Privacy-Preserving Machine Learning from Storage to Inference: Integrating Authenticated Encryption with Fully Homomorphic Encryption

あなたの最も敏感な個人記録——所得、健康歴、家族の詳細などが、クラウド上の強力なコンピュータによって分析されるものの、それらのコンピュータには実際の情報が一度も見えない、そんな世界を想像してみてください。これは、プライバシー保護機械学習と呼ばれる分野が約束する未来です。長年、大きな障壁が存在していました。データを分析するためには、通常、データのロックを解除してプレーンテキストにする必要があり、そうなるとサーバーにアクセスできる者なら誰でもその内容を読み取れる可能性がありました。ハードドライブ上にデータが置かれている間はデータを封印しておく優れた方法があり、インターネット経路を移動する間も保護する良い方法もありますが、計算のために処理が行われる瞬間、データはしばしば脆弱になります。全準同型暗号（fully homomorphic encryption）として知られる新しい技術は、ロックされたままのデータに対してコンピュータが数学的演算を行うことを可能にすることで、この問題を解決しようとしています。しかし、データの保存から分析、そして結果の返却に至るまで、データを保護するシステムを構築することは、依然として複雑な課題であり続けてきました。

ある研究チームが、これら二つの世界をつなぐ動作するプロトタイプを構築し、テストしました。彼らは、データがストレージに置かれている間は強力なデジタル封印でロックされた状態を維持し、その後、リモートサーバーによって分析されている間は、より複雑な方法でロックされた状態を維持するシステムを作成しました。目的は、この二重の保護層が、結果の精度を損なうことなく、現実世界のワークフローの中で機能するかどうかを確認することでした。研究チームは、ロジスティック回帰と呼ばれる特定の種類の分析に焦点を当てました。これは、所得や教育などの要因に基づいて世帯が脆弱であるかどうかを判断するなど、数値のセットに基づいて結果を予測するために頻繁に使用されるものです。彼らは、信頼できないサーバーにこのデータを送り、サーバーに暗号化されたデータ上で計算を行わせ、正しい答えを受け取りつつ、サーバーには生の数値やロックを解除するための鍵を一切見せないことができるかどうかを知りたいと考えました。

これをテストするために、チームは2,000件の架空の世帯記録を生成しました。これらは実在の人物ではなく、世帯人数や水への距離といった10種類の数値的な特徴を含む、現実世界の情報の構造を模した合成データです。彼らはこのデータを使用して、コンピュータモデルを訓練し、「脆弱性」ラベルを予測するようにしました。まず、彼らは通常の、ロックされていないデータで分析を実行することでベースラインを確立しました。この標準的なモデルは非常に優れた性能を示し、記録のステータスを約90%の確率で正しく特定しました。この高いスコアは、彼らが暗号化システムを測定するためのゴールドスタンダード（基準）として機能しました。

次に、彼らはセキュアなパイプラインを構築しました。ユーザーがレコードを分析したいとき、システムはまず、データをスクランブル処理し、さらに改ざんされていないことを保証するためのデジタル指紋を付与した状態でストレージからレコードを取得します。その後、ユーザーのコンピュータはローカルでレコードを解読して準備を行い、特殊な準同型暗号を用いて再ロックします。この新しいロックにより、リモートサーバーは実際の数値を見ることなく、必要な数学的演算を行うことが可能になります。サーバーは、研究者が「信頼できないもの」として扱ったものであり、スクランブルされたデータと暗号化されたモデルのみを受け取ります。サーバーは計算を実行し、暗号化された結果をユーザーに送り返し、ユーザーはそれを解読して最終的な予測を確認します。

結果は、このアプローチが機能することを示しました。研究者が暗号化されたシステムの予測をゴールドスタンダードと比較したところ、その差はほとんど無視できるものでした。異なる数値精度でテストされた暗号化モデルは、約90%から91%の精度を達成し、ロックされていないモデルの性能にほぼ匹敵しました。実際、暗号化システムの特定の構成は、異なるグループを識別する指標においてわずかに高いスコアを記録しましたが、研究者はこれは小さな差であり、暗号化自体がモデルを向上させているわけではないと注記しています。重要なポイントは、プライバシー保護が数学的な仕組みを壊さなかったということです。

しかし、このプライバシーにはコストが伴います。標準的な、ロックされていない分析はほぼ瞬時に行われますが、暗号化されたバージョンは大幅に時間がかかりました。研究者がサーバーによる単一のレコードの処理時間を測定したところ、30ミリ秒から31ミリ秒の間であることがわかりました。これは速いと感じるかもしれませんが、ロックされていないデータに対して作業を行う場合に比べると大幅な増加です。コールドストレージキャッシュからデータを取得する時間を含めた別のテストでは、1件のレコードに対するプロセス全体で、nearly 700ミリ秒（約0.7秒）かかりました。研究者は、これらの数値は彼らのセットアップと使用したモデルに固有のものであることを強調しましたが、この技術がいまだに計算負荷が高いものであることを指摘しています。

また、システムは改ざんに対しても堅牢であることが証明されました。研究者は、サーバー上に保存された暗号化データを意図的に1バイト変更してみました。システムがこの修正されたデータを読み取ろうとした際、デジタル指紋が一致せず、システムは正しくファイルを拒絶し、破損した情報が使用されるのを防ぎました。さらに、システムは一人のユーザーが他のユーザーのファイルにアクセスすることを阻止することに成功し、ストレージ層がデータを効果的に隔離していることを示しました。

本研究は、データの保存中と、外部の第三者によって分析されている中の両方において、データを保護する完全なエンドツーエンドのシステムを構築することが可能であると結論付けています。プロトタイプは、計算速度の低下を受け入れるのであれば、セキュリティを得るために精度を犠牲にする必要はないことを実証しました。研究者たちは、自分たちのテストには単純な合成データと基本的なモデルが使用されたことを認め、この研究はすべての問題を解決したと主張するものではないと述べています。彼らは、このシステムが膨大なデータセット、複雑な人工知能モデル、あるいは悪意のあるサーバーがシステムを欺こうとする能動的な攻撃をどのように扱うかをテストしていません。それでもなお、この実験は概念実証（プルーフ・オブ・コンセプト）として機能しています。それは、データのハンドリングにおける2つの重要な段階、すなわち「保存」と「推論」を強力な暗号化によって結びつけることができ、機密情報が保存された瞬間から答えが返される瞬間まで、所有者の管理下に置かれるワークフローを作り出せることを示しているのです。