Privacy-Preserving Machine Learning from Storage to Inference: Integrating Authenticated Encryption with Fully Homomorphic Encryption

Imaginez un monde où vos dossiers personnels les plus sensibles — votre revenu, votre historique de santé, les détails de votre famille — pourraient être analysés par de puissants ordinateurs dans le cloud sans que ces ordinateurs ne voient jamais l'information réelle. C'est la promesse d'un domaine appelé l'apprentissage automatique préservant la confidentialité. Pendant des années, un obstacle majeur a existé : pour analyser des données, il faut généralement les déverrouiller, ce qui les transforme en texte clair que toute personne ayant accès au serveur pourrait potentiellement lire. Bien que nous ayons d'excellents moyens de verrouiller les données lorsqu'elles reposent sur un disque dur, et de bonnes méthodes pour les protéger lors de leur transfert sur Internet, au moment où elles sont traitées pour un calcul, elles deviennent souvent vulnérables. Une technologie plus récente, connue sous le nom de chiffrement totalement homomorphe, tente de résoudre ce problème en permettant aux ordinateurs d'effectuer des mathématiques sur des données verrouillées sans jamais les déverrouiller. Cependant, construire un système qui protège les données depuis le moment où elles sont stockées jusqu'au moment où elles sont analysées et renvoyées, est resté un défi complexe.

Une équipe de chercheurs a maintenant construit et testé un prototype fonctionnel qui relie ces deux mondes. Ils ont créé un système qui garde les données verrouillées avec un sceau numérique robuste pendant qu'elles reposent en stockage, puis les garde verrouillées d'une manière différente et plus complexe pendant qu'elles sont analysées par un serveur distant. L'objectif était de voir si cette protection à double couche pouvait fonctionner dans un flux de travail réel sans nuire à la précision des résultats. Les chercheurs se sont concentrés sur un type spécifique d'analyse appelée régression logistique, souvent utilisée pour prédire des résultats basés sur un ensemble de nombres, comme déterminer si un ménage est vulnérable en fonction de facteurs tels que le revenu et l'éducation. Ils voulaient savoir s'ils pouvaient envoyer ces données à un serveur en lequel ils n'avaient pas confiance, faire en sorte que le serveur effectue les calculs sur les données chiffrées, et obtenir une réponse correcte, tout en garantissant que le serveur ne voie jamais les chiffres bruts ni la clé pour les déverrouiller.

Pour tester cela, l'équipe a généré deux mille dossiers de ménages fictifs. Il ne s'agissait pas de personnes réelles, mais de données synthétiques conçues pour imiter la structure d'informations du monde réel, incluant dix caractéristiques numériques différentes comme la taille du ménage et la distance par rapport à l'eau. Ils ont utilisé ces données pour entraîner un modèle informatique afin de prédire un label de « vulnérabilité ». D'abord, ils ont établi une référence en exécutant l'analyse sur des données normales et non verrouillées. Ce modèle standard a très bien fonctionné, identifiant correctement le statut des dossiers environ quatre-vingt-dix pour cent du temps. Ce score élevé a servi de référence (gold standard) contre laquelle ils allaient mesurer leur système chiffré.

Ensuite, ils ont construit le pipeline sécurisé. Lorsqu'un utilisateur souhaite analyser un dossier, le système récupère d'abord le dossier depuis le stockage, où il est protégé par une méthode qui non seulement brouille les données mais ajoute également une empreinte numérique pour garantir que personne n'y a porté atteinte. L'ordinateur de l'utilisateur déverrouille ensuite le dossier localement, le prépare, puis le verrouille à nouveau en utilisant ce chiffrement homomorphe spécial. Ce nouveau verrou permet au serveur distant d'effectuer les mathématiques nécessaires sans jamais voir les chiffres réels. Le serveur, que les chercheurs ont traité comme non fiable, reçoit uniquement les données brouillées et le modèle chiffré. Il effectue le calcul et renvoie le résultat chiffré à l'utilisateur, qui le déverrouille ensuite pour voir la prédiction finale.

Les résultats ont montré que cette approche fonctionne. Lorsque les chercheurs ont comparé les prédictions faites par le système chiffré à la référence, la différence était à peine perceptible. Les modèles chiffrés, testés avec différents niveaux de précision numérique, ont atteint des scores de précision allant d'environ quatre-vingt-dix à quatre-vingt-onze pour cent, égalant presque la performance du modèle non verrouillé. En fait, une configuration spécifique du système chiffré a même obtenu un score légèrement plus élevé sur une mesure de la capacité à distinguer différents groupes, bien que les chercheurs aient noté qu'il s'agissait d'une petite différence et non d'un signe que le chiffrement améliore le modèle lui-même. Le point essentiel est que la protection de la confidentialité n'a pas cassé les mathématiques.

Cependant, cette confidentialité a un coût en termes de vitesse. Alors que l'analyse standard, non verrouillée, se fait presque instantanément, la version chiffrée prend nettement plus de temps. Les chercheurs ont mesuré le temps nécessaire au serveur pour traiter un seul dossier et ont constaté qu'il lui fallait entre trente et trente et un millisecondes. Bien que cela puisse sembler rapide, c'est une augmentation substantielle par rapport à l'exécution des travaux sur des données non verrouillées. Dans un test séparé incluant le temps de récupération des données depuis un cache de stockage à froid, l'ensemble du processus pour un seul dossier a pris près de sept cents millisecondes. Les chercheurs ont souligné que ces chiffres sont spécifiques à leur configuration et au type de modèle utilisé, mais ils soulignent que la technologie est encore très lourde sur le plan computationnel.

Le système s'est également avéré robuste face aux altérations. Les chercheurs ont délibérément tenté de modifier un seul octet des données chiffrées stockées sur le serveur. Lorsque le système a tenté de lire ces données modifiées, l'empreinte numérique a échoué, et le système a correctement rejeté le fichier, empêchant toute information corrompue d'être utilisée. De plus, le système a réussi à empêcher un utilisateur d'accéder aux fichiers d'un autre utilisateur, démontrant que la couche de stockage isolait efficacement les données.

L'étude conclut qu'il est possible de construire un système complet, de bout en bout, qui protège les données à la fois pendant qu'elles sont stockées et pendant qu'elles sont analysées par une partie tierce. Le prototype a démontré que l'on n'a pas besoin de sacrifier la précision pour obtenir ce niveau de sécurité, à condition d'accepter des temps de traitement plus longs. Le travail ne prétend pas avoir résolu tous les problèmes de l'informatique sécurisée ; les chercheurs ont noté que leur test utilisait des données synthétiques simples et un modèle basique. Ils n'ont pas testé comment le système gérerait des ensembles de données massifs, des modèles d'intelligence artificielle complexes ou des attaques actives où un serveur malveillant tenterait de tromper le système. Pourtant, l'expérience sert de preuve de concept. Elle montre que les deux étapes critiques de la manipulation des données — le stockage et l'inférence — peuvent être liées ensemble par un chiffrement fort, créant un flux de travail où les informations sensibles restent sous le contrôle de leur propriétaire, du moment où elles sont sauvegardées jusqu'au moment où la réponse est retournée.