💻 computer science

Homomorphic Encryptions for Privacy Preserving Vision

Questo articolo presenta un framework di visione artificiale che preserva la privacy utilizzando la Crittografia Completamente Omomorfica (specificamente Microsoft SEAL e TenSEAL) per consentire l'inferenza accurata di CNN su dati criptati, dimostrando una perdita di accuratezza minima attraverso diversi dataset da MNIST a CIFAR-10 pur supportando operazioni complesse come l'elaborazione multi-canale e molteplici strati convoluzionali.

Autori originali: Preey Shah, Rohan Virani, Sanjari Srivastava

Pubblicato 2026-06-25

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Preey Shah, Rohan Virani, Sanjari Srivastava

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di avere una ricetta segreta e preziosissima per una torta (i tuoi dati privati, come una scansione medica o un record finanziario). Vuoi chiedere a una famosa, tecnologicamente avanzata pasticceria (un servizio di intelligenza artificiale basato su cloud) se la torta verrà bene, ma sei legalmente proibito dal mostrare loro la ricetta vera e propria. Non puoi nemmeno inviare loro una copia della ricetta da guardare in seguito.

Questo articolo parla di un trucco geniale che permette di inviare la ricetta in una scatola chiusa a chiave e indistruttibile alla pasticceria. I pasticceri possono mescolare, cuocere e assaggiare la torta dentà la scatola senza mai aprirla o vedere gli ingredienti. Quando rimandano indietro la scatola, questa contiene la risposta ("Sarà deliziosa!"), ma la scatola rimane chiusa per tutto il tempo.

Ecco come gli autori hanno realizzato questo, spiegato in modo semplice:

Il Problema: Il dilemma della "Scatola di Vetro"

Di solito, per utilizzare potenti strumenti di IA nel cloud, devi fornire i tuoi dati in piena vista. Ma per cose sensibili come le cartelle cliniche, la legge dice che non puoi farlo. Questo impedisce alle persone di utilizzare i migliori strumenti di IA disponibili.

La Soliazione: Crittografia Omomorfa

Gli autori hanno utilizzato una tecnologia chiamata Crittografia Omomorfa. Immagina che sia una scatola magica con serratura.

Crittografia Normale: Chiudi una scatola. Il pasticcere non può toccare la torta all'interno.
Crittografia Omomorfa: Chiudi una scatola, ma il pasticcere ha un paio di guanti speciali che gli permettono di impastare, mescolare e cuocere la torta attraverso la scatola. Possono eseguire calcoli sulla torta senza mai vedere cos'è.

La Sfida: Il problema del "Quadrato"

L'IA standard (specificamente le Reti Neurali Convoluzionali, o CNN) utilizza molta matematica "non lineare". Immagina un passaggio della ricetta che dice: "Se la temperatura è superiore a 100, spegni il calore". Questa è una decisione basata su un valore massimo o su una curva.

Il Problema: La magia della scatola chiusa capisce solo semplici addizioni e moltiplicazioni. Non capisce i "massimi" o le curve complesse.
La Soluzione: Gli autori hanno dovuto riscrivere la ricetta dell'IA. Invece di chiedere un "massimo", hanno usato un semplice trucco matematico (come elevare al quadrato un numero) che imita la curva ma utilizza solo la moltiplicazione. Anche hanno sostituito la scelta del "numero più grande" con la "media dei numeri", che la scatola chiusa può gestire.

Cosa hanno fatto (Gli Esperimenti)

Il team ha costruito tre diversi modelli di IA "pronti per la scatola chiusa" per testare questa idea:

Il Modello Semplice: Un'IA di base che osserva immagini in bianco e nero (come numeri scritti a mano).
Il Modello a Strati: Un'IA leggermente più complessa che osserva le immagini attraverso più strati di filtri e utilizza la "media" per rimpicciolire la dimensione dell'immagine.
Il Modello a Colori: Un'IA capace di osservare immagini colorate (come il dataset CIFAR-10), il che è molto più difficile perché deve elaborare tre diversi canali di colore (Rosso, Verde, Blu) contemporaneamente.

Li hanno testati su famosi dataset di immagini:

MNIST: Numeri scritti a mano (il "Hello World" dell'IA).
Fashion-MNIST: Foto di vestiti.
Kuzushiji MNIST: Antichi caratteri giapponesi.
CIFAR-10: Piccole foto colorate di oggetti quotidiani (gatti, auto, uccelli).

I Risultati: Ha funzionato?

Accuratezza: Sorprendentemente, sì!

Per i modelli più semplici, l'IA ha indovinato correttamente sui dati nella scatola chiusa altrettanto bene come, o talvolta anche meglio rispetto alla versione sbloccata. Gli autori suggeriscono che il "rumore" all'interno della scatola chiusa potrebbe aver aiutato accidentalmente l'IA a evitare di pensare troppo (overfitting).
Per i modelli più complessi, l'accuratezza è scesa solo leggermente (circa l'1%), che è un prezzo molto piccolo da pagare per la totale privacy.

Velocità: Questo è il problema.

Fare calcoli dentro una scatola magica è lento. Gli autori hanno scoperto che elaborare immagini criptate richiedeva molto più tempo rispetto alle immagini normali.
Per le immagini colorate più complesse, ci sono voluti circa 7,5 secondi per immagine solo per ottenere una risposta.
Hanno notato che il loro software non utilizzava ancora potenti schede grafiche (GPU), ed è per questo che era così lento. Se avessero aggiunto quelle, sarebbe stato molto più veloce.

Il Compromesso: Sicurezza vs Velocità

Gli autori hanno giocato con le "impostazioni" della scatola chiusa (chiamate parametri di contesto).

Serrature più forti: Se rendi la scatola più difficile da scassinare (maggiore sicurezza), i calcoli richiedono più tempo.
Precisione: Se vuoi che la risposta sia super precisa, hai bisogno di più "bit" di dati, il che rallenta ulteriormente le cose.
Hanno trovato un "punto di equilibrio" dove la scatola era abbastanza sicura e l'accuratezza era alta, anche se era un po' lenta.

In sintesi

Il documento dimostra che è possibile eseguire compiti complessi di riconoscimento di immagini su dati segreti e criptati senza decriptarli prima. Non devi scegliere tra privacy e l'uso di una potente IA.

Tuttamente, la tecnologia attuale è come un'auto manuale lenta rispetto a un'auto da corsa ad alta velocità. Funziona perfettamente per la privacy, ma non è ancora abbastanza veloce per applicazioni in tempo reale. Gli autori sperano che in futuro, con hardware migliori (come le GPU) e metodi di crittografia più veloci, questa "scatola magica" diventi abbastanza veloce da essere usata ovunque.

Sintesi Tecnica: Crittografia Omomorfica per la Visione Preservante la Privacy

Problematica
Il documento affronta il conflitto tra la crescente domanda di Machine Learning-as-a-Service (MLaaS) basato su cloud e i requisiti legali che impediscono alle organizzazioni di condividere dati sensibili (ad esempio, record medici o finanziari) in chiaro. Sebbene il deep learning sia sempre più applicato a domini sensibili come l'assistenza sanitaria (rilevamento di tumori, imaging medico), le attuali soluzioni cloud richiedono la decrittazione dei dati, ponendo rischi per la privacy. Gli autori mirano a consentire compiti di inferenza di Computer Vision — specificamente Reti Neurali Convoluzionali (CNN) — di operare direttamente su dati criptati senza decrittazione, preservando così la privacy dei dati pur mantenendo un'accuratezza e una velocità di inferenza competitive.

Metodologia
Il progetto utilizza la Crittografia Totalmente Omomorfica (FHE), specificamente lo schema Cheon-Kim-Kim-Song (CKKS), che supporta l'aritmetica approssimata su dati criptati. L'implementazione si basa su Microsoft SEAL e sul suo wrapper Python, TenSEAL.

Per adattare le CNN standard alla crittografia omomorfica, gli autori hanno implementato diverse modifiche critiche per gestire i vincoli della HE (che supporta solo operazioni additive e moltiplicative su anelli commutativi):

Rappresentazione dei Dati: I numeri reali sono sostituiti da numeri a virgola mobile a precisione fissa codificati in interi.
Approssimazione della Non-Linearità: Le funzioni di attivazione non polinomiali standard come ReLU e Sigmoid sono sostituite da polinomi di basso grado (specificamente $z^2$ ) per introdurre la non-linearità.
Strati di Pooling: Il max-pooling è sostituito da un average pooling scalato, che può essere espresso come una convoluzione con un kernel statico.
Implementazione della Convoluzione: La convoluzione è trasformata in moltiplicazione tra matrici utilizzando il metodo "image-to-columns". Poiché la riorganizzazione degli elementi del ciphertext è difficile, questa pre-elaborazione viene eseguita sul testo in chiaro prima della crittografia.
Gestione Multi-Strato: Per supportare strati convoluzionali impilati e input multi-canale (immagini a colori), il sistema decripta e ricripta i dati tra uno strato e l'altro. Ciò è necessario perché TenSEola manca di documentazione nativa per la gestione di riorganizzazioni di matrici 2-D su vettori 1-D criptati. Gli autori osservano che ciò non compromette la privacy, poiché sono necessari solo le dimensioni del kernel e lo stride (non i parametri del modello) per la riorganizzazione.

Configurazione Sperimentale
Gli autori hanno valutato tre distinte architetture CNN attraverso quattro dataset: MNIST, Kuzushiji MNIST, Fashion-MNIST e CIFAR-10.

Architettura 1: Una CNN semplice con uno strato convoluzionale e due strati completamente connessi (FC) (input a singolo canale).
Architettura 2: Un modello più profondo con due strati convoluzionali, average pooling e due strati FC (input a singolo canale).
Architettura 3: Un modello che supporta input multi-canale (RGB), dove gli output dei canali sono calcolati separatamente e combinati tramite addizione di ciphertext.

I modelli sono stati prima addestrati su dati non criptati. I pesi risultanti sono stati poi utilizzati per inizializzare le varianti "criptate" per l'inferenza. Lo studio si è concentrato su una suddivisione di test di 5.000 campioni per dataset per gestire l'importante overhead computazionale della FHE.

Risultati Chiave
Gli esperimenti hanno dimostrato che la classificazione su dati criptati è fattibile con una perdita minima di accuratezza:

Accuratezza: Per l'Architettura 1, l'inferenza criptata ha spesso eguagliato o leggermente superato l'accuratezza del baseline non criptato (ad esempio, 98,90% rispetto a 97,14% su MNIST). Gli autori attribuiscono i potenziali miglioramenti al rumore naturale introdotto dall'aritmetica approssimata di CKKS, che può ridurre l'overfitting. Per l'Architettura 2, l'accuratezza è scesa di circa l'1% su dataset complessi (KMNIST, Fashion-MNIST), probabilmente a causa degli errori cumulativi dai cicli di decripta/ricripta.
Complessità: Il sistema ha esteso con successo il supporto a input multi-canale (CIFAR-10), raggiungendo un'accuratezza del 54,1% sui dati criptati rispetto al 56,12% sui dati non criptati.
Compromessi sulle Prestazioni: Il tempo di inferenza è significativamente più alto rispetto all'inferenza non criptata (ordini di grandezza più lento). Lo studio ha analizzato il compromesso tra parametri di contesto (grado del modulo polinomiale e modulo del coefficiente) e prestazioni:
- Aumentare la scala di bit (precisione) non ha aumentato significativamente il tempo di inferenza ma è stato necessario per mantenere l'accuratezza.
- Aumentare il modulo del bit polinomiale (sicurezza) ha aumentato linearmente il tempo di inferenza (ad esempio, raddoppiare il modulo da 8192 a 16384 ha raddoppiato il tempo di inferenza) mantenendo un'accuratezza simile.

Significatività e Contributi
Il documento rivendica contributi modesti ma significativi nel campo della visione preservante la privacy:

Dimostrazione di Fattibilità: Dimostra che le CNN possono eseguire l'inferenza su immagini criptate con un'accuratezza comparabile ai baseline non criptati attraverso vari dataset, inclusi quelli complessi come CIFAR-10.
Estensioni delle Librerie: Gli autori hanno aggiunto il supporto per operazioni complesse sopra TenSEAL, inclusi strati convoluzionali impilati, average pooling e l'elaborazione di immagini multi-canale (colori).
Analisi dei Parametri: Il lavoro fornisce un'analisi empirica dei compromessi tra tempo, accuratezza e sicurezza inerenti alla crittografia CKKS, offrendo una guida sulla selezione dei parametri di contesto.

Gli autori concludono che, sebbene le prestazioni attuali siano limitate dalla mancanza di supporto GPU nelle librerie FHE e dal costo computazionale della crittografia, la capacità di eseguire compiti di Computer Vision direttamente sui ciphertext offre una soluzione praticabile per applicazioni sensibili alla privacy. Suggeriscono che futuri miglioramenti nell'accelerazione hardware e in schemi HE più veloci potrebbero migliorare ulteriormente la praticità di questo approccio.