In der modernen digitalen Welt reisen sensible Informationen oft zu Servern, die wir nicht kontrollieren. Ein Arzt versendet vielleicht eine Röntgenaufnahme eines Patienten an einen entfernten Cloud-Dienst, um eine Diagnose durchzuführen, oder ein Forscher lädt private medizinische Aufzeichnungen in eine gemeinsame Datenbank hoch, um Analysen durchzuführen. Um diese Daten zu schützen, ist eine gängige Strategie, sie vor dem Versenden zu verschlüsseln. Dieser Prozess, bekannt als Instanz-Kodierung, transformiert die ursprüngliche, sensible Datei in eine neue, komprimierte Version namens Embedding. Die Hoffnung ist, dass diese neue Version genügend Informationen enthält, damit der entfernte Server seine Aufgabe erfüllen kann, aber nicht genug, um den Prozess umzukehren und die ursprüngliche, private Datei wiederherzustellen. Jahrelang beruhte dieser Ansatz auf Versuch und Irrtum. Praktiker bauten diese Verschlüsseler und testeten sie gegen bekannte Hacking-Versuche, in der Hoffnung, dass sie sicher seien, wenn sie diese Tests überlebten. Doch ohne eine solide theoretische Garantie blieb die grundlegende Frage unbeantwortet: Wie schwer ist es tatsächlich, die Daten zu entschlüsseln, und können wir das beweisen, bevor wir dem System unsere Geheimnisse anvertrauen?

Ein Team von Forschern der Pennsylvania State University hat nun einen neuen Weg gefunden, um diese Frage zu beantworten. Sie entwickelten einen Satz mathematischer Grenzwerte, die vorhersagen, wie genau ein Angreifer die ursprünglichen Daten aus ihrer verschlüsselten Version rekonstruieren könnte. Im Gegensatz zu früheren Versuchen, die oft versagten, weil sie die spezifische Funktionsweise des Verschlüsselungswerkzeugs nicht berücksichtigten oder verlangten, dass das Werkzeug zufälliges Rauschen hinzufügt, um effektiv zu sein, funktionieren diese neuen Grenzwerte selbst dann, wenn das Werkzeug perfekt deterministisch ist und gar kein Rauschen hinzufügt. Die Forscher fanden heraus, dass die Sicherheit des Systems stark von der Geometrie der Datentransformation abhängt. Insbesondere wenn der Encoder bestimmte Informationsrichtungen verwirft, während er andere beibehält, wird es viel schwieriger, die Daten zu rekonstruieren. Ihre neuen Grenzwerte sind enger gefast und genauer als ältere Methoden; sie identifizieren korrekt, wann ein System wirklich sicher und wann es verwundbar ist, selbst in Fällen, in denen frühere Theorien suggerierten, es sei sicher.

Die Forscher konzentrierten sich auf eine spezifische Art des Privatsphärenschutzes, bei der ein Benutzer eine modifizierte Version seiner Daten an einen nicht vertrauenswürdigen Server sendet. Das Ziel besteht darin, die Daten für Aufgaben wie das Training von Modellen der künstlichen Intelligenz nützlich zu halten, während es gleichzeitig unmöglich gemacht wird, den ursprünglichen Input zu rekonstruieren. Lange Zeit war die einzige Möglichkeit, die Funktionsweise eines Systems zu beurteilen, es zu versuchen zu brechen. Wenn ein Angreifer das Bild oder den Text nicht wiederherstellen konnte, galt das System als sicher. Aber dies ist eine fragile Verteidigung. Nur weil ein Angreifer noch keinen Weg gefunden hat, ein Schloss zu knacken, bedeutet das nicht, dass das Schloss unknackbar ist. Die Forscher wollten über dieses Raten hinausgehen. Sie suchte nach einer theoretischen Garantie, einem Weg, den minimalen Fehler zu berechnen, den ein Angreifer bei dem Versuch, die Daten zu rekonstruieren, unweigerlich machen würde. Dieser Fehler fungiert als Sicherheitspuffer; je höher der Fehler ist, desto privater bleiben die Daten.

Vorherige Arbeiten in diesem Bereich hatten einen grundlegenden Grenzwert etabliert, der jedoch erhebliche Mängel aufwies. Dieser ältere Grenzwert funktionierte nur, wenn der Encoder zufälliges Rauschen zu den Daten hinzufügte – eine Technik, die viele praktische Systeme nicht verwenden, da sie die Qualität der Daten verschlechtern kann. Darüber hinaus war dieser Grenzwert oft zu locker, was bedeutete, dass er ein System als sicher vorhersagte, obwohl es eigentlich recht leicht zu brechen war. Er maß den Fehler auch nur auf eine sehr spezifische Weise, indem er den durchschnittlichen Unterschied zwischen Pixeln oder Zahlen betrachtete, was nicht immer erfasst, ob das rekonstruierte Bild dem Original ähnelt oder sensible Details enthält. Die neue Forschung adressiert all diese Probleme. Das Team leitete eine neue Familie von Grenzwerten ab, die die interne Struktur des Encoders berücksichtigen. Sie erkannten, dass ein Encoder wie ein Filter wirkt, der Daten in einen neuen Raum projiziert. Einige Richtungen in diesem Raum bewahren Informationen, während andere sie verwerfen. Die neuen Grenzwerte messen exakt, wie viel Information in diesen verworfenen Richtungen verloren geht.

Die Forscher entdeckten, dass die Sicherheit des Systems durch das „Spektrum“ des Encoders bestimmt wird, welches beschreibt, wie stark er Informationen entlang verschiedener Richtungen bewahrt. Wenn ein Encoder viel Information wegwirft, insbesondere Informationen, die schwer aus allgemeinem Wissen abzuleiten sind, werden die Daten sehr schwierig zu rekonstruieren. Ihre neuen Grenzwerte sind wesentlich enger als die alten, was bedeutet, dass sie den Erfolg eines Angreifers präziser vorhersagen. In vielen Fällen deuteten die alten Grenzwerte darauf hin, dass ein Angreifer die Daten leicht wiederherstellen könnte, während die neuen Grenzwerte zeigten, dass die Rekonstruktion sehr schlecht verlaufen würde, oder umgekehrt. Entscheidend ist, dass diese neuen Grenzwerte selbst dann funktionieren, wenn der Encoder absolut kein zufälliges Rauschen hinzufügt. Dies ist eine große praktische Verbesserung, da viele reale Systeme deterministische Encoder verwenden, die nicht auf Zufälligkeit für die Sicherheit angewiesen sind.

Um ihre Theorie zu testen, wandten die Forscher ihre neuen Grenzwerte auf eine Vielzahl von Szenarien unter Verwendung zweier gängiger Bilddatensätze an: MNIST, der handgeschriebene Ziffern enthält, und CIFAR-10, der kleine Farbbilder von Objekten wie Katzen, Hunden und Flugzeugen enthält. Sie testeten verschiedene Arten von Encodern, einschließlich einfacher linearer Transformationen und komplexer tiefer neuronaler Netze, und unterzogen sie verschiedenen Angriffsmethoden. In jedem Fall hielten die neuen Grenzwerte stand. Der tatsächliche Fehler der Angreifer fiel nie unter den vorhergesagten Grenzwert. Die Forscher fanden auch heraus, dass ihre Grenzwerte signifikant enger waren als der bisherige Standard, insbesondere wenn der Encoder darauf ausgelegt war, bestimmte Arten von Informationen zu verwerfen. Beispielsweise, wenn der Encoder so konfiguriert war, dass er bestimmte Richtungen im Datenraum ignorierte, sagten die neuen Grenzwerte korrekt voraus, dass die Rekonstruktion extrem schwierig sein würde, während die alten Grenzwerte diese Schwierigkeit nicht erfassen konnten.

Die Studie führte auch eine neue Methode zur Messung der Schwierigkeit der Rekonstruktion ein, die nützlicher ist als nur die Betrachtung der rohen Fehlermerkmale. Da die absolute Größe des Fehlers schwer zu interpretieren sein kann, schlugen die Forscher ein Verhältnis vor, das den tatsächlichen Rekonstruktionsfehler mit dem maximal möglichen Fehler vergleicht, falls der Encoder gar nichts preisgeben würde. Dieses Verhältnis, das sie als „Verhältnis zum Deckel“ (ratio to ceiling) bezeichnen, dient als praktischer Indikator für die Privatsphäre. Ein niedriges Verhältnis bedeutet, dass der Angreifer kaum besser abschneidet als ohne jegliche Daten, was auf starke Privatsphäre hindeutet. Ein hohes Verhältnis bedeutet, dass der Angreifer viele Informationen zurückgewinnt. Als sie die rekonstruierten Bilder visualisierten, fanden sie eine klare Korrelation: Bilder mit einem niedrigen Verhältnis sahen aus wie verschwommener, unerkennbarer Lärm, während Bilder mit einem hohen Verhältnis deutliche Details des ursprünglichen Objekts zeigten.

Einer der überraschendsten Befunde betraf den Unterschied zwischen den beiden Datensätzen. Die Forscher fanden heraus, dass handgeschriebene Ziffern aus dem MNIST-Datensatz viel schwieriger zu schützen waren als die komplexen Bilder in CIFAR-10. Selbst wenn die theoretischen Grenzwerte suggerierten, dass die Daten sicher sein sollten, konnten die Angreifer die Ziffern oft mit überraschender Genauigkeit rekonstruieren. Der Grund liegt in der Natur der Daten selbst. Handgeschriebene Ziffern sind sehr einfach und liegen auf einer niedrigdimensionalen Struktur; das Wissen um das Label einer Ziffer (zum Beispiel, dass es eine „7“ ist) liefert so viele Informationen, dass ein Angreifer die Form der Ziffer mit sehr wenig Daten erraten kann. Im Gegensatz dazu sind die Bilder in CIFAR-10 viel variabler. Zu wissen, dass ein Bild eine „Katze“ enthält, hilft einem Angreifer nicht dabei, die spezifischen Merkmale dieser speziellen Katze zu rekonstruieren, da einzelne Katzen sehr unterschiedlich aussehen können. Dies deutet darauf hin, dass das erforderliche Schutzniveau stark von der Art der geteilten Daten abhängt.

Die Forscher verbesserten auch die praktischen Werkzeuge, die zur Berechnung dieser Grenzwerte benötigt werden. Um dies zu erreichen, mussten sie die statistischen Muster der Daten verstehen, ein Konzept, das als „Data Prior“ bekannt ist. Anstatt ein neues Modell von Grund auf neu zu trainieren, um diese Muster zu lernen, zeigten sie, dass bestehende, vortrainierte Modelle der künstlichen Intelligenz verwendet werden können, um den Data Prior mit hoher Genauigkeit zu schätzen. Dies macht die neuen Grenzwerte in realen Situationen viel einfacher anwendbar. Sie testeten verschiedene Methoden zur Schätzung der notwendigen Komponenten ihrer Formel und fanden heraus, dass die Verwendung einer kleinen Stichprobe von Daten oft ausreichte, um ein zuverlässiges Ergebnis zu erzielen, was die Berechnung effizient genug für den praktischen Gebrauch machte.

Letztendlich bietet diese Arbeit eine dringend benötigte theoretische Grundlage für eine populäre Privatsphäre-Technik. Sie bewegt das Feld weg von der Abhängigkeit von empirischen Tests, die getäuscht werden können, hin zu einem rigorosen Verständnis dessen, was einen Encoder sicher macht. Die neuen Grenzwerte zeigen, dass Sicherheit nicht nur daraus besteht, Rauschen hinzuzufügen oder das System komplex zu gestalten; es geht darum, wie das System mit der Geometrie der Information umgeht. Indem man die richtigen Arten von Informationen verwirft, kann ein Encoder die Rekonstruktion unmöglich machen, selbst ohne jegliche Zufälligkeit. Obwohl die Studie nicht behauptet, das Problem der Privatsphäre für immer gelöst zu haben, bietet sie ein leistungsfähiges neues Werkzeug für Designer, um ihre Systeme zu bewerten. Es ermöglicht ihnen, bereits vor dem Einsatz zu sehen, ob ihre Kodierungsmethode stark genug ist, um sensible Daten zu schützen, oder ob sie lediglich eine Illusion von Sicherheit darstellt. Die Ergebnisse legen nahe, dass diese neuen Grenzen für viele reale Anwendungen, insbesondere bei komplexen Daten wie natürlichen Bildern, ein zuverlässiges Maß für die Privatsphäre bieten können, um sicherzustellen, dass die mit nicht vertrauenswürdigen Servern geteilten Daten wirklich privat bleiben.