,05 %, mit einem durchschnittlichen Rückgang von 1,13 %.
- Für SwinV2-T lag der Rückgang zwischen 0,21 % und 6,13 %, mit einem durchschnittlichen Rückgang von 2,86 %.
- Der größte Rückgang trat beim CIFAR-100-Datensatz mit dem SwinV2-T-Modell auf, wo die Genauigkeit um 6,13 % sank.

Die Arbeit kommt zu dem Schluss, dass MLQENABLER erfolgreich sicheres maschinelles Lernen über verschlüsselte Datenbanken ermöglicht. Sie legt nahe, dass man zwar einen winzigen Teil der Genauigkeit verliert (die „leichte Verschlechterung der ML-Leistung“), man aber im Gegenzug die Möglichkeit gewinnt, die Rechenleistung der Cloud zu nutzen, ohne seine Geheimnisse preiszugeben. Es ist ein Kompromiss, den die Autoren für absolut lohnenswert halten, da Cloud-Speicher günstig und Privatsphäre unbezahlbar ist.

Technisches Resümee: MLQENABLER

Problemstellung

Die Arbeit befasst sich mit dem Dilemma zwischen Sicherheit und Nutzen im Modell des Cloud Storage with Machine Learning-based Service (CSS-MLS). In diesem Modell bieten Cloud-Service-Provider (CSPs) Speicherung als Primärdienst an und nutzen Kundendaten, um sekundäre Machine-Learning-Dienste (z. B. Empfehlungssysteme) bereitzustellen. Während dieses Modell wirtschaftliche und funktionale Vorteile bietet, wirft es erhebliche Sicherheitsbedenken auf, da öffentliche Clouds nicht voll vertrauenswürdig sein können. CSPs können finanzielle Anreize haben, Daten zu verkaufen, Mitarbeiter könnten Daten stehlen oder Server könnten anfällig für Hacking sein.

Die Standardlösung besteht darin, Daten vor der Auslagerung zu verschlüsseln. Die traditionelle Verschlüsselung (z. B. AES, 3DES) macht Daten jedoch zu pseudozufälligen Zahlen, was das Training von ML-Modellen oder Abfragen auf dem verschlüsselten Datensatz unmöglich macht. Bestehende Lösungen für dieses Problem leiden unter spezifischen Einschränkungen:

Fully Homomorphic Encryption (FHE): Rechentechnisch ineffizient für das Training tiefer neuronaler Netze.
Differential Privacy (DP): Basiert auf grober Rauschzugabe, was zu einem schlechten Kompromiss zwischen Datennutzen (Genauigkeit) und Sicherheit führt.
Federated Learning (FL): Schützt weder die Abfrageprivatsphäre noch die Modellprivatsphäre (das trainierte Modell selbst kann preisgegeben werden).

Die Kernherausforderung besteht darin, ein System zu entwerfen, das ML-Abfragen und -Training über verschlüsselte Daten ermöglicht und gleichzeitig Ciphertext-Privatsphäre, Index-Privatsphäre, Abfrage-Token-Privatsphäre und Modell-Privatsphäre bewahrt.

Methodik: MLQENABLER

Die Autoren schlagen MLQENABLER (ML Queries Enabler) vor, ein indexgestütztes Framework, das die Datenspeicherung von der ML-Nützlichkeit entkoppelt. Das System umfasst vier Entitäten: Speicher-Clients, Nicht-Speicher-Clients, einen Cloud-Server und einen Key Generation Server (KGS).

Kernmechanismus: EncGAN

Das System basiert auf einer Generative Adversarial Network (GAN)-Architektur namens EncGAN, die aus drei Komponenten besteht:

Generator ( $G$ ): Fungiert als globaler geheimer Schlüssel. Er transformiert ursprüngliche Datenelemente in "sichere Index-Elemente".
Diskriminator ( $D$ ): Trainiert, um zwischen echten Daten und den generierten Index-Elementen zu unterscheiden.
Reconstructor ( $R$ ): Trainiert, um die ursprünglichen Daten aus dem sicheren Index-Element wiederherzustellen.

Operativer Arbeitsablauf

Schlüsselgenerierung: Der KGS sammelt einen Datensatz (z. B. aus dem Internet), um den EncGAN zu trainieren. Der trainierte Generator ( $G$ ) wird als geheimer Schlüssel an die Clients verteilt.
Datenpräparation (Client-Seite):
- Verschlüsselung: Clients verschlüsseln ihre Rohdaten formal mit einer Standardverschlüsselung (z. B. AES) unter Verwendung eines lokalen geheimen Schlüssels, um Ciphertext-Privatsphäre zu gewährleisten.
- Index-Generierung: Clients speisen die ursprünglichen Datenelemente in den Generator $G$ ein, um sichere Index-Elemente zu erzeugen. Diese Elemente sind so konzipiert, dass sie von zufälligem Rauschen ununterscheidbar sind, um Index-Privatsphäre zu gewährleisten.
- Auslagerung: Clients laden sowohl die verschlüsselten Daten als auch die sicheren Index-Elemente (zusammen mit den Klassenlabels) in die Cloud hoch.
ML-Training (Cloud-Seite): Der Cloud-Server trainiert ML-Modelle direkt auf den sicheren Index-Elementen. Das resultierende Modell wird als $M'$ bezeichnet.
Abfrageverarbeitung:
- Um eine Abfrage durchzuführen, verwendet ein Client den geheimen Schlüssel $G$ , um ein neues Datenelement $q$ in ein sicheres Token $G(q)$ zu transformieren.
- Die Cloud verarbeitet $G(q)$ unter Verwendung des trainierten Modells $M'$ , um ein Ergebnis zu erzeugen.
- Das reale nutzbare Modell ist effektiv die Komposition $M = G \circ M'$ . Da die Cloud nur $M'$ besitzt und nicht $G$ , kann sie das wahre Modell nicht rekonstruieren, was die Modell-Privatsphäre sicherstellt.

Privatsphäre-Garantien

Ciphertext-Privatsphäre: Wird durch Standardverschlüsselung (AES/3DES) erreicht.
Index-Privatsphäre: Wird dadurch erreicht, dass der Generator $G$ mittels eines adversariellen Verlusts trainiert wurde, um die Index-Elemente ununterscheidbar von zufälligen Daten zu machen.
Token-Privatsphäre: Tokens werden durch denselben sicheren Prozess wie die Index-Elemente erzeugt.
Modell-Privatsphäre: Die Cloud hält nur das auf obfuskierten Daten trainierte Modell ( $M'$ ). Ohne den geheimen Schlüssel $G$ kann die Cloud das Modell nicht auf reale Daten anwenden.

Wichtige Beiträge

Problemformulierung: Die Arbeit definiert formal das CSS-MLS-Modell und die spezifischen Privatsphäre-Anforderungen (Ciphertext-, Index-, Token- und Modell-Privatsphäre), die zur Sicherung dieses Modells erforderlich sind.
Framework-Design: Schlägt MLQENABLER vor, ein Framework, das eine Standardverschlüsselung für die Datenspeicherung und eine GAN-basierte Index-Generierungsmethode nutzt, um ML-Nützlichkeit zu ermöglichen.
EncGAN-Design: Führt eine GAN-basierte Methode ein, bei der der Generator Index-Elemente erzeugt, die von zufälligen Daten ununterscheidbar sind (was die Index-Privatsphäre schützt), während ein Reconstructor sicherstellt, dass die Elemente genügend Struktur für das ML-Training behalten.
Loss-Function-Controllable (LFC) Rauschen: Die Arbeit charakterisiert den Verschlüsselungsprozess als eine neue Art von privatsphäre-wahrender Technik, bei der die Rauschzugabe durch spezifische Verlustfunktionen gesteuert wird, was einen feineren Ansatz bietet als das grobe Rauschen von Differential Privacy.

Experimentelle Ergebnisse

Die Autoren evaluierten MLQENABLER auf sechs Bilddatensätzen (CIFAR-10, CIFAR-100, Tiny-ImageNet, GTSRB, CelebA und DIV2K) unter Verwendung von ResNet-18 und SwinV2-T Architekturen.

Privatsphäre (Index-Ununterscheidbarkeit): Visuelle Vergleiche und Analysen der Patch Information Entropy (Patch IE) zeigen, dass die sicheren Index-Elemente visuell nicht von Zufallsbildern zu unterscheiden sind und Entropiewerte aufweisen, die ähnlich wie bei zufälligem Rauschen sind, was signifikant höher ist als bei den Originalbildern.
Autorisierte Genauigkeit (Authorized Accuracy, AA): Das System behält eine hohe Nützlichkeit für autorisierte Nutzer bei.
- Für ResNet-18 lag der Genauigkeitsabfall (Original vs. Index) zwischen 0,07 % und 3,05 % (Durchschnitt 1,13 %).
- Für SwinV2-T lag der Abfall zwischen 0,21 % und 6,13 % (Durchschnitt 2,86 %).
- Die größte Verschlechterung trat bei CIFAR-100 auf, während GTSRB einen minimalen Verlust (< 0,25 %) zeigte.
Unautorisierte Genauigkeit (Unauthorized Accuracy, UA): Modelle, die auf Index-Elementen trainiert wurden, performten bei Tests auf originalen (unverschlüsselten) Daten auf dem Niveau von Zufallstippen.
- Bei CIFAR-10, 100 und Tiny-ImageNet lag die UA nahe am Baseline-Niveau des Zufallstippens (z. B. ~10 % für 10 Klassen).
- Dies bestätigt, dass das trainierte Modell $M'$ ohne den geheimen Schlüssel $G$ unbrauchbar ist, was das geistige Eigentum des Modells effektiv schützt.

Bedeutung und Behauptungen

Die Arbeit behauptet, dass MLQENABLER den Kompromiss zwischen Datensicherheit und ML-Fähigkeit in Cloud-Umgebungen erfolgreich löst. Durch den Einsatz eines Index-Hilfsansatzes erreicht es vier gleichzeitige Privatsphäre-Ziele (Ciphertext-, Index-, Token- und Modell-Privatsphäre), die vorangegangene Techniken (FHE, DP, FL) nicht gemeinsam erreichen konnten.

Die Autoren behaupten, dass das System nur eine geringfügige ML-Leistungsminderung verursacht, während es gleichzeitig starke Sicherheitsgarantien bietet. Sie positionieren den EncGAN-Mechanismus nicht nur als Lösung für dieses spezifische Problem, sondern als eine neue Art von Loss-Function-Controllable (LFC) Rauschzugabe-Technik, die über diese Arbeit hinaus für andere privatsphäre-wahrende Anwendungen anwendbar sein könnte. Die Arbeit wird als praktische Lösung für die "Datenteilhabe-Ökonomie" im Zeitalter von Big Data präsentiert, die es Cloud-Providern ermöglicht, ML-Dienste anzubieten, ohne die Privatsphäre oder das geistige Eigentum der Kunden zu gefährden.