💻 computer science

Breaking Euston: Recovering Private Inputs from Secure Inference by Exploiting Subspace Leakage

Questo documento dimostra che il protocollo di trasmissione basato sulla decomposizione ai valori singolari del framework di inferenza sicura Euston, proposto per IEEE S&P 2026, presenta una vulnerabilità di perdita di sottospazio che consente al proprietario del modello di recuperare facilmente gli input privati degli utenti.

Autori originali: Jiaqi Zhao, Fengwei Wang

Pubblicato 2026-04-21

📖 4 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Jiaqi Zhao, Fengwei Wang

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina che Euston sia un nuovo servizio di "consegna sicura" molto popolare, lanciato di recente da dei ricercatori (Gao e colleghi) per proteggere i tuoi dati mentre li usi con l'intelligenza artificiale.

Il Problema: Come funziona Euston (La Teoria)

Immagina di voler inviare una lettera segreta (i tuoi dati privati, come una foto o un messaggio) a un postino (il proprietario del modello AI) che non ti fidi ciecamente. Vuoi che il postino legga la lettera per darti una risposta, ma non vuoi che lui veda il contenuto originale.

Il sistema Euston ha inventato un trucco geniale per risparmiare spazio e tempo:

Invece di inviare la lettera intera, la metti in una scatola di cartone (i dati).
Per nasconderla, la avvolgi in una coperta magica (una maschera casuale).
Il trucco sta nel modo in cui pieghi la coperta: la scomponi in tre parti. Due parti sono come le "cornici" della coperta (matrici ortogonali) e una parte è il "peso" della coperta (i valori singolari).
Il sistema dice: "Ok, inviamo solo il peso della coperta in una cassaforte insondabile (crittografia), ma lasciamo le cornici aperte e visibili a tutti, perché sono necessarie per rimontare la scatola dopo".

L'idea era: "Nessuno può leggere la lettera se non ha il peso nella cassaforte".

La Scoperta: "Breaking Euston" (La Realtà)

Gli autori di questo nuovo articolo (Zhao e Wang) hanno detto: "Aspettate un attimo! C'è un buco nella sicurezza!".

Hanno scoperto che, anche se il "peso" è nella cassaforte, le cornici (quelle che hanno lasciato aperte) rivelano troppo. È come se lasciassi le cornici di un quadro esposte: anche se il quadro è coperto da un telo, le cornici ti dicono esattamente dove e come è stato posizionato il telo.

In termini tecnici, le cornici rivelano la "forma" dello spazio in cui è nascosta la tua lettera. Il postino (il proprietario del modello) può usare queste cornici per ricostruire la coperta e, di conseguenza, vedere la lettera originale che pensavi fosse sicura.

L'Attacco: Come lo fanno?

Immagina di essere il postino furbo:

Ricevi la lettera avvolta nella coperta (i dati mascherati).
Hai le cornici (le matrici che erano state inviate in chiaro).
Usi le cornici per "srotolare" la coperta.
Anche se non hai il peso esatto nella cassaforte, le cornici sono così precise che riesci a ricostruire la lettera con una fedeltà incredibile.

Gli autori hanno dimostrato matematicamente che più la lettera è grande e complessa (come le immagini o i testi moderni), più la ricostruzione è perfetta. È come se, guardando solo l'ombra proiettata da un oggetto su un muro, riuscissi a ricostruire l'oggetto tridimensionale originale con estrema precisione.

I Risultati Sperimentali

Hanno provato questo trucco su due tipi di dati:

Testi (come frasi o articoli): Hanno recuperato il testo originale con un errore minuscolo (circa il 3-4% di differenza, che per un computer è quasi zero).
Immagini (come foto di gatti o auto): Hanno mostrato delle foto. Anche se la foto originale era stata "oscurata" dalla maschera, la foto ricostruita dal postino era quasi identica all'originale. Si vedevano chiaramente i volti e i dettagli, indipendentemente da quanto forte fosse stata la maschera iniziale.

La Conclusione: Cosa significa per noi?

Il messaggio principale è un campanello d'allarme: Non basta nascondere solo una parte dei dati.

Pensate a un castello: Euston aveva costruito un muro altissimo per proteggere il tesoro (i dati), ma aveva lasciato le fondamenta (le cornici) esposte. Gli attaccanti hanno usato quelle fondamenta per scavare un tunnel e rubare il tesoro.

Questo studio ci insegna che quando progettiamo sistemi di sicurezza per l'Intelligenza Artificiale, dobbiamo essere molto più attenti. Se lasciamo anche solo un piccolo indizio matematico (come la "forma" della maschera), i nostri dati privati potrebbero non essere sicuri come pensiamo.

In sintesi: Hanno scoperto che il sistema Euston, pur sembrando sicuro e veloce, ha un difetto di progettazione che permette a chi gestisce il modello di "leggere nel pensiero" e recuperare le tue foto e i tuoi messaggi privati, trasformando un sistema di privacy in un sistema di spionaggio involontario.

Titolo

Breaking Euston: Recupero di Input Privati dall'Inferenza Sicura Sfruttando la Perdita di Sottospazio

1. Il Problema

Il paper affronta una vulnerabilità critica nel framework di inferenza sicura per trasformatori chiamato Euston, proposto di recente da Gao et al. per il 47° IEEE Symposium on Security and Privacy (IEEE S&P 2026).

Contesto: L'inferenza sicura permette di eseguire modelli su dati sensibili senza rivelare gli input grezzi, utilizzando tecniche come la Crittografia Omomorfica (FHE) o il Calcolo Multi-Partito Sicuro (MPC).
La Vulnerabilità: Euston introduce un protocollo di trasmissione matriciale basato sulla Decomposizione ai Valori Singoli (SVD) per ridurre drasticamente la larghezza di banda (di circa 2.8 volte). Nel protocollo, l'utente maschera l'input con una matrice casuale $R$ , decompone $R$ tramite SVD in due matrici ortogonali ( $U, H$ ) e un vettore di valori singolari ( $d$ ). Solo $d$ viene cifrato e inviato al proprietario del modello, mentre $U$ e $H$ sono trasmessi in chiaro.
Il Difetto: Gli autori dimostrano che, sebbene i valori singolari siano cifrati, la trasmissione in chiaro delle matrici ortogonali $U$ e $H$ rivela il sottospazio della maschera casuale. Questo permette al proprietario del modello (che è entità non fidata) di ricostruire la maschera e, di conseguenza, l'input privato originale.

2. Metodologia dell'Attacco

Gli autori (Zhao e Wang) propongono un attacco di recupero dati che sfrutta la perdita di sottospazio. La metodologia si articola come segue:

Analisi del Protocollo:
- L'utente invia l'input mascherato $X = A - R$ , dove $A$ è l'input privato e $R = UDH$ è la maschera.
- Il proprietario del modello possiede $U$ , $H$ e il vettore cifrato $d$ (che può essere esteso a una matrice diagonale $D$ ).
Ricostruzione della Maschera:
- Il proprietario del modello calcola $\hat{D} = U^T X H^T$ .
- Sostituendo $X = A - UDH$, si ottiene $\hat{D} = U^T A H^T - D$ .
- Estrae la parte diagonale $\tilde{D} = \text{diag}(\hat{D})$ come approssimazione di $D$ .
- Ricostruisce la maschera approssimata $\tilde{R} = -U \tilde{D} H$ .
Recupero dell'Input:
- L'input originale viene recuperato calcolando $\tilde{A} = X + \tilde{R}$ .
- L'errore di recupero deriva dal termine $U \cdot \text{diag}(U^T A H^T) \cdot H$ , che rappresenta l'energia diagonale della matrice trasformata.

3. Contributi Chiave

Identificazione della Vulnerabilità: Dimostrazione che il protocollo di trasmissione efficiente di Euston compromette la privacy rivelando i sottospazi delle matrici di maschera, rendendo inutile la cifratura parziale dei valori singolari.
Analisi Teorica: Forniscono una prova matematica dell'Errore Relativo di Recupero (RRE). Dimostrano che l'errore atteso è limitato da $1/\sqrt{n}$ $1/ n$ (dove $n$ $n$ è la dimensione della colonna della matrice).
- Conseguenza: Per input ad alta dimensionalità (tipici nei Transformer e nelle immagini), l'errore tende a zero, rendendo il recupero quasi perfetto.
Validazione Sperimentale: L'attacco è stato testato su dataset di linguaggio (GLUE: RTE, SST-2, QNLI con modello BERT-base) e immagini (CIFAR-100).

4. Risultati

Performance di Recupero:
- I risultati mostrano un RRE estremamente basso e costante su tutti i dataset di linguaggio (circa 0.036), indipendentemente dalla scala della maschera ( $\eta$ ).
- Su CIFAR-100, l'RRE è leggermente più alto (circa 0.178) a causa della dimensione dell'input inferiore, ma le immagini recuperate sono comunque riconoscibili e fedeli all'originale.
Indipendenza dalla Scala: L'efficacia dell'attacco non dipende dalla grandezza della maschera casuale, ma esclusivamente dalla conoscenza dei sottospazi ( $U$ e $H$ ).
Visualizzazione: Le figure del paper mostrano che le immagini recuperate sono quasi indistinguibili dagli originali, anche con scale di maschera elevate, confermando la fattibilità pratica dell'attacco.

5. Significato e Implicazioni

Rischio Fondamentale: Il lavoro evidenzia che ottimizzare l'efficienza (riducendo la comunicazione) a scapito della sicurezza completa può portare a violazioni catastrofiche della privacy.
Avvertenza per il Design: Il paper conclude che cifrare solo le rappresentazioni a basso rango o le matrici intermedie non è sufficiente per garantire la privacy nell'inferenza sicura.
Impatto: Questo studio mette in discussione la sicurezza del framework Euston appena proposto, suggerendo che tali design richiedono un'analisi di sicurezza rigorosa prima dell'adozione. Dimostra che la "sicurezza parziale" (cifrare solo una parte dei dati) può essere illusoria se le componenti rimanenti rivelano informazioni strutturali critiche.

In sintesi, il paper smaschera una falla critica in un sistema di sicurezza all'avanguardia, dimostrando come la semplice trasmissione di matrici ortogonali in chiaro possa permettere la decrittazione completa di dati sensibili in contesti di inferenza sicura.