Privacy-Preserving Machine Learning from Storage to Inference: Integrating Authenticated Encryption with Fully Homomorphic Encryption

Immaginate un mondo in cui i vostri record personali più sensibili — il vostro reddito, la vostra storia clinica, i dettagli della vostra famiglia — potessero essere analizzati da potenti computer nel cloud senza che quei computer vedano mai l'informazione reale. Questa è la promessa di un campo chiamato apprendimento automatico preservante la privacy (privacy-preserving machine learning). Per anni, un grande ostacolo è esistito: per analizzare i dati, solitamente questi devono essere sbloccati, trasformandoli in testo in chiaro che chiunque abbia accesso al server potrebbe potenzialmente leggere. Sebbene abbiamo ottimi modi per bloccare i dati quando giacciono su un disco rigido, e buoni modi per proteggerli mentre viaggiano su internet, nel momento in cui vengono elaborati per un calcolo, spesso diventano vulnerabili. Una tecnologia più recente, nota come crittografia omomorfica completa, tenta di risolvere questo problema permettendo ai computer di eseguire operazioni matematiche su dati bloccati senza mai sbloccarli. Tuttavia, costruire un sistema che protegga i dati dal momento in cui vengono archiviati, fino al momento in cui vengono analizzati e restituiti, è rimasto una sfida complessa.

Un team di ricercatori ha ora costruito e testato un prototipo funzionante che connette questi due mondi. Hanno creato un sistema che mantiene i dati bloccati con un forte sigillo digitale mentre giacciono in archiviazione, e poi li mantiene bloccati in un modo diverso e più complesso mentre vengono analizzati da un server remoto. L'obiettivo era vedere se questa protezione a doppio strato potesse funzionare in un flusso di lavoro del mondo reale senza rovinare l'accuratezza dei risultati. I ricercatori si sono concentrati su un tipo specifico di analisi chiamata regressione logistica, che viene spesso utilizzata per prevedere gli esiti basandosi su un insieme di numeri, come determinare se una famiglia è vulnerabile in base a fattori quali reddito e istruzione. Volevano sapere se potevano inviare questi dati a un server di cui non si fidavano, far sì che il server elaborasse i calcoli sui dati criptati e ottenesse indietro una risposta corretta, il tutto garantendo che il server non vedesse mai i numeri grezzi o la chiave per sbloccarli.

Per testare questo, il team ha generato duemila record familiari finti. Non erano persone reali, ma dati sintetici progettati per imitare la struttura delle informazioni del mondo reale, inclusi dieci diversi parametri numerici come la dimensione del nucleo familiare e la distanza dall'acqua. Hanno usato questi dati per addestrare un modello computazionale per prevedere un'etichetta di "vulnerabilità". Per prima cosa, hanno stabilito una linea di base eseguendo l'analisi su dati normali, non bloccati. Questo modello standard ha performato molto bene, identificando correttamente lo stato dei record circa il novanta percento delle volte. Questo punteggio elevato ha servito da standard di riferimento contro cui avrebbero misurato il loro sistema criptato.

Successivamente, hanno costruito la pipeline sicura. Quando un utente voleva analizzare un record, il sistema prima recuperava il dato dall'archiviazione, dove era protetto da un metodo che non solo criptava i dati, ma aggiungeva anche un'impronta digitale per garantire che nessuno li avesse manomessi. Il computer dell'utente sbloccava il record localmente, lo preparava e lo richiudeva utilizzando la speciale crittografia omomorfica. Questo nuovo blocco permetteva al server remoto di eseguire i calcoli necessari senza mai vedere i numeri effettivi. Il server, che i ricercatori hanno trattato come non affidabile, riceveva solo i dati criptati e il modello criptato. Esso eseguiva il calcolo e inviava il risultato criptato all'utente, che lo sbloccava per vedere la previsione finale.

I risultati hanno dimostrato che questo approccio funziona. Quando i ricercatori hanno confrontato le previsioni fatte dal sistema criptato con lo standard di riferimento, la differenza era quasi impercettibile. I modelli criptati, testati con diversi livelli di precisione numerica, hanno raggiunto punteggi di accuratezza compresi tra circa il novanta e il novantuno percento, eguagliando quasi le prestazioni del modello non criptato. In effetti, una specifica configurazione del sistema criptato ha ottenuto un punteggio leggermente superiore in una misura di quanto bene riuscisse a distinguere tra diversi gruppi, sebbene i ricercatori abbiano notato che si trattava di una piccola differenza e non di un segno che la crittografia migliori il modello in sé. Il punto chiave era che la protezione della privacy non aveva rotto la matematica.

Tuttavia, questa privacy comporta un costo in termini di velocità. Mentre l'analisi standard, non criptata, avviene quasi istantaneamente, la versione criptata ha richiesto molto più tempo. I ricercatori hanno misurato il tempo necessario al server per elaborare un singolo record e hanno scoperto che richiedeva tra i trenta e i trentuno millisecondi. Sebbene questo possa sembrare veloce, è un aumento sostanziale rispetto al lavoro su dati non criptati. In un test separato che includeva il tempo per recuperare i dati da una cache di archiviazione a freddo, l'intero processo per un singolo record ha richiesto quasi settecento millisecondi. I ricercatori hanno sottolineato che questi numeri sono specifici per il loro setup e per il tipo di modello utilizzato, ma evidenziano che la tecnologia è ancora computazionalmente pesante.

Il sistema si è anche dimostrato robusto contro le manomissioni. I ricercatori hanno deliberatamente cercato di alterare un singolo byte dei dati criptati archiviati sul server. Quando il sistema ha tentato di leggere questi dati modificati, l'impronta digitale è fallita e il sistema ha correttamente rifiutato il file, impedendo l'uso di qualsiasi informazione corrotta. Inoltre, il sistema ha impedito con successo a un utente di accedere ai file di un altro utente, dimostrando che lo strato di archiviazione aveva isolato efficacemente i dati.

Lo studio conclude che è possibile costruire un sistema completo, end-to-end, che protegga i dati sia durante l'archiviazione che durante l'analisi da parte di una parte esterna. Il prototipo ha dimostrato che non è necessario sacrificare l'accuratezza per ottenere questo livello di sicurezza, a patto di essere disposti ad accettare tempi di elaborazione più lenti. Il lavoro non sostiene di aver risolto tutti i problemi dell'informatica sicura; i ricercatori hanno notato che il loro test ha utilizzato dati sintetici semplici e un modello di base. Non hanno testato come il sistema avrebbe gestito dataset massicci, modelli di intelligenza artificiale complessi o attacchi attivi in cui un server malevolo cerca di ingannare il sistema. Eppure, l'esperimento funge da prova di concetto. Dimostra che le due fasi critiche della gestione dei dati — l'archiviazione e l'inferenza — possono essere collegate con una forte crittografia, creando un flusso di lavoro in cui le informazioni sensibili rimangono sotto il controllo del proprietario dal momento in cui vengono salvate al momento in cui la risposta viene restituita.