Spectrum-Aware Bounds on Invertibility for Privacy-Enhancing Instance Encoding

आधुनिक डिजिटल दुनिया में, संवेदनशील जानकारी अक्सर उन सर्वरों तक जाती है जो हमारे नियंत्रण में नहीं होते। एक डॉक्टर निदान करने के लिए किसी दूरस्थ क्लाउड सेवा को मरीज का एक्स-रे भेज सकता है, या एक शोधकर्ता विश्लेषण के लिए साझा डेटाबेस में निजी चिकित्सा रिकॉर्ड अपलोड कर सकता है। इस डेटा की सुरक्षा के लिए, एक सामान्य रणनीति इसे भेजने से पहले इसे उलझा देना (scramble) है। यह प्रक्रिया, जिसे 'इंस्टेंस एनकोडिंग' कहा जाता है, मूल, संवेदनशील फ़ाइल को एक नए, संकुचित संस्करण में बदल देती है जिसे 'एम्बेडिंग' कहा जाता है। उम्मीद यह है कि इस नए संस्करण में पर्याप्त जानकारी हो ताकि दूरस्थ सर्वर अपना काम कर सके, लेकिन इतनी जानकारी न हो कि कोई भी इस प्रक्रिया को उलट सके और मूल, निजी फ़ाइल को पुनः प्राप्त कर सके। वर्षों तक, यह दृष्टिकोण परीक्षण और त्रुटि (trial and error) पर निर्भर रहा है। अभ्यासकर्ताओं ने इन स्कैम्बलर्स (scramblers) को बनाया और उन्हें ज्ञात हैकिंग प्रयासों के विरुद्ध परखा, इस उम्मीद में कि यदि वे परीक्षणों में जीवित रहे, तो वे सुरक्षित थे। हालांकि, एक ठोस सैद्धांतिक गारंटी के बिना, एक प्रणाली जो आज सुरक्षित दिखती है, कल टूट सकती है। मौलिक प्रश्न अनसुलझा ही रहा है: डेटा को अनस्क्रैबल करना कितना कठिन है, और क्या हम अपने रहस्यों को विश्वास में लेने से पहले इसे सिद्ध कर सकते हैं?

द पेंसिल्वेनिया स्टेट यूनिवर्सिटी के शोधकर्ताओं की एक टीम ने अब उस प्रश्न का उत्तर देने का एक नया तरीका प्रदान किया है। उन्होंने गणितीय सीमाओं का एक सेट विकसित किया है जो यह भविष्यवाणी करता है कि एक हमलावर मूल डेटा को उसके स्कैम्बल किए गए संस्करण से कितनी सटीकता से पुनर्गठित कर सकता है। पिछले प्रयासों के विपरीत, जो अक्सर इस बात को ध्यान में रखने में विफल रहे कि स्कैम्बलिंग टूल कैसे काम करता है या प्रभावी होने के लिए टूल को यादृच्छिक शोर (random noise) जोड़ने की आवश्यकता होती है, ये नई सीमाएं तब भी काम करती हैं जब टूल पूरी तरह से नियत (deterministic) होता है और कोई शोर नहीं जोड़ता है। शोधकर्ताओं ने पाया कि सिस्टम की सुरक्षा डेटा रूपांतरण की ज्यामिति (geometry) पर बहुत अधिक निर्भर करती है। विशेष रूप से, यदि एनकोडर सूचना की कुछ दिशाओं को हटा देता है और अन्य को रखता है, तो डेटा को पुनर्गठित करना बहुत कठिन हो जाता है। उनकी नई सीमाएं पुरानी विधियों की तुलना में अधिक सटीक और सख्त हैं, जो सही ढंग से पहचानती हैं कि कब एक सिस्टम वास्तव में सुरक्षित है और कब वह असुरक्षित है, यहाँ तक कि उन मामलों में भी जहाँ पिछली थ्योरी ने सुझाव दिया था कि वह सुरक्षित है।

शोधकर्ताओं ने एक विशिष्ट प्रकार की गोपनीयता सुरक्षा पर ध्यान केंद्रित किया जहाँ एक उपयोगकर्ता अपने डेटा का एक संशोधित संस्करण एक अविश्वसनीय सर्वर को भेजता है। लक्ष्य डेटा को आर्टिफिशियल इंटेलिजेंस मॉडल को प्रशिक्षित करने जैसे कार्यों के लिए उपयोगी रखना है, जबकि मूल इनपुट को रिवर्स-इंजीनियर करना असंभव बनाना है। लंबे समय तक, यह आंकने का एकमात्र तरीका यह था कि क्या कोई सिस्टम काम करता है या नहीं। यदि हमलावर छवि या टेक्स्ट को पुनः प्राप्त नहीं कर सका, तो सिस्टम को सुरक्षित माना जाता था। लेकिन यह एक नाजुक रक्षा है। केवल इसलिए कि किसी हमलावर ने अभी तक लॉक को तोड़ने का तरीका नहीं खोजा है, इसका मतलब यह नहीं है कि लॉक अटूट है। शोधकर्ता इस अनुमान से आगे बढ़ना चाहते थे। वे एक सैद्धांतिक गारंटी चाहते थे, एक तरीका जिससे यह गणना की जा सके कि एक हमलावर द्वारा डेटा को पुनर्गठित करने में होने वाली न्यूनतम त्रुटि कितनी होगी। यह त्रुटि एक सुरक्षा बफर के रूप में कार्य करती है; त्रुटि जितनी अधिक होगी, डेटा उतना ही अधिक निजी रहेगा।

इस क्षेत्र के पिछले कार्यों ने एक बुनियादी सीमा स्थापित की थी, लेकिन उनमें महत्वपूर्ण खामियां थीं। वह पुराना सीमा केवल तभी काम करता था जब एनकोडर डेटा में यादृच्छिक शोर जोड़ता था, एक ऐसी तकनीक जिसका उपयोग कई व्यावहारिक सिस्टम नहीं करते हैं क्योंकि यह डेटा की गुणवत्ता को कम कर सकती है। इसके अलावा, वह सीमा अक्सर बहुत ढीली (loose) थी, जिसका अर्थ था कि यह एक ऐसे सिस्टम को सुरक्षित बताती थी जो वास्तव में तोड़ना काफी आसान था। यह केवल एक बहुत ही विशिष्ट तरीके से त्रुटि को मापता था, जो पिक्सेल या संख्याओं के औसत अंतर को देखता है, जो हमेशा यह पकड़ने में विफल रहता है कि पुनर्गठित छवि मूल जैसी दिखती है या उसमें संवेदनशील विवरण शामिल हैं। नया शोध इन सभी मुद्दों को संबोधित करता है। टीम ने सीमाओं का एक नया परिवार निकाला है जो एनकोडर की आंतरिक संरचना को ध्यान में रखता है। उन्होंने महसूस किया कि एक एनकोडर डेटा को एक नए स्थान में प्रोजेक्ट करने वाले फिल्टर की तरह कार्य करता है। इस स्थान में कुछ दिशाएं सूचना को संरक्षित करती हैं, जबकि अन्य इसे हटा देती हैं। नई सीमाएं ठीक से मापती हैं कि इन हटाई गई दिशाओं में कितनी जानकारी खो गई है।

शोधकर्ताओं ने पाया कि सिस्टम की सुरक्षा एनकोडर के "स्पेक्ट्रम" (spectrum) द्वारा निर्धारित होती है, जो यह बताता है कि वह विभिन्न दिशाओं में सूचना को कितनी मजबूती से संरक्षित करता है। यदि एक एनकोडर बहुत सारी जानकारी को हटा देता है, विशेष रूप से वह जानकारी जो सामान्य ज्ञान से अनुमान लगाना कठिन है, तो डेटा को पुनर्गठित करना बहुत कठिन हो जाता है। उनकी नई सीमाएं पुराने वाले की तुलना में बहुत अधिक सटीक हैं, जिसका अर्थ है कि वे हमलावर की सफलता की अधिक सटीक भविष्यवाणी करती हैं। कई मामलों में, पुराने सीमाओं ने सुझाव दिया था कि एक हमलावर आसानी से डेटा को पुनः प्राप्त कर सकता है, जबकि नई सीमाओं ने दिखाया कि पुनर्गठन बहुत खराब होगा, या इसके विपरीत। महत्वपूर्ण रूप से, ये नई सीमाएं तब भी काम करती हैं जब एनकोडर बिल्कुल भी यादृच्छिक शोर नहीं जोड़ता है। यह एक बड़ा व्यावहारिक सुधार है, क्योंकि कई वास्तविक दुनिया के सिस्टम नियत (deterministic) एनकोडर का उपयोग करते हैं जो सुरक्षा के लिए यादृच्छिकता पर निर्भर नहीं होते हैं।

अपने सिद्धांत का परीक्षण करने के लिए, शोधकर्ताओं ने दो सामान्य इमेज डेटासेट्स का उपयोग करके विभिन्न परिदृश्यों पर अपनी नई सीमाओं को लागू किया: MNIST, जिसमें हस्तलिखित अंक होते हैं, और CIFAR-10, जिसमें बिल्लियों, कुत्तों और हवाई जहाजों जैसी वस्तुओं की छोटी रंगीन छवियां होती हैं। उन्होंने सरल रैखिक रूपांतरणों और जटिल डीप न्यूरल नेटवर्क सहित विभिन्न प्रकार के एनकोडर का परीक्षण किया, और उन्हें विभिन्न हमले के तरीकों के अधीन किया। हर मामले में, नई सीमाएं सच साबित हुईं। हमलावरों द्वारा की गई वास्तविक त्रुटि कभी भी अनुमानित सीमा से नीचे नहीं गिरी। शोधकर्ताओं ने यह भी पाया कि उनकी सीमाएं पिछले मानक की तुलना में काफी अधिक सटीक थीं, विशेष रूप से जब एनकोडर को विशिष्ट प्रकार की जानकारी को हटाने के लिए डिज़ाइन किया गया था। उदाहरण के लिए, जब एनकोडर को डेटा स्पेस में कुछ दिशाओं को अनदेखा करने के लिए सेट किया गया था, तो नई सीमाओं ने सही ढंग से भविष्यवाणी की कि पुनर्गठन करना अत्यंत कठिन होगा, जबकि पुरानी सीमाएं इस कठिनाई को पकड़ने में विफल रहीं।

अध्ययन ने पुनर्गठन की कठिनाई को मापने का एक नया तरीका भी पेश किया जो केवल कच्चे त्रुटि नंबरों को देखने की तुलना में अधिक उपयोगी है। क्योंकि त्रुटि का पूर्ण आकार व्याख्या करना कठिन हो सकता है, शोधकर्ताओं ने एक अनुपात प्रस्तावित किया जो वास्तविक पुनर्गठन त्रुटि की तुलना उस अधिकतम त्रुटि से करता है जो तब होती यदि एनकोडर कुछ भी प्रकट नहीं करता। यह अनुपात, जिसे वे "रेशियो टू सीलिंग" (ratio to ceiling) कहते हैं, गोपनीयता के एक व्यावहारिक संकेतक के रूप में कार्य करता है। कम अनुपात का अर्थ है कि हमलावर उतना ही अच्छा प्रदर्शन कर रहा है जितना कि उसके पास कोई डेटा ही न हो, जो मजबूत गोपनीयता का संकेत देता है। उच्च अनुपात का अर्थ है कि हमलावर बहुत सारी जानकारी प्राप्त कर रहा है। जब उन्होंने पुनर्गठित छवियों को विज़ुअलाइज़ किया, तो उन्होंने एक स्पष्ट संबंध पाया: कम अनुपात वाली छवियां धुंधले, अपरिचित शोर की तरह दिखीं, जबकि उच्च अनुपात वाली छवियों में मूल वस्तु के स्पष्ट विवरण दिखाई दिए।

दो डेटासेट्स के बीच के अंतर के संबंध में एक सबसे आश्चर्यजनक खोज हुई। शोधकर्ताओं ने पाया कि CIFAR-10 की जटिल छवियों की तुलना में MNIST के हस्तलिखित अंक सुरक्षित रखना बहुत कठिन था। भले ही सैद्धांतिक सीमाएं सुझाव देती थीं कि डेटा सुरक्षित होना चाहिए, हमलावर अक्सर अंकों को आश्चर्यजनक सटीकता के साथ पुनर्गठित कर सके। इसका कारण स्वयं डेटा की प्रकृति है। हस्तलिखित अंक बहुत सरल होते हैं और एक निम्न-आयामी संरचना (low-dimensional structure) पर स्थित होते; किसी अंक के लेबल (उदाहरण के लिए, कि वह एक "7" है) को जानने से इतनी जानकारी मिलती है कि एक हमलावर बहुत कम डेटा के साथ अंक के आकार का अनुमान लगा सकता है। इसके विपरीत, CIFAR-10 की छवियां बहुत विविध हैं। यह जानना कि एक छवि में "बिल्ली" है, एक हमलावर को उस बिल्ली की विशिष्ट विशेषताओं को पुनर्गठित करने में मदद नहीं करता है, क्योंकि व्यक्तिगत बिल्लियाँ एक-दूसरे से बहुत अलग दिखती हैं। यह सुझाव देता है कि सुरक्षा का स्तर साझा किए जा रहे डेटा के प्रकार पर बहुत अधिक निर्भर करता है।

शोधकर्ताओं ने इन सीमाओं की गणना करने के लिए आवश्यक व्यावहारिक उपकरणों में भी सुधार किया। ऐसा करने के लिए, उन्हें डेटा के सांख्यिकीय पैटर्न को समझने की आवश्यकता थी, जिसे 'डेटा प्रायर' (data prior) के रूप में जाना जाता है। इन पैटर्न को सीखने के लिए एक नया मॉडल शुरू से प्रशिक्षित करने के बजाय, उन्होंने दिखाया कि इन पैटर्न का सटीक अनुमान लगाने के लिए मौजूदा, पूर्व-प्रशिक्षित आर्टिफिशियल इंटेलिजेंस मॉडल का उपयोग किया जा सकता है। यह नई सीमाओं को वास्तविक दुनिया की स्थितियों में लागू करना बहुत आसान बनाता है। उन्होंने सूत्र के आवश्यक घटकों का अनुमान लगाने के लिए विभिन्न तरीकों का परीक्षण किया और पाया कि एक विश्वसनीय परिणाम प्राप्त करने के लिए डेटा का एक छोटा नमूना ही अक्सर पर्याप्त होता है, जिससे गणना व्यावहारिक उपयोग के लिए कुशल हो जाती है।

अंत में, यह कार्य एक लोकप्रिय गोपनीयता तकनीक के लिए एक बहुत ही आवश्यक सैद्धांतिक आधार प्रदान करता है। यह क्षेत्र को अनुभवजन्य परीक्षणों (empirical tests) पर निर्भर रहने के बजाय—जो कि धोखा दे सकते हैं—एक कठोर समझ की ओर ले जाता है कि एक एनकोडर को क्या सुरक्षित बनाता है। नई सीमाएं दिखाती हैं कि सुरक्षा केवल शोर जोड़ने या सिस्टम को जटिल बनाने के बारे में नहीं है; यह सूचना की ज्यामिति को संभालने के बारे में है। सही प्रकार की जानकारी को हटाकर, एक एनकोडर पुनर्गठन को असंभव बना सकता है, भले ही उसमें कोई यादृच्छिकता न हो। हालांकि अध्ययन यह दावा नहीं करता है कि उसने गोपनीयता की समस्या को हमेशा के लिए हल कर दिया है, लेकिन यह डिजाइनरों के लिए अपने सिस्टम का मूल्यांकन करने के लिए एक शक्तिशाली नया उपकरण प्रदान करता है। यह उन्हें तैनाती से पहले यह देखने की अनुमति देता है कि क्या उनकी एनकोडिंग विधि संवेदनशील डेटा की रक्षा करने के लिए पर्याप्त मजबूत है, या यह केवल सुरक्षा का एक भ्रम है। परिणाम बताते हैं कि कई वास्तविक दुनिया के अनुप्रयोगों के लिए, विशेष रूप से प्राकृतिक छवियों जैसे जटिल डेटा से जुड़े मामलों में, ये नई सीमाएं गोपनीयता का एक विश्वसनीय माप प्रदान कर सकती हैं, जिससे यह सुनिश्चित होता है कि अविश्वसनीय सर्वरों के साथ साझा किया गया डेटा वास्तव में निजी बना रहे।