Resumen Técnico: MLQENABLER

Planteamiento del Problema

El artículo aborda el dilema entre seguridad y utilidad inherente al modelo de Almacenamiento en la Nube con Servicio Basado en Aprendizaje Automático (CSS-MLS). En este modelo, los Proveedores de Servicios en la Nube (CSP) ofrecen almacenamiento como servicio primario y aprovechan los datos del cliente para proporcionar servicios secundarios de aprendizaje automático (ML) (por ejemplo, sistemas de recomendación). Si bien este modelo ofrece beneficios económicos y funcionales, plantea serias preocupaciones de seguridad porque las nubes públicas no pueden ser plenamente confiables. Los CSP pueden tener incentivos financieros para vender datos, los empleados pueden robar datos o los servidores pueden ser vulnerables a hackeos.

La mitigación estándar es cifrar los datos antes de la externalización. Sin embargo, el cifrado tradicional (por ejemplo, AES, 3DES) convierte los datos en números pseudialeatorios, lo que hace imposible realizar el entrenamiento de ML o consultas sobre el conjunto de datos cifrado. Las soluciones existentes a este problema sufren de limitaciones específicas:

• Cifrado Totalmente Homomórfico (FHE): Computacionalmente ineficiente para el entrenamiento de redes neuronales profundas.
• Privacidad Diferencial (DP): Depende de la adición de ruido grueso, creando un equilibrio deficiente entre la utilidad de los datos (precisión) y la seguridad.
• Aprendizaje Federado (FL): No logra proteger la privacidad de las consultas y la privacidad del modelo (el modelo entrenado en sí mismo puede filtrarse).

El desafío central es diseñar un sistema que permita realizar consultas de ML y entrenamiento sobre datos cifrados preservando la privacidad del criptograma, la privacidad del índice, la privacidad del token de consulta y la privacidad del modelo.

Metodología: MLQENABLER

Los autores proponen MLQENABLER (ML Queries Enabler), un marco de trabajo asistido por índice que desacopla el almacenamiento de datos de la utilidad de ML. El sistema involucra cuatro entidades: clientes de almacenamiento, clientes de no almacenamiento, un servidor en la nube y un Servidor de Generación de Claves (KGS).

Mecanismo Central: EncGAN

El sistema se basa en una arquitectura de Redes Generativas Antagónicas (GAN) llamada EncGAN, que consta de tres componentes:

1. Generador ($G$): Actúa como la clave secreta global. Transforma los elementos de datos originales en "elementos de índice seguros".
2. Discriminador ($D$): Entrenado para distinguir entre los datos reales y los elementos de índice generados.
3. Reconstructor ($R$): Entrenado para recuperar los datos originales a partir del elemento de índice seguro.

Flujo de Trabajo Operativo

1. Generación de Claves: El KGS recopila un conjunto de datos (por ejemplo, de internet) para entrenar el EncGAN. El Generador ($G$) entrenado se convierte en la clave secreta distribuida a los clientes.
2. Preparación de Datos (Lado del Cliente):
   • Cifrado: Los clientes cifran formalmente sus elementos de datos brutos utilizando cifrado estándar (por ejemplo, AES) con una clave secreta local para asegurar la privacidad del criptograma.
   • Generación de Índice: Los clientes alimentan los elementos de datos originales al generador $G$ para producir elementos de índice seguros. Estos elementos están diseñados para ser indistinguibles del ruido aleatorio para asegurar la privacidad del índice.
   • Externalización: Los clientes cargan tanto los datos cifrados como los elementos de índice seguros (junto con las etiquetas de clase) a la nube.
3. Entrenamiento de ML (Lado de la Nube): El servidor en la nube entrena modelos de ML directamente sobre los elementos de índice seguros. El modelo resultante se denota como $M'$.
4. Procesamiento de Consultas:
   • Para realizar una consulta, un cliente utiliza la clave secreta $G$ para transformar un nuevo elemento de datos $q$ en un token seguro $G(q)$.
   • La nube procesa $G(q)$ utilizando el modelo entrenado $M'$ para producir un resultado.
   • El modelo utilizable real es efectivamente la composición $M = G \circ M'$. Dado que la nube solo posee $M'$ y no $G$, no puede reconstruir el modelo real, asegurando la privacidad del modelo.

Garantías de Privacidad

• Privacidad del Criptograma: Lograda mediante el cifrado estándar (AES/3DES).
• Privacidad del Índice: Lograda porque el generador $G$ es entrenado mediante una pérdida antagónica para hacer que los elementos de índice sean indistinguibles de datos aleatorios.
• Privacidad del Token: Los tokens se generan utilizando el mismo proceso seguro que los elementos de índice.
• Privacidad del Modelo: La nube solo posee el modelo entrenado sobre datos ofuscados ($M'$). Sin la clave secreta $G$, la nube no puede aplicar el modelo a datos reales.

Contribuciones Clave

1. Formulación del Problema: El artículo define formalmente el modelo CSS-MLS y los requisitos de privacidad específicos (privacidad de criptograma, de índice, de token y de modelo) necesarios para asegurar este entorno.
2. Diseño del Marco de Trabajo: Propone MLQENABLER, un marco que utiliza el cifrado estándar para el almacenamiento de datos y un método de generación de índices basado en GAN para permitir la utilidad de ML.
3. Diseño de EncGAN: Introduce un método basado en GAN donde el generador crea elementos de índice indistinguibles de datos aleatorios (protegiendo la privacidad del índice) mientras que un reconstructor asegura que los elementos retengan suficiente estructura para el entrenamiento de ML.
4. Ruido Controlable por Función de Pérdida (LFC): El artículo caracteriza el proceso de cifrado como un nuevo tipo de técnica de preservación de la privacidad donde la adición de ruido es guiada por funciones de pérdida específicas, ofreciendo un enfoque más detallado que el ruido grueso de la Privacidad Diferencial.

Resultados Experimentales

Los autores evaluaron MLQENABLER en seis conjuntos de datos de imágenes (CIFAR-10, CIFAR-100, Tiny-ImageNet, GTSRB, CelebA y DIV2K) utilizando arquitecturas ResNet-18 y SwinV2-T.

• Privacidad (Indistinguibilidad del Índice): Las comparaciones visuales y el análisis de Entropía de Información de Parches (Patch IE) muestran que los elementos de índice seguros son visualmente indistinguibles de imágenes aleatorias y poseen niveles de entropía similares al ruido aleatorio, significativamente más altos que las imágenes originales.
• Precisión Autorizada (AA): El sistema mantiene una alta utilidad para usuarios autorizados.
  • Para ResNet-18, la caída de precisión (Original vs. Índice) osciló entre el 0.07% y el 3.05% (promedio de 1.13%).
  • Para SwinV2-T, la caída osciló entre el 0.21% y el 6.13% (promedio de 2.86%).
  • La mayor degradación ocurrió en CIFAR-100, mientras que GTSRB mostró una pérdida mínima (<0.25%).
• Precisión No Autorizada (UA): Los modelos entrenados en elementos de índice funcionaron al nivel de adivinación aleatoria o cerca de él cuando se probaron en datos originales (no cifrados).
  • En CIFAR-10, 100 y Tiny-ImageNet, la UA estuvo cerca de la línea base de adivinación aleatoria (por ejemplo, ~10% para 10 clases).
  • Esto confirma que el modelo entrenado $M'$ es inútil sin la clave secreta $G$, protegiendo efectivamente la propiedad intelectual del modelo.

Significancia y Reivindicaciones

El artículo afirma que MLQENABLER resuelve con éxito el compromiso entre la seguridad de los datos y la capacidad de ML en entornos de nube. Al emplear un enfoque de asistencia por índice, logra cuatro objetivos de privacidad simultáneos (privacidad de criptograma, de índice, de token y de modelo) que las técnicas previas (FHE, DP, FL) no pudieron lograr conjuntamente.

Los autores aseguran que el sistema incurre solo en una ligera degradación del rendimiento de ML mientras proporciona fuertes garantías de seguridad. Posicionan el mecanismo EncGAN no solo como una solución para este problema específico, sino como un nuevo tipo de técnica de adición de ruido controlable por función de pérdida (LFC) que podría ser aplicable a otras aplicaciones de preservación de la privacidad más allá de este artículo. El trabajo se presenta como una solución práctica para la "economía de compartir datos" en la era del Big Data, permitiendo que los proveedores de la nube ofrezcan servicios de ML sin comprometer la privacidad del cliente ni la propiedad intelectual.