Nel moderno mondo digitale, le informazioni sensibili viaggiano spesso verso server che non controlliamo. Un medico potrebbe inviare la radiografia di un paziente a un servizio cloud remoto per eseguire una diagnosi, o un ricercatore potrebbe caricare record medici privati su un database condiviso per l'analisi. Per proteggere questi dati, una strategia comune è quella di cifrarli prima dell'invio. Questo processo, noto come codifica di istanza (instance encoding), trasforma il file originale e sensibile in una nuova versione compressa chiamata embedding. La speranza è che questa nuova versione contenga abbastanza informazioni affinché il server remoto possa svolgere il suo compito, ma non abbastanza da permettere a chiunque di invertire il processo e recuperare il file originale e privato. Per anni, questo approccio si è basato sul metodo del tentativi ed errori. I professionisti hanno costruito questi cifratori e li hanno testati contro attacchi hacker noti, sperando che, se sopravvivevano ai test, fossero sicuri. Tuttavia, senza una solida garanzia teorica, un sistema che oggi sembra sicuro potrebbe essere violato domani. La domanda fondamentale è rimasta senza risposta: quanto è difficile decifrare i dati e possiamo dimostrarlo prima di affidare i nostri segreti al sistema?

Un team di ricercatori della Pennsylvania State University ha ora fornito un nuovo modo per rispondere a quella domanda. Hanno sviluppato un insieme di limiti matematici che prevedono con quale precisione un attaccante potrebbe ricostruire i dati originali dalla loro versione cifrata. A differenza dei tentativi precedenti, che spesso non tenevano conto del modo specifico in cui funziona lo strumento di cifratura o richiedevano che lo strumento aggiungesse rumore casuale per essere efficace, questi nuovi limiti funzionano anche quando lo strumento è perfettamente deterministico e non aggiunge alcun rumore. I ricercatori hanno scoperto che la sicurezza del sistema dipende fortemente dalla geometria della trasformazione dei dati. Nello specifico, se l'encoder scarta certe direzioni di informazione mantenendone altre, i dati diventano molto più difficili da ricostruire. I loro nuovi limiti sono più stretti e accurati rispetto ai vecchi metodi, identificando correttamente quando un sistema è realmente sicuro e quando è vulnerabile, anche in casi in cui le teorie precedenti suggerivano che fosse sicuro.

I ricercatori si sono concentrati su un tipo specifico di protezione della privacy in cui un utente invia una versione modificata dei propri dati a un server non attendibile. L'obiettivo è mantenere i dati utili per compiti come l'addestramento di modelli di intelligenza artificiale, rendendo però impossibile l'ingegneria inversa dell'input originale. Per molto tempo, l'unico modo per giudicare se un sistema funzionasse era cercare di romperlo. Se un attaccante non riusciva a recuperare l'immagine o il testo, il sistema era considerato sicuro. Ma questa è una difesa fragile. Il fatto che un attaccante non abbia ancora trovato un modo per rompere una serratura non significa che la serratura sia indistruttibile. I ricercatori volevano andare oltre questo indovinare. Cercavano una garanzia teorica, un modo per calcolare l'errore minimo che un attaccante commetterebbe inevitabilmente nel tentativo di ricostruire i dati. Questo errore funge da cuscinetto di sicurezza; più alto è l'errore, maggiore è la privacy dei dati.

I lavori precedenti in quest'area avevano stabilito un limite di base, ma presentavano significativi difetti. Quel vecchio limite funzionava solo se l'encoder aggiungeva rumore casuale ai dati, una tecnica che molti sistemi pratici non utilizzano perché può degradare la qualità dei dati. Inoltre, quel limite era spesso troppo permissivo, il che significa che prevedeva che un sistema fosse sicuro quando invece era piuttosto facile da violare. Misurava anche l'errore in un modo molto specifico, osservando la differenza media tra pixel o numeri, il che non cattura sempre se l'immagine ricostruita assomigli all'originale o contenga dettagli sensibili. La nuova ricerca affronta tutti questi problemi. Il team ha derivato una nuova famiglia di limiti che tengono conto della struttura interna dell'encoder. Si sono resi conto che un encoder agisce come un filtro che proietta i dati in un nuovo spazio. Alcune direzioni in questo spazio preservano l'informazione, mentre altre la scartano. I nuovi limiti misurano esattamente quanta informazione viene persa in queste direzioni scartate.

I ricercatori hanno scoperto che la sicurezza del sistema è determinata dallo "spettro" dell'encoder, che descrive quanto fortemente esso preserva l'informazione lungo diverse direzioni. Se un encoder scarta molte informazioni, specialmente informazioni difficili da indovinare partendo da conoscenze generali, i dati diventano molto difficili da ricostruire. I loro nuovi limiti sono molto più stretti dei vecchi, il che significa che forniscono una previsione più precisa del successo dell'attaccante. In molti casi, i vecchi limiti suggerivano che un attaccante potesse facilmente recuperare i dati, mentre i nuovi limiti mostravano che la ricostruzione sarebbe stata molto scarsa, o viceversa. Crucialmente, questi nuovi limiti funzionano anche quando l'encoder non aggiunge assolutamente alcun rumore casuale. Questo è un importante miglioramento pratico, poiché molti sistemi del mondo reale utilizzano encoder deterministici che non si affidano alla casualità per la sicurezza.

Per testare la loro teoria, i ricercatori hanno applicato i loro nuovi limiti a una varietà di scenari utilizzando due comuni dataset di immagini: MNIST, che contiene cifre scritte a mano, e CIFAR-10, che contiene piccole immagini a colori di oggetti come gatti, cani e aerei. Hanno testato diversi tipi di encoder, inclusi semplici trasformazioni lineari e complessi modelli neurali profondi, e li hanno sottoposti a vari metodi di attacco. In ogni caso, i nuovi limiti sono stati confermati. L'errore effettivo commesso dagli attaccanti non è mai sceso al di sotto del limite previsto. I ricercatori hanno anche scoperto che i loro limiti erano significativamente più stretti rispetto allo standard precedente, specialmente quando l'encoder era progettato per scartare tipi specifici di informazione. Ad esempio, quando l'encoder era impostato per ignorare certe direzioni nello spazio dei dati, i nuovi limiti prevedevano correttamente che la ricostruzione sarebbe stata estremamente difficile, mentre i vecchi limiti non riuscivano a catturare questa difficoltà.

Lo studio ha anche introdotto un nuovo modo per misurare la difficoltà di ricostruzione che è più utile rispetto al semplice guardare i numeri dell'errore grezzo. Poiché la dimensione assoluta dell'errore può essere difficile da interpretare, i ricercatori hanno proposto un rapporto che confronta l'errore di ricostruzione effettivo con l'errore massimo possibile se l'encoder non rivelasse nulla. Questo rapporto, che chiamano "rapporto al soffitto" (ratio to ceiling), funge da indicatore pratico di privacy. Un rapporto basso significa che l'attaccante sta ottenendo risultati simili a quelli che avrebbe avuto senza alcun dato, indicando una forte privacy. Un rapporto alto significa che l'attante sta recuperando molta informazione. Quando hanno visualizzato le immagini ricostruite, hanno trovato una chiara correlazione: le immagini con un rapporto basso apparivano come rumore sfocato e irriconoscibile, mentre quelle con un rapporto alto mostravano i dettagli chiari dell'oggetto originale.

Uno dei risultati più sorprendenti riguardava la differenza tra i due dataset. I ricercatori hanno scoperto che le cifre scritte a mano del dataset MNIST erano molto più difficili da proteggere rispetto alle immagini complesse di CIFAR-10. Anche quando i limiti teorici suggerivano che i dati dovessero essere sicuri, gli attaccanti riuscivano spesso a ricostruire le cifre con una precisione sorprendente. La ragione risiede nella natura stessa dei dati. Le cifre scritte a mano sono molto semplici e giacciono su una struttura a bassa dimensionalità; conoscere l'etichetta di una cifra (ad esempio, che si tratta di un "7") fornisce così tante informazioni che un attaccante può indovinare la forma della cifra con pochissimi dati. Al contrario, le immagini in CIFAR-10 sono molto più variegate. Sapere che un'immagine contiene un "gatto" non aiuta un attaccante a ricostruire i tratti specifici di quel gatto, perché i singoli gatti appaiono molto diversi l'uno dall'altro. Ciò suggerisce che il livello di protezione richiesto dipende pesantemente dal tipo di dati condivisi.

I ricercatori hanno anche migliorato gli strumenti pratici necessari per calcolare questi limiti. Per farlo, avevano bisogno di comprendere i pattern statistici dei dati, un concetto noto come "prior" dei dati. Invece di addestrare un nuovo modello da zero per apprendere questi pattern, hanno dimostrato che i modelli di intelligenza artificiale esistenti e pre-addestrati potevano essere utilizzati per stimare il prior dei dati con alta precisiono. Questo rende i nuovi limiti molto più facili da applicare in situazioni reali. Hanno testato diversi metodi per stimare le componenti necessarie della loro formula e hanno scoperto che l'uso di un piccolo campione di dati era spesso sufficiente per ottenere un risultato affidabile, rendendo il calcolo abbastanza efficiente per l'uso pratico.

In definitiva, questo lavoro fornisce una base teorica tanto necessaria per una popolare tecnica di privacy. Sposta il campo dai test empirici che possono essere ingannati verso una comprensione rigorosa di ciò che rende un encoder sicuro. I nuovi limiti dimostrano che la sicurezza non riguarda solo l'aggiunta di rumore o il rendere il sistema complesso; riguarda il modo in cui il sistema gestisce la geometria dell'informazione. Scartando le giuste tipologie di informazione, un encoder può rendere la ricostruzione impossibile, anche senza alcuna casualità. Sebbene lo studio non pretenda di aver risolto il problema della privacy per sempre, offre un potente nuovo strumento per i progettisti per valutare i loro sistemi. Permette loro di vedere, prima del deployment, se il loro metodo di codifica è abbastanza forte da proteggere i dati sensibili, o se è solo un'illusione di sicurezza. I risultati suggeriscono che per molte applicazioni del mondo reale, specialmente quelle che coinvolgono dati complessi come le immagini naturali, questi nuovi confini possono fornire una misura affidabile della privacy, garantendo che i dati condivisi con server non attendibili rimangano veramente privati.