Riepilogo Tecnico: MLQENABLER

Definizione del Problema

Il documento affronta il dilemma tra sicurezza e utilità intrinseco nel modello di Cloud Storage con Servizio basato su Machine Learning (CSS-MLS). In questo modello, i Cloud Service Provider (CSP) offrono lo storage come servizio primario e sfruttano i dati dei clienti per fornire servizi di machine learning (ML) secondari (ad esempio, sistemi di raccomandazione). Sebbene questo modello offra vantaggi economici e funzionali, solleva significativi problemi di sicurezza poiché i cloud pubblici non possono essere pienamente affidabili. I CSP potrebbero avere incentivi finanziari per vendere i dati, i dipendenti potrebbero rubare i dati o i server potrebbero essere vulnerabili ad attacchi hacker.

La mitigazione standard consiste nel crittografare i dati prima dell'outsourcing. Tuttavia, la crittografia tradizionale (ad esempio, AES, 3DES) trasforma i dati in numeri pseudocasuali, rendendo impossibile eseguire l'addestramento ML o query sul dataset crittografato. Le soluzioni esistenti a questo problema soffrono di specifiche limitazioni:

• Crittografia Omomorfica Totale (FHE): Computazionalmente inefficiente per l'addestramento di reti neurali profonde.
• Differential Privacy (DP): Si basa sull'aggiunta di rumore grossolano, creando un cattivo compromesso tra utilità dei dati (accuratezza) e sicurezza.
• Federated Learning (FL): Non riesce a proteggere la privacy delle query e la privacy del modello (il modello stesso addestrato può essere esposto).

La sfida centrale è progettare un sistema che consenta query ML e l'addestramento su dati crittografati preservando la privacy del ciphertext, la privacy dell'indice, la privacy del token di query e la privacy del modello.

Metodologia: MLQENABLER

Gli autori propongono MLQENABLER (ML Queries Enabler), un framework assistito da indice che disaccoppia lo storage dei dati dall'utilità ML. Il sistema coinvolge quattro entità: client di storage, client non-storage, un server cloud e un Key Generation Server (KGS).

Meccanismo Core: EncGAN

Il sistema si basa su un'architettura di Rete Generativa Avversaria (GAN) chiamata EncGAN, che consiste in tre componenti:

1. Generatore ($G$): Agisce come chiave segreta globale. Trasforma gli elementi dei dati originali in "elementi di indice sicuri".
2. Discriminatore ($D$): Addestrato per distinguere tra dati reali ed elementi di indice generati.
3. Ricostruttore ($R$): Addestrato per recuperare i dati originali dall'elemento di indice sicuro.

Flusso Operativo

1. Generazione della Chiave: Il KGS raccoglie un dataset (ad esempio, da internet) per addestrare l'EncGAN. Il Generatore ($G$) addestrato diventa la chiave segreta distribuita ai client.
2. Preparazione dei Dati (Lato Client):
   • Crittografia: I client crittografano formalmente i loro elementi di dati grezzi utilizzando la crittografia standard (ad esempio, AES) con una chiave segreta locale per garantire la privacy del ciphertext.
   • Generazione dell'Indice: I client inseriscono gli elementi dei dati originali nel generatore $G$ per produrre elementi di indice sicuri. Questi elementi sono progettati per essere indistinguibili dal rumore casuale per garantire la privacy dell'indice.
   • Outsourcing: I client caricano sia i dati crittografati che gli elementi di indice sicuri (insieme alle etichette di classe) sul cloud.
3. Addestramento ML (Lato Cloud): Il server cloud addestra modelli ML direttamente sugli elementi di indice sicuri. Il modello risultante è indicato come $M'$.
4. Elaborazione delle Query:
   • Per interrogare, un client utilizza la chiave segreta $G$ per trasformare un nuovo elemento di dato $q$ in un token sicuro $G(q)$.
   • Il cloud elabora $G(q)$ utilizzando il modello addestrato $M'$ per produrre un risultato.
   • Il modello reale utilizzabile è effettivamente la composizione $M = G \circ M'$. Poiché il cloud possiede solo $M'$ e non $G$, non può ricostruire il vero modello, garantendo la privacy del modello.

Garanzie di Privacy

• Privacy del Ciphertext: Ottenuta tramite crittografia standard (AES/3DES).
• Privacy dell'Indice: Ottenuta perché il generatore $G$ è addestrato tramite una perdita avversaria per rendere gli elementi di indice indistinguibili da dati casuali.
• Privacy del Token: I token sono generati utilizzando lo stesso processo sicuro degli elementi di indice.
• Privacy del Modello: Il cloud possiede solo il modello addestrato su dati offuscati ($M'$). Senza la chiave segreta $G$, il cloud non può applicare il modello ai dati reali.

Contributi Chiave

1. Formulazione del Problema: Il documento definisce formalmente il modello CSS-MLS e i requisiti specifici di privacy (ciphertext, indice, token e privacy del modello) necessari per mettere in sicurezza il sistema.
2. Design del Framework: Propone MLQENABLER, un framework che utilizza la crittografia standard per lo storage dei dati e un metodo di generazione dell'indice basato su GAN per abilitare l'utilità ML.
3. Design di EncGAN: Introduce un metodo basato su GAN in cui il generatore crea elementi di indice indistinguibili da dati casuali (proteggendo la privacy dell'indice) mentre un ricostruttore assicura che gli elementi mantengano una struttura sufficiente per l'addestramento ML.
4. Rumore Controllabile tramite Funzione di Perdita (LFC): Il documento caratterizza il processo di crittografia come un nuovo tipo di tecnica di preservazione della privacy in cui l'aggiunta di rumore è guidata da specifiche funzioni di perdita, offrendo un approccio più fine rispetto al rumore grossolano della Differential Privacy.

Risultati Sperimentali

Gli autori hanno valutato MLQENABLER su sei dataset di immagini (CIFAR-10, CIFAR-100, Tiny-ImageNet, GTSRB, CelebA e DIV2K) utilizzando le architetture ResNet-18 e SwinV2-T.

• Privacy (Indistinguibilità dell'Indice): I confronti visivi e l'analisi dell'Entropia dell'Informazione del Patch (Patch IE) mostrano che gli elementi di indice sicuri sono visivamente indistinguibili dalle immagini casuali e possiedono livelli di entropia simili al rumore casuale, significativamente più alti rispetto alle immagini originali.
• Accuratezza Autorizzata (AA): Il sistema mantiene un'alta utilità per gli utenti autorizzati.
  • Per ResNet-18, il calo di accuratezza (Originale vs. Indice) è variato dallo 0,07% al 3,05% (media 1,13%).
  • Per SwinV2-T, il calo è variato dallo 0,21% al 6,13% (media 2,86%).
  • La maggiore degradazione si è verificata su CIFAR-100, mentre GTSRB ha mostrato una perdita minima (<0,25%).
• Accuratezza Non Autorizzata (UA): I modelli addestrati sugli elementi di indice hanno operato a livelli vicini al tentativo casuale (random guessing) quando testati sui dati originali (non crittografati).
  • Su CIFAR-10, 100 e Tiny-ImageNet, la UA era vicina alla baseline del tentativo casuale (ad esempio, ~10% per 10 classi).
  • Ciò conferma che il modello addestrato $M'$ è inutile senza la chiave segreta $G$, proteggendo efficacementamente la proprietà intellettuale del modello.

Significato e Rivendicazioni

Il documento sostiene che MLQENABLER risolve con successo il compromesso tra sicurezza dei dati e capacità ML negli ambienti cloud. Utilizzando un approccio assistito dall'indice, raggiunge quattro obiettivi di privacy simultanei (privacy di ciphertext, indice, token e modello) che le tecniche precedenti (FHE, DP, FL) non potevano raggiungere insieme.

Gli autori affermano che il sistema comporta solo una lieve degradazione delle prestazioni ML fornendo al contempo forti garanzie di sicurezza. Posizionano il meccanismo EncGAN non solo come una soluzione per questo problema specifico, ma come un nuovo tipo di tecnica di aggiunta di rumore controllabile tramite funzione di perdita (LFC) che potrebbe essere applicabile ad altre applicazioni di preservazione della privacy oltre questo articolo. Il lavoro è presentato come una soluzione pratica per l' "economia della condivisione dei dati" nell'era dei big data, consentendo ai provider cloud di offrire servizi ML senza compromettere la privacy dei clienti o la proprietà intellettuale.