Privacy-Preserving Machine Learning from Storage to Inference: Integrating Authenticated Encryption with Fully Homomorphic Encryption

Imagine un mundo donde sus registros personales más sensibles —sus ingresos, su historial de salud, los detalles de su familia— pudieran ser analizados por potentes computadoras en la nube sin que esas computadoras lleguen a ver la información real. Esta es la promesa de un campo llamado aprendizaje automático preservador de la privacidad. Durante años, ha existido un obstáculo importante: para analizar datos, normalmente estos deben ser desbloqueados, convirtiéndose en texto plano que cualquiera con acceso al servidor podría potencialmente leer. Si bien tenemos formas excelentes de mantener los datos bajo llave mientras reposan en un disco duro, y buenas formas de protegerlos mientras viajan por internet, en el momento en que se procesan para un cálculo, a menudo se vuelven vulnerables. Una tecnología más reciente, conocida como cifrado totalmente homomórfico, intenta resolver esto permitiendo que las computadoras realicen matemáticas sobre datos bloqueados sin tener que desbloquearlos nunca. Sin embargo, construir un sistema que proteja los datos desde el momento en que se almacenan, hasta el momento en que se analizan y se devuelven, ha seguido siendo un desafío complejo.

Un equipo de investigadores ha construido y probado ahora un prototipo funcional que conecta estos dos mundos. Crearon un sistema que mantiene los datos bloqueados con un fuerte sello digital mientras reposan en el almacenamiento, y luego los mantiene bloqueados de una manera diferente y más compleja mientras son analizados por un servidor remoto. El objetivo era ver si esta protección de doble capa podía funcionar en un flujo de trabajo del mundo real sin arruinar la precisión de los resultados. Los investigadores se centraron en un tipo específico de análisis llamado regresión logística, que se utiliza a menudo para predecir resultados basados en un conjunto de números, como determinar si un hogar es vulnerable basándose en factores como los ingresos y la educación. Querían saber si podían enviar estos datos a un servidor en el que no confiaban, hacer que el servidor procesara los números sobre los datos cifrados y obtener de vuelta una respuesta correcta, todo ello asegurando que el servidor nunca viera los números reales ni la clave para desbloquearlos.

Para probar esto, el equipo generó dos mil registros de hogares ficticios. No eran personas reales, sino datos sintéticos diseñados para imitar la estructura de la información del mundo real, incluyendo diez características numéricas diferentes como el tamaño del hogar y la distancia al agua. Utilizaron estos datos para entrenar un modelo computacional para predecir una etiqueta de "vulnerabilidad". Primero, establecieron una línea de base ejecutando el análisis con datos normales y desbloqueados. Este modelo estándar funcionó muy bien, identificando correctamente el estado de los registros aproximadamente el noventa por ciento de las veces. Esta puntuación alta sirvió como el estándar de oro contra el cual medirían su sistema cifrado.

A continuación, construyeron el flujo de trabajo seguro. Cuando un usuario quería analizar un registro, el sistema primero recuperaba el registro del almacenamiento, donde estaba protegido por un método que no solo desordenaba los datos, sino que también añadía una huella digital para asegurar que nadie los hubiera manipulado. La computadora del usuario entonces desbloqueaba el registro localmente, lo preparaba y lo volvía a bloquear utilizando el cifrado homomórfico especial. Este nuevo bloqueo permitía al servidor remoto realizar el cálculo necesario sin ver nunca los números reales. El servidor, al que los investigadores trataron como no confiable, recibió únicamente los datos desordenados y el modelo cifrado. El servidor realizó el cálculo y envió el resultado cifrado de vuelta al usuario, quien lo desbloqueaba para ver la predicción final.

Los resultados mostraron que este enfoque funciona. Cuando los investigadores compararon las predicciones realizadas por el sistema cifrado con el estándar de oro, la diferencia fue apenas perceptible. Los modelos cifrados, probados con diferentes niveles de precisión numérica, lograron puntuaciones de precisión que oscilaban entre aproximadamente el noventa y el noventa y un por ciento, igualando casi el rendimiento del modelo desbloqueado. De hecho, una configuración específica del sistema cifrado incluso puntuó ligeramente más alto en una medida de qué tan bien distinguía entre diferentes grupos, aunque los investigadores señalaron que esta fue una diferencia pequeña y que no era indicativo de que el cifrado mejore el modelo en sí. La conclusión clave fue que la protección de la privacidad no rompió las matemáticas.

Sin embargo, esta privacidad conlleva un costo en velocidad. Mientras que el análisis estándar y desbloqueado ocurre casi instantáneamente, la versión cifrada tomó significativamente más tiempo. Los investigadores midieron el tiempo que le tomó al servidor procesar un solo registro y encontraron que tomó entre treinta y treinta y un milisegundos. Aunque esto pueda parecer rápido, es un incremento sustancial en comparación con realizar el trabajo con datos desbloqueados. En una prueba separada que incluyó el tiempo para recuperar los datos de un caché de almacenamiento en frío, el proceso completo para un registro tomó casi setecientos milisegros. Los investigadores enfatizaron que estos números son específicos para su configuración y el tipo de modelo que utilizaron, pero destacan que la tecnología sigue siendo computacionalmente pesada.

El sistema también demostró ser robusto contra la manipulación. Los investigadores intentaron deliberadamente alterar un solo byte de los datos cifrados almacenados en el servidor. Cuando el sistema intentó leer estos datos modificados, la huella digital falló y el sistema rechazó correctamente el archivo, evitando que se utilizara cualquier información corrupta. Además, el sistema evitó con éxito que un usuario accediera a los archivos de otro usuario, demostrando que la capa de almacenamiento aisló eficazmente los datos.

El estudio concluye que es posible construir un sistema completo de extremo a extremo que proteja los datos tanto mientras están almacenados como mientras son analizados por un tercero. El prototipo demostró que no es necesario sacrificar la precisión para obtener este nivel de seguridad, siempre que se esté dispuesto a aceptar los tiempos de procesamiento más lentos. El trabajo no pretende haber resuelto todos los problemas de la computación segura; los investigadores señalaron que su prueba utilizó datos sintéticos simples y un modelo básico. No probaron cómo el sistema manejaría conjuntos de datos masivos, modelos de inteligencia artificial complejos o ataques activos donde un servidor malicioso intenta engañar al sistema. Sin embargo, el experimento sirve como una prueba de concepto. Muestra que las dos etapas críticas del manejo de datos —el almacenamiento y la inferencia— pueden vincularse con un cifrado fuerte, creando un flujo de trabajo donde la información sensible permanece bajo el control del propietario desde el momento en que se guarda hasta el momento en que se devuelve la respuesta.