Privacy-Preserving Machine Learning from Storage to Inference: Integrating Authenticated Encryption with Fully Homomorphic Encryption

Stellen Sie sich eine Welt vor, in der Ihre sensibelsten persönlichen Aufzeichnungen – Ihr Einkommen, Ihre Krankengeschichte, Ihre Familiendetails – von leistungsstarken Computern in der Cloud analysiert werden könnten, ohne dass diese Computer die eigentlichen Informationen jemals sehen. Dies ist das Versprechen eines Feldes namens privatsphärenwahrendes maschinelles Lernen. Jahrelang bestand ein großes Hindernis: Um Daten zu analysieren, müssen sie normalerweise entschlüsselt werden, wodurch sie in Klartext umgewandelt werden, den jeder mit Zugriff auf den Server potenziell lesen könnte. Während wir hervorragende Möglichkeiten haben, Daten zu verschließen, wenn sie auf einer Festplatte liegen, und gute Wege, sie während des Transports über das Internet zu schützen, werden sie in dem Moment, in dem sie für eine Berechnung verarbeitet werden, oft verwundbar. Eine neuere Technologie, bekannt als vollhomomorphe Verschlüsselung, versucht dies zu lösen, indem sie es Computern ermöglicht, Berechnungen an verschlüsselten Daten durchzuführen, ohne sie jemals zu entschlüsseln. Ein System zu bauen, das Daten vom Moment der Speicherung bis zum Moment der Analyse und Rückgabe schützt, blieb jedoch eine komplexe Herausforderung.

Ein Team von Forschern hat nun einen funktionierenden Prototyp entwickelt und getestet, der diese beiden Welten miteinander verbindet. Sie schufen ein System, das die Daten mit einem starken digitalen Siegel verschlossen hält, während sie in der Speicherung liegen, und dann auf eine andere, komplexere Weise verschlüsselt hält, während sie von einem entfernten Server analysiert werden. Das Ziel war es zu sehen, ob dieser doppelte Schutz in einem realen Arbeitsablauf funktionieren kann, ohne die Genauigkeit der Ergebnisse zu beeinträchtigen. Die Forscher konzentrierten sich auf eine spezifische Art der Analyse namens logistische Regression, die häufig verwendet wird, um Ergebnisse basierend auf einer Reihe von Zahlen vorherzusagen, wie etwa die Bestimmung, ob ein Haushalt aufgrund von Faktoren wie Einkommen und Bildung gefährdet ist. Sie wollten wissen, ob sie diese Daten an einen Server senden konnten, dem sie nicht vertrauten, den Server die Zahlen auf den verschlüsselten Daten berechnen lassen und ein korrektes Ergebnis zurückerhalten konnten, während sie gleichzeitig sicherstellten, dass der Server niemals die Rohzahlen oder den Schlüssel zu ihnen sah.

Um dies zu testen, erzeugte das Team zweitausend gefälschte Haushaltsdatensätze. Dies waren keine echten Menschen, sondern synthetische Daten, die darauf ausgelegt waren, die Struktur realer Informationen nachzuahmen, einschließlich zehn verschiedener numerischer Merkmale wie Haushaltsgröße und Entfernung zu Wasserquellen. Sie nutzten diese Daten, um ein Computermodell zu trainieren, das ein „Vulnerabilitäts“-Label (Verwundbarkeit) vorhersagt. Zuerst etablierten sie eine Baseline, indem sie die Analyse an normalen, unverschlüsselten Daten durchführten. Dieses Standardmodell arbeitete sehr gut und identifizierte den Status der Datensätze etwa neunzig Prozent der Zeit korrekt. Dieser hohe Wert diente als Goldstandard, gegen den sie ihr verschlüsseltes System messen würden.

Als Nächstin bauten sie die sichere Pipeline auf. Wenn ein Benutzer einen Datensatz analysieren wollte, rief das System diesen zuerst aus der Speicherung ab, wo er durch eine Methode geschützt war, die die Daten nicht nur verschlüsselte, sondern auch einen digitalen Fingerabdruck hinzufügte, um sicherzustellen, dass niemand damit manipuliert hatte. Der Computer des Benutzers entschlüsselte den Datensatz dann lokal, bereitete ihn vor und verschlüsselte ihn erneut unter Verwendung der speziellen homomorphen Verschlüsselung. Dieses neue Schloss ermöglichte es dem entfernten Server, die notwendigen mathematischen Operationen durchzuführen, ohne die tatsächlichen Zahlen zu sehen. Der Server, den die Forscher als nicht vertrauenswürdig behandelten, erhielt nur die verschlüsselten Daten und das verschlüsselte Modell. Er führte die Berechnung durch und sendete das verschlüsselte Ergebnis an den Benutzer zurück, der es dann entschlüsselte, um die endgültige Vorhersage zu sehen.

Die Ergebnisse zeigten, dass dieser Ansatz funktioniert. Als die Forscher die Vorhersagen des verschlüsselten Systems mit dem Goldstandard verglichen, war der Unterschied kaum wahrnehmbar. Die verschlüsselten Modelle, die mit unterschiedlichen Ebenen der numerischen Präzision getestet wurden, erreichten Genauigkeitswerte zwischen etwa neunzig und einundneunzig Prozent und kamen damit fast an die Leistung des unverschlüsselten Modells heran. Tatsächlich erzielte eine spezifische Konfiguration des verschlüsselten Systems sogar einen etwas höheren Wert bei einem Maß für die Unterscheidung zwischen verschiedenen Gruppen, obwohl die Forscher anmerkten, dass dies ein kleiner Unterschied war und kein Zeichen dafür, dass die Verschlüsselung das Modell selbst verbessert. Die zentrale Erkenntnis war, dass der Datenschutz die Mathematik nicht kaputt gemacht hat.

Dieser Privatsphäre wohnt jedoch ein Preis in Form von Geschwindigkeit inne. Während die standardmäßige, unverschlüsselte Analyse fast augenblicklich erfolgt, dauerte die verschlüsselte Version signifikant länger. Die Forscher maßen die Zeit, die der Server für die Verarbeitung eines einzelnen Datensatzes benötigte, und fanden heraus, dass dies zwischen dreißig und einunddreißig Millisekunden dauerte. Dies mag schnell erscheinen, ist aber eine erhebliche Steigerung im Vergleich zur Arbeit mit unverschlüsselten Daten. In einem separaten Test, der die Zeit zum Abrufen der Daten aus einem Cold-Storage-Cache beinhaltete, dauerte der gesamte Prozess für einen Datensatz fast siebenhundert Millisekunden. Die Forscher betonten, dass diese Zahlen spezifisch für ihr Setup und die Art des verwendeten Modells sind, hoben aber hervor, dass die Technologie nach wie vor rechenintensiv ist.

Das System erwies sich zudem als robust gegenüber Manipulationen. Die Forscher versuchten absichtlich, ein einzelnes Byte der auf dem Server gespeicherten verschlüsselten Daten zu verändern. Als das System versuchte, diese modifizierten Daten zu lesen, schlug der digitale Fingerabdruck fehl, und das System lehnte die Datei korrekt ab, wodurch verhindert wurde, dass korrupte Informationen verwendet wurden. Darüber hinaus verhinderte das System erfolgreich, dass ein Benutzer auf die Dateien eines anderen Benutzers zugreifen konnte, was zeigte, dass die Speicherschicht die Daten effektiv isolierte.

Die Studie kommt zu dem Schluss, dass es möglich ist, ein vollständiges End-to-End-System zu bauen, das Daten sowohl während ihrer Speicherung als auch während ihrer Analyse durch einen externen Akteur schützt. Der Prototyp demonstrierte, dass man die Genauigkeit nicht opfern muss, um dieses Maß an Sicherheit zu gewinnen, sofern man bereit ist, die langsameren Verarbeitungszeiten zu akzeptieren. Die Arbeit beansprucht nicht, alle Probleme der sicheren Computertechnik gelöst zu haben; die Forscher merkten an, dass ihr Test einfache, synthetische Daten und ein einfaches Modell verwendete. Sie testeten nicht, wie das System mit massiven Datensätzen, komplexen Modellen künstlicher Intelligenz oder aktiven Angriffen umgehen würde, bei denen ein böswilliger Server versucht, das System zu täuschen. Dennoch dient das Experiment als Proof of Concept. Es zeigt, dass die zwei kritischen Phasen der Datenverarbeitung – Speicherung und Inferenz – mit starker Verschlüsselung verknüpft werden können, wodurch ein Workflow entsteht, in dem sensible Informationen vom Moment der Speicherung bis zum Moment der Rückgabe der Antwort unter der Kontrolle des Besitzers bleiben.