PrivaDE: Privacy-preserving Data Evaluation for Blockchain-based Data Marketplaces

Resumen Técnico: PrivaDE

1. El Problema

En el ecosistema de aprendizaje automático (ML) descentralizado y los mercados de datos basados en blockchain, existe una necesidad crítica de evaluar la utilidad de un conjunto de datos antes de su compra. Sin embargo, se enfrenta a un dilema de confidencialidad:

• Propietarios de Modelos (MO): No quieren revelar sus parámetros del modelo (pesos) ni su arquitectura exacta, ya que son activos propietarios.
• Propietarios de Datos (DO): No quieren revelar sus datos crudos (características y etiquetas) antes de recibir un pago, por miedo al robo de propiedad intelectual o violación de privacidad.
• Desafío Actual: Los métodos existentes para la valoración de datos suelen operar en el modelo "semi-honesto" (donde las partes siguen el protocolo pero intentan aprender información extra) o requieren un tercero de confianza (TTP), lo cual es incompatible con la naturaleza descentralizada y sin confianza (trustless) de las blockchains. Además, los protocolos de computación multipartita segura (MPC) bajo un modelo de adversario malicioso suelen tener un sobrecosto computacional y de comunicación prohibitivo para modelos grandes.

2. Metodología: PrivaDE

PrivaDE es un protocolo criptográfico de dos partes diseñado para calcular una puntuación de utilidad ($\phi$) para un conjunto de datos candidato sin revelar los datos crudos ni los parámetros del modelo. El protocolo se ejecuta en un entorno de adversario malicioso y se integra con contratos inteligentes.

Componentes Clave del Protocolo:

• Función de Puntuación (Scoring Function):

  • Utiliza criterios de aprendizaje activo para estimar la mejora del modelo:
    1. Pérdida (Loss): Discrepancia entre la predicción del modelo y la etiqueta real.
    2. Incertidumbre (Uncertainty): Entropía de la distribución predictiva del modelo (cuán inseguro está el modelo).
    3. Diversidad (Diversity): Medida de qué tan dispersos están los puntos de datos en el espacio de características.
  • En lugar de evaluar todo el conjunto de datos, se selecciona un subconjunto representativo ($D_R$) para reducir la carga computacional y la fuga de información.

• Optimizaciones para la Inferencia Segura:
  Para hacer viable la inferencia segura bajo amenazas maliciosas, PrivaDE introduce tres técnicas de optimización:

  1. Destilación de Modelos (Model Distillation): El propietario del modelo entrena una versión más pequeña (estudiante) que aproxima al modelo original (maestro), reduciendo drásticamente el número de parámetros y el costo de inferencia.
  2. Modelo Dividido (Split Model): El modelo $M$ se divide en tres bloques: $M = C \circ B \circ A$.
     • Bloque A: Se evalúa mediante MPC seguro (2PC) entre ambas partes.
     • Bloque B: Se ejecuta localmente por el propietario de los datos (Bob) usando pesos enviados en claro por Alice.
     • Bloque C: Se ejecuta localmente por el propietario del modelo (Alice) usando las activaciones de Bob.
     • Seguridad: Se utilizan pruebas de conocimiento cero (ZKP) para verificar la corrección de los bloques B y C sin revelar los datos intermedios.
  3. Selección de Conjunto Representativo y Protocolo de Desafío (Challenge Protocol):
     • Bob selecciona un subconjunto representativo $D_R$.
     • Para evitar que Bob seleccione un subconjunto sesgado, Alice ejecuta un protocolo de desafío basado en "cut-and-choose". Alice selecciona índices aleatorios y Bob debe probar en cero conocimiento que esos puntos están bien representados en $D_R$.

• Integración con Blockchain:

  • Los contratos inteligentes gestionan los depósitos en garantía (escrow) y las penalizaciones (slashing) si una parte se desvía del protocolo o no envía la respuesta final.
  • Garantizan la atomicidad de la transacción: el pago se libera solo si la evaluación se completa exitosamente.

3. Contribuciones Clave

1. PrivaDE: El primer protocolo de evaluación de datos seguro en el modelo de adversario malicioso que no requiere un tercero de confianza.
2. Función de Puntuación Agnóstica al Modelo: Un método nuevo que combina pérdida, incertidumbre y diversidad, optimizado para ser computable eficientemente bajo protocolos MPC seguros.
3. Técnicas de Optimización: La combinación de destilación, división de modelos y verificación parcial mediante ZKP (Cut-and-Choose) para reducir la sobrecarga de la inferencia segura maliciosa a niveles prácticos.
4. Prueba de Concepto en Blockchain: Una implementación que demuestra cómo integrar la evaluación segura en un flujo de trabajo de mercado de datos descentralizado, asegurando el cumplimiento y el pago justo.

4. Resultados Experimentales

Los autores evaluaron PrivaDE en conjuntos de datos reales (MNIST, CIFAR-10, CIFAR-100) con arquitecturas de modelos estándar (LeNet, ResNet-20, VGG-8).

• Rendimiento (Tiempo):
  • El protocolo es práctico: para modelos con millones de parámetros (ej. VGG-8 en CIFAR-100), el tiempo de ejecución en línea (online) se mantiene por debajo de 15 minutos (aprox. 873 segundos).
  • Para modelos más pequeños (LeNet en MNIST), el tiempo en línea es de solo 45 segundos.
  • La fase de preparación (offline) es la que consume más tiempo, pero puede realizarse antes de la interacción en línea.
• Escalabilidad:
  • El tiempo de ejecución en línea es independiente del tamaño total del conjunto de datos de Bob ($n$), ya que solo se evalúa el subconjunto representativo ($k$).
  • El tiempo escala linealmente con el tamaño del subconjunto representativo y el nivel de verificación elegido.
• Robustez de la Puntuación:
  • La función de puntuación propuesta superó consistentemente a métodos de muestreo aleatorio y basados en entropía, logrando mejoras tempranas significativas en la precisión del modelo.
  • Se demostró una alta correlación (Spearman > 0.8 en la mayoría de los casos) entre las puntuaciones generadas por el modelo maestro y el modelo estudiante destilado, validando el uso de modelos reducidos.
• Seguridad:
  • El análisis de fuga de información muestra que la reconstrucción de los datos de entrada a partir de las activaciones intermedias tiene una similitud estructural (SSIM) inferior a 0.3, lo que se considera visualmente irreconocible y seguro.

5. Significado e Impacto

El trabajo de PrivaDE es fundamental para la viabilidad de los mercados de datos descentralizados:

• Habilita la Confianza Sin Intermediarios: Permite que compradores y vendedores de datos colaboren sin necesidad de confiar en una entidad central ni revelar sus activos más valiosos.
• Viabilidad Práctica: Demuestra que la computación multipartita segura bajo amenazas maliciosas no es solo teórica, sino que puede ejecutarse en tiempos razonables para aplicaciones del mundo real, superando la barrera de la eficiencia.
• Estándar para la Valoración de Datos: Establece un nuevo paradigma para la valoración de datos que equilibra la privacidad, la seguridad y la utilidad, sentando las bases para ecosistemas de aprendizaje automático descentralizado (DeML) más justos y automatizados.

En resumen, PrivaDE resuelve el problema del "dilema del intercambio" en los mercados de datos mediante criptografía avanzada y optimizaciones ingeniosas, permitiendo transacciones de datos seguras y eficientes en entornos blockchain.