PrivDNN: A Secure Multi-Party Computation Framework for Deep Learning using Partial DNN Encryption

कल्पना कीजिए कि एक ऐसी दुनिया जहाँ कमरे के सबसे स्मार्ट कंप्यूटर विशाल, जादुई पुस्तकालयों की तरह हैं। ये पुस्तकालय चेहरों को पहचानने, बीमारियों का निदान करने या सेल्फ-ड्राइविंग कार के लिए स्टॉप साइन पहचानने जैसे रहस्यों को संजोए हुए हैं। लेकिन यहाँ एक पेंच है: पुस्तकालयाध्यक्ष (वे कंपनियाँ जिन्होंने इन पुस्तकालयों का निर्माण किया है) अपनी किताबें चोरी होने से डरी हुई हैं, जबकि आने वाले लोग (उपयोगकर्ता) अपने निजी जर्नल पढ़े जाने से डरे हुए हैं। यह सिक्योर मल्टी-पार्टी कंप्यूटेशन (Secure Multi-Party Computation) के क्षेत्र में एक समस्या के मूल में है। यह क्रिप्टोग्राफी की एक शाखा है जो पूछती है: "दो अजनबी एक गुप्त कार्य पर एक साथ कैसे काम कर सकते हैं बिना एक-दूसरे को अपनी निजी जानकारी बताए?"

इसे हल करने के लिए, वैज्ञानिक एक विशेष उपकरण का उपयोग करते हैं जिसे होमोमोर्फिक एन्क्रिप्शन (Homomorphic Encryption) कहा जाता है। इसे एक जादुई दस्ताने वाले बॉक्स (glove box) की तरह समझें। आप इसके अंदर कागज का एक टुकड़ा रख सकते हैं, और जब वह बॉक्स के अंदर बंद होता है, तब भी आप उसे मोड़ सकते हैं, फाड़ सकते हैं, या उस पर लिख सकते हैं। कागज बदलता है, लेकिन वह कभी बॉक्स से बाहर नहीं निकलता, इसलिए कोई भी मूल शब्दों को देख नहीं पाता। अतीत में, शोधकर्ताओं ने इस जादुई बॉक्स के अंदर पूरा का पूरा पुस्तकालय रखने की कोशिश की ताकि उपयोगकर्ता काम कर सके। लेकिन बॉक्स इतना भारी और धीमा था कि एक साधारण कार्य को पूरा करने में ही सदियों लग जाते थे। यह ऐसा था जैसे सीसे की ईंटों से बने सूट पहनकर मैराथन दौड़ने की कोशिश करना।

यहीं पर PrivDNN नामक एक नया शोध पत्र आता है। शोधकर्ताओं ने महसूस किया कि उन्हें पूरे पुस्तकालय को सुरक्षित रखने के लिए लॉक करने की आवश्यकता नहीं है। उन्होंने पाया कि डीप लर्निंग मॉडल (AI के पीछे के "दिमाग") एक टीम के श्रमिकों की तरह होते हैं जहाँ केवल कुछ ही "बॉस" होते हैं। यदि आप केवल बॉसों को लॉक कर देते हैं, तो पूरी टीम ठीक से काम करना बंद कर देती है। यह शोध पत्र एक चतुर तरकीब प्रस्तावित करता: पूरे मॉडल को एन्क्रिप्ट करने के बजाय, वे केवल "बॉस" न्यूरॉन्स के एक बहुत छोटे, महत्वपूर्ण समूह को एन्क्रिप्ट करते हैं। वे इसे पार्शियल DNN एन्क्रिप्शन (Partial DNN Encryption) कहते हैं। परिणाम एक ऐसा सिस्टम है जहाँ भारी काम ज्यादातर खुले में (तेज़ और आसान) किया जाता है, लेकिन सबसे मूल्यवान रहस्य जादुई दस्ताने वाले बॉक्स में बंद रहते हैं। लेखक दिखाते हैं कि यह दृष्टिकोण पिछले तरीकों की तुलना में प्रक्रिया को लगभग 30 गुना तेज़ बना देता है, जबकि मॉडल के रहस्यों को सुरक्षित और उपयोगकर्ता के डेटा को निजी रखता है।

समस्या: "साझा करने के लिए बहुत बड़ा" दुविधा

डीप लर्निंग मॉडल अविश्वसनीय रूप से शक्तिशाली हैं, लेकिन वे बहुत महंगे और मूल्यवान भी हैं। बड़ी कंपनियाँ इन मॉडलों को भारी मात्रा में डेटा पर प्रशिक्षित करने के लिए लाखों डॉलर और वर्षों का समय खर्च करती हैं। वे मॉडल को देना नहीं चाहतीं क्योंकि यह उनका गुप्त नुस्खा (secret sauce) है। दूसरी ओर, छोटे अस्पताल या स्थानीय स्कूल अपने संवेदनशील डेटा, जैसे रोगी के रिकॉर्ड या छात्रों के ग्रेड का विश्लेषण करने के लिए इन मॉडलों का उपयोग करना चाहते हैं, लेकिन वे अपने स्वयं के मॉडल बनाने का खर्च नहीं उठा सकते। वे अपना निजी डेटा बड़ी कंपनी को भी नहीं भेज सकते क्योंकि गोपनीयता कानूनों और भरोसे के मुद्दों के कारण ऐसा करना संभव नहीं है।

पारंपरिक रूप से, दो बुरे विकल्प मौजूद थे:

1. डेटा भेजना: उपयोगकर्ता अपना निजी डेटा कंपनी को भेजता है। कंपनी मॉडल चलाती है और उत्तर वापस भेजती है। यह तेज़ है, लेकिन उपयोगकर्ता अपनी गोपनीयता खो देता है।
2. मॉडल भेजना: कंपनी उपयोगकर्ता को मॉडल भेजती है। उपयोगकर्ता अपने स्वयं के डेटा पर इसे चलाता है। यह उपयोगकर्ता के डेटा की रक्षा करता है, लेकिन कंपनी अपने मॉडल की गोपनीयता खो देती है।

एक तीसरा विकल्प फुली होमोमोर्फिक एन्क्रिप्शन (FHE) का उपयोग करके मौजूद था। यह वह "जादुई दस्ताने वाला बॉक्स" विधि है जहाँ उपयोगकर्ता अपने डेटा को एन्क्रिप्ट करता है, उसे कंपनी को भेजता है, और कंपनी वास्तविक नंबरों को देखे बिना एन्क्रिप्टेड डेटा पर गणित करती है। समस्या? यह बेहद धीमा था। उदाहरण के लिए, क्रिप्टोनेट्स (CryptoNets) नामक एक पिछला सिस्टम सरल छवियों के एक छोटे बैच को प्रोसेस करने में 250 सेकंड लेता था। यह एक फोटो में बिल्ली की पहचान करने के लिए चार मिनट इंतजार करने जैसा है।

PrivDNN समाधान: "आंशिक लॉक"

PrivDNN के लेखकों ने एक सरल प्रश्न पूछा: "क्या हमें वास्तव में मॉडल के हर एक हिस्से को लॉक करने की आवश्यकता है?"

उन्होंने पाया कि डीप न्यूरल नेटवर्क "न्यूरॉन्स" (सोचिए उन्हें छोटे निर्णय लेने वाले के रूप में) की परतों से बने होते हैं। सभी न्यूरॉन्स समान रूप से महत्वपूर्ण नहीं होते हैं। कुछ कार के मुख्य इंजन की तरह हैं, जबकि अन्य केवल कप होल्डर्स की तरह हैं। यदि आप कप होल्डर्स को हटा देते हैं, तो भी कार चलती रहती है। यदि आप इंजन को हटा देते हैं, तो नहीं।

PrivDNN केवल "इंजन" न्यूरॉन्स को पहचानने और सुरक्षित करने की रणनीति पेश करता है। यह इस प्रकार काम करता है:

1. सेटअप (The Setup): मॉडल का मालिक (कंपनी) एक मॉडल प्रशिक्षित करता है और फिर एक विशेष एल्गोरिदम का उपयोग करके "कोर न्यूरॉन्स" के एक छोटे समूह को चुनता है जो मॉडल के सही ढंग से काम करने के लिए बिल्कुल आवश्यक हैं।
2. लॉक (The Lock): वे केवल इन कोर न्यूरॉन्स को भारी, धीमे होमोमोर्फिक एन्क्रिप्शन का उपयोग करके एन्क्रिप्ट करते हैं। मॉडल का बाकी हिस्सा (अधिकांश अन्य न्यूरॉन्स और "कप होल्डर्स") प्लेन टेक्स्ट में छोड़ दिया जाता है।
3. हैंडऑफ (The Handoff): कंपनी इस "आंशिक रूप से एन्क्रिप्टेड" मॉडल को उपयोगकर्ता को भेजती है। उपयोगकर्ता का कंप्यूटर प्लेन-टेक्स्ट वाले हिस्सों को आसानी से चला सकता है। जब डेटा एन्क्रिप्टेड "कोर" न्यूरॉन्स से टकराता है, तो उपयोगकर्ता के कंप्यूटर को धीमे, जादुई गणित को करना पड़ता है।
4. हैंडशेक (The Handshake): कोर न्यूरॉन्स से प्राप्त एन्क्रिप्टेड परिणाम को अनलॉक (डिक्रिप्ट) करने के लिए कंपनी को भेजा जाता है, और फिर अंतिम उत्तर उपयोगकर्ता को वापस भेज दिया जाता है।

यह सब कुछ कैसे बदल देता है

शोध पत्र तीन मुख्य निष्कर्ष प्रस्तुत करता है जो इस दृष्टिकोण को गेम-चेंजर बनाते हैं:

1. गति और दक्षता (Speed and Efficiency)
मॉडल के केवल एक छोटे हिस्से को एन्क्रिप्ट करके, सिस्टम अविश्वसनीय रूप से तेज़ हो जाता है। अपने प्रयोगों में, लेखकों ने इसे पांच अलग-अलग लोकप्रिय डेटासेट्स (जैसे हस्तलेखन के लिए MNIST और छवियों के लिए CIFAR-10) पर परखा। उन्होंने पाया कि PrivDNN ने पूरे मॉडल को एन्क्रिप्ट करने की तुलना में अनुमान लगाने (inference) के समय को 97% तक कम कर दिया। एक विशिष्ट परीक्षण में, एक LeNet-5 मॉडल के साथ, पूर्ण एन्क्रिप्शन विधि को छवियों के एक बैच को प्रोसेस करने में 5,647 सेकंड लगे, जबकि PrivDNN ने इसे केवल 190 सेकंड में कर दिया। यह 29.7 गुना अधिक तेज़ है।

2. बिना समझौते के सुरक्षा (Security Without Sacrifice)
लेखक चिंतित थे कि मॉडल के अधिकांश हिस्से को प्लेन टेक्स्ट में छोड़ने से हैकर के लिए मॉडल चुराना आसान हो सकता है। उन्होंने मॉडल को "रिकवर" करने की कोशिश करके इसका परीक्षण किया। उन्होंने पाया कि यदि कोई उपयोगकर्ता बिना एन्क्रिप्टेड कोर न्यूरॉन्स के मॉडल का उपयोग करने का प्रयास करता है, तो सटीकता नाटकीय रूप रूप से गिर जाती है। उदाहरण के लिए, ट्रैफिक साइन पहचानने के लिए प्रशिक्षित मॉडल पर, एक अनधिकृत उपयोगकर्ता के लिए सटीकता 90% से गिरकर 40% से भी कम हो गई (और अधिक न्यूरॉन्स एन्क्रिप्ट करने पर और भी कम हो गई)। बिना चाबी के मॉडल व्यावहारिक रूप से बेकार हो गया।

3. मेमोरी की बचत (Memory Savings)
होमोमोर्फिक एन्क्रिप्शन मेमोरी के लिए भी बहुत भूखा होता है। एक बड़े मॉडल को एन्क्रिप्ट करने के लिए सैकड़ों गीगाबाइट रैम की आवश्यकता हो सकती है, जिससे अधिकांश कंप्यूटर क्रैश हो जाते हैं। PrivDNN ने इस मेमोरी उपयोग को काफी कम कर दिया। एक मानक मॉडल के लिए, आवश्यक मेमोरी 151 GB (जो अधिकांश पीसी के लिए असंभव है) से घटकर केवल 2.5 GB या 5 GB रह गई, जिससे सामान्य डेस्कटॉप कंप्यूटरों पर सुरक्षित AI चलाना संभव हो गया।

उन्होंने "बॉस" न्यूरॉन्स को कैसे चुना

शोध पत्र में यह भी विस्तार से बताया गया है कि उन्होंने किन न्यूरॉन्स को लॉक करने का निर्णय लिया। उन्होंने चार अलग-अलग तरीकों का परीक्षण किया:

• रैंडम सिलेक्शन (Random Selection): बस रैंडम तरीके से न्यूरॉन्स चुनना। (यह अच्छी तरह काम नहीं आया)।
• क्रीडी सिलेक्शन (Greedy Selection): एक चरण-दर-चरण विधि जो एक-एक करके सर्वश्रेष्ठ न्यूरॉन चुनती है। यह बहुत अच्छा काम किया लेकिन इसे गणना करने में लंबा समय लगा।
• प्रूनिंग-आधारित सिलेक्शन (Pruning-based Selection): मौजूदा तकनीकों का उपयोग करना जो आमतौर पर बेकार न्यूरॉन्स को हटा देती हैं, लेकिन उन्हें उल्टा (reverse) उपयोग करना ताकि महत्वपूर्ण न्यूरॉन्स मिल सकें। यह बहुत तेज़ था।
• प्रूनिंग + क्रीडी (Pruning + Greedy): एक हाइब्रिड दृष्टिकोण जिसने लिस्ट को छोटा करने के लिए प्रूनिंग का उपयोग किया और फिर अंतिम विजेताओं को चुनने के लिए क्रीडी सिलेक्शन का उपयोग किया।

उन्होंने पाया कि प्रूनिंग + क्रीडी दृष्टिकोण ने सबसे अच्छा संतुलन प्रदान किया। यह व्यावहारिक होने के लिए पर्याप्त तेज़ था और मॉडल को सुरक्षित और सटीक रखने के लिए पर्याप्त स्मार्ट था।

निचोड़ (The Bottom Line)

PrivDNN फ्रेमवर्क सुझाव देता है कि हमें गोपनीयता और गति के बीच चुनाव करने की आवश्यकता नहीं है। यह समझकर कि क्या एन्क्रिप्ट करना है, हम दोनों प्राप्त कर सकते हैं। लेखक इस बात पर जोर देते हैं कि यह विधि किसी विशिष्ट प्रकार के एन्क्रिप्शन या मॉडल आर्किटेक्चर पर निर्भर नहीं है; यह एक सामान्य विचार है जिसे कई अलग-अलग डीप लर्निंग सिस्टम पर लागू किया जा सकता है।

हालांकि शोध पत्र स्वीकार करता है कि एक वास्तव में दुर्भावनापूर्ण हमलावर एन्क्रिप्शन को तोड़ने या मॉडल चुराने के अन्य तरीकों की कोशिश कर सकता है, वर्तमान परिणाम "ईमानदार-लेकिन-जिज्ञासु" (honest-but-curious) उपयोगकर्ताओं (जो नियमों का पालन करते हैं लेकिन झांकना चाहते हैं) के लिए इस आंशिक एन्क्रिप्शन को एक मजबूत ढाल के रूप में दिखाते हैं। यह एक ऐसी प्रक्रिया को जो कभी व्यावहारिक होने के लिए बहुत धीमी और भारी थी, उसे वास्तविक दुनिया के उपयोग के लिए तेज़, कुशल और सुरक्षित बनाता है। इस नए सिस्टम का कोड किसी के भी परीक्षण के लिए उपलब्ध है, जो यह साबित करता है कि लेखक अपने परिणामों को लेकर आश्वस्त हैं।