Breaking Euston: Recovering Private Inputs from Secure Inference by Exploiting Subspace Leakage

A continuación se presenta un resumen técnico detallado del artículo "Breaking Euston: Recovering Private Inputs from Secure Inference by Exploiting Subspace Leakage", traducido y estructurado al español.

1. Problema Identificado

El artículo aborda una vulnerabilidad crítica en Euston, un marco de inferencia segura para transformadores propuesto recientemente en la 47ª Simposio IEEE de Seguridad y Privacidad (IEEE S&P 2026).

• Contexto: Euston utiliza una combinación de Cifrado Homomórfico (FHE) y Descomposición en Valores Singulares (SVD) para permitir que un usuario envíe datos privados a un propietario de modelo sin revelar los datos en texto plano, reduciendo significativamente el ancho de banda de comunicación (aproximadamente 2.8 veces).
• La Vulnerabilidad: En el protocolo de transmisión de Euston, el usuario enmascara la matriz de entrada con una matriz aleatoria $R$. Esta matriz $R$ se descompone mediante SVD en dos matrices ortogonales ($U$ y $H$) y un vector de valores singulares ($d$). Solo el vector $d$ se cifra; las matrices ortogonales $U$ y $H$ se transmiten en texto plano.
• El Riesgo: Aunque los valores singulares están cifrados, la transmisión de las matrices ortogonales filtra información sobre el subespacio de la máscara aleatoria. Esto permite al propietario del modelo (que es una entidad no confiable en este escenario) reconstruir la máscara original y, consecuentemente, recuperar la entrada privada del usuario.

2. Metodología de Ataque

Los autores proponen un ataque de recuperación de datos que explota esta filtración de subespacio. El proceso se divide en dos fases principales:

A. Revisión del Protocolo (Fase Offline y Online)

1. Fase Offline: El usuario genera una matriz aleatoria $R$, la descompone en $R = UDH$ (donde $U$ y $H$ son ortogonales y $D$ es diagonal). Envía $U$, $H$ y el valor singular cifrado $\llbracket d \rrbracket$ al propietario del modelo.
2. Fase Online: El usuario envía la entrada enmascarada $X = A - R$ (donde $A$ es la entrada privada). El propietario calcula la inferencia sobre $X$ combinada con los valores cifrados.

B. El Ataque de Recuperación

El propietario del modelo (atacante) ejecuta los siguientes pasos para recuperar la entrada $A$:

1. Cálculo Aproximado: Dada la entrada enmascarada $X$, el atacante calcula $\hat{D} = U^T X H^T$.
2. Extracción de Diagonal: Extrae la parte diagonal de $\hat{D}$ para obtener una aproximación $\tilde{D}$ de la matriz original $D$.
3. Recuperación de la Máscara: Reconstruye una aproximación de la matriz aleatoria $\tilde{R}$ mediante la fórmula $\tilde{R} = -U \tilde{D} H$.
4. Recuperación de la Entrada: Obtiene la entrada recuperada $\tilde{A}$ sumando la entrada enmascarada y la máscara recuperada: $\tilde{A} = X + \tilde{R}$.

3. Análisis Teórico y Contribuciones Clave

• Análisis de Error Relativo (RRE): Los autores definen el Error Relativo de Recuperación (RRE) como la norma de Frobenius de la diferencia entre la entrada recuperada y la original, normalizada por la entrada original.
• Teorema 1: Demuestran que el error relativo esperado satisface $E[RRE] \leq \frac{1}{\sqrt{n}}$, donde $n$ es la dimensión de la entrada.
  • Implicación: A medida que aumenta la dimensionalidad de los datos (común en modelos Transformer y procesamiento de imágenes), el error de recuperación disminuye, haciendo que la reconstrucción sea cada vez más precisa.
• Independencia de la Escala: El ataque no depende de la magnitud de la máscara ($\eta$), sino únicamente de la filtración de los subespacios ortogonales ($U$ y $H$).

4. Resultados Experimentales

Los autores validaron el ataque en conjuntos de datos de lenguaje (GLUE: RTE, SST-2, QNLI) e imágenes (CIFAR-100) utilizando el modelo BERT-base.

• Datos de Lenguaje: El RRE se mantuvo consistentemente bajo (aprox. 0.036) en todos los conjuntos de datos y escalas de enmascaramiento ($\eta = 0.5, 1, 10, 100$). Esto confirma que la precisión de la recuperación es alta independientemente de qué tan "fuerte" sea la máscara.
• Datos de Imagen (CIFAR-100): El RRE fue ligeramente mayor (aprox. 0.178) debido al tamaño de entrada más pequeño, pero visualmente las imágenes recuperadas mostraron una alta fidelidad.
  • La Figura 1 del artículo muestra que, incluso con escalas de enmascaramiento altas, las imágenes recuperadas son claramente reconocibles y muy similares a las originales, mientras que las imágenes enmascaradas parecen ruido.
• Conclusión Empírica: El ataque es exitoso y robusto, permitiendo al propietario del modelo ver los datos privados del usuario con poca distorsión.

5. Significado e Impacto

• Fallo de Diseño Fundamental: El artículo demuestra que cifrar solo las representaciones de bajo rango (como el vector de valores singulares) mientras se dejan en texto plano los componentes ortogonales es insuficiente para garantizar la privacidad.
• Advertencia de Seguridad: El diseño de Euston, aunque eficiente en comunicación, introduce una brecha de seguridad crítica. La eficiencia no debe comprometer la privacidad; la transmisión de subespacios de máscaras aleatorias es un vector de ataque viable.
• Recomendación: Se requiere un escrutinio de seguridad riguroso en los protocolos de inferencia segura que utilicen descomposiciones matriciales. Las futuras implementaciones deben asegurar que ninguna parte de la descomposición (ni siquiera las matrices ortogonales) se revele en texto plano, o bien utilizar técnicas de cifrado para todos los componentes de la descomposición, lo cual probablemente aumentará la sobrecarga computacional.

En resumen, el trabajo "Breaking Euston" desmantela la premisa de seguridad de un marco de vanguardia, demostrando que una optimización de comunicación mal diseñada puede llevar a la exposición total de los datos de entrenamiento o inferencia de los usuarios.