💻 computer science

Homomorphic Encryptions for Privacy Preserving Vision

Dit artikel presenteert een privacy-behoudend computer vision-framework met behulp van Fully Homomorphic Encryption (specifiek Microsoft SEAL en TenSEAL) om nauwkeurige CNN-inferentie op versleutelde gegevens mogelijk te maken, waarbij een minimaal nauwkeurigheidsverlies wordt aangetoond over diverse datasets van MNIST tot CIFAR-10 terwijl complexe operaties zoals multi-channel verwerking en meerdere convolutionele lagen worden ondersteund.

Oorspronkelijke auteurs: Preey Shah, Rohan Virani, Sanjari Srivastava

Gepubliceerd 2026-06-25

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Preey Shah, Rohan Virani, Sanjari Srivastava

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een zeer waardevol, geheim recept voor een taart hebt (jouw privédata, zoals een medische scan of een financieel dossier). Je wilt aan een beroemde, hoogtechnologische bakkerij (een cloud-gebaseerde AI-service) vragen of de taart wel goed zal worden, maar je bent wettelijk verboden om het eigenlijke recept te laten zien. Je kunt zelfs geen kopie van het recept naar hen sturen om later naar te kijken.

Deze paper gaat over een slimme truc waarmee je het recept in een afgesloten, onbreekbare doos naar de bakkerij kunt sturen. De bakkers kunnen de taart mengen, bakken en proeven binnenin de doos zonder de doos ooit te openen of de ingrediënten te zien. Wanneer ze de doos terugsturen, bevat deze het antwoord ("Het zal heerlijk zijn!"), terwijl de doos de hele tijd op slot blijft.

Hier is hoe de auteurs dit hebben bereikt, eenvoudig uitgelegd:

Het Probleem: Het "Glazen Doos" Dilemma

Normaal gesproken moet je bij het gebruik van krachtige AI-tools in de cloud je data in het volle zicht geven. Maar voor gevoelige zaken zoals medische dossiers zeggen wetten dat je dat niet mag doen. Dit weerhoudt mensen ervan om de beste beschikbare AI-tools te gebruiken.

De Oplossing: Homomorfe Encryptie

De auteurs gebruikten een technologie genaamd Homomorfe Encryptie. Denk aan dit als een magische kluis.

Normale Encryptie: Je vergrendelt een doos. De bakker kan de taart binnenin niet aanraken.
Homomorfe Encryptie: Je vergrendelt een doos, maar de bakker heeft een speciale set handschoenen waarmee hij de taart kan kneden, mengen en bakken door de doos heen. Ze kunnen wiskunde uitvoeren op de taart zonder ooit te zien wat het is.

De Uitdaging: Het "Vierkante" Probleem

Standaard AI (specifiek Convolutionele Neurale Netwerken, of CNN's) gebruikt veel "niet-lineaire" wiskunde. Stel je een stap in het recept voor die zegt: "Als de temperatuur boven de 100 is, zet dan de hitte uit." Dit is een beslissing gebaseerd op een maximumwaarde of een curve.

Het Probleem: De magische kluis begrijpt alleen eenvoudige optelling en vermenigvuldiging. Hij begrijpt geen "maximums" of complexe curven.
De Oplossing: De auteurs moesten het AI-recept herschrijven. In plaats van te vragen om een "maximum", gebruikten ze een simpele wiskundige truc (zoals het kwadrateren van een getal) die de curve nabootst maar alleen vermenigvuldiging gebruikt. Ze vervingen ook "het kiezen van het grootste getal" door "het middelen van de getallen", wat de kluis wel kan verwerken.

Wat ze deden (De Experimenten)

Het team bouwde drie verschillende "kluis-klare" AI-modellen om dit idee te testen:

Het Simpele Model: Een basis-AI die naar zwart-wit afbeeldingen kijkt (zoals handgeschreven cijfers).
Het Gelaagde Model: Een iets complexere AI die naar afbeeldingen kijkt via meerdere lagen filters en "gemiddelden" gebruikt om de grootte van de afbeelding te verkleinen.
Het Kleurmodel: Een AI die in staat is om naar gekleurde afbeeldingen te kijken (zoals de CIFAR-10 dataset), wat veel moeilijker is omdat het drie verschillende kleurkanalen (Rood, Groen, Blauw) tegelijkertijd moet verwerken.

Ze testten dit op beroemde beeld-datasets:

MNIST: Handgeschreven cijfers (de "Hello World" van AI).
Fashion-MNIST: Foto's van kleding.
Kuzushiji MNIST: Oude Japanse karakters.
CIFAR-10: Kleine, kleurrijke foto's van alledaagse objecten (katten, auto's, vogels).

De Resultaten: Werkt het?

Nauwkeurigheid: Verrassend genoeg, ja!

Voor de simpelere modellen voorspelde de AI correct op de vergrendelde data net zo goed als, of soms zelfs beter dan, de onvergrendelde versie. De auteurs suggereren dat de "ruis" binnen de kluis de AI er per ongeluk bij heeft geholpen om niet te veel door te denken (overfitting).
Voor de complexere modellen daalde de nauwkeurigheid slechts licht (ongeveer 1%), wat een zeer kleine prijs is voor totale privacy.

Snelheid: Dit is het addertje onder het gras.

Rekenen binnen een magische kluis is langzaam. De auteurs ontdekten dat het verwerken van versleutelde afbeeldingen aanzienlijk langer duurde dan normale afbeeldingen.
Voor de complexe kleurenfoto's duurde het ongeveer 7,5 seconden per afbeelding om een antwoord te krijgen.
Ze merkten op dat hun software nog geen krachtige grafische kaarten (GPU's) gebruikte, wat de reden is dat het zo traag was. Als ze die hadden toegevoegd, zou het veel sneller zijn.

De Afweging: Beveiliging vs. Snelheid

De auteurs speelden met de "instellingen" van de kluis (genaamd contextparameters).

Sterkere Slotjes: Als je de kluis moeilijker te kraken maakt (hogere beveiliging), duurt de wiskunde langer.
Precisie: Als je wilt dat het antwoord super precies is, heb je meer "bits" aan data nodig, wat ook de snelheid verlaagt.
Ze vonden een "sweet spot" waar de kluis veilig genoeg was en de nauwkeurigheid hoog bleef, ook al was het een beetje traag.

De Kernboodschap

De paper bewijst dat je complexe beeldherkenningstaken kunt uitvoeren op geheime, versleutelde data zonder deze eerst te ontsleutelen. Je hoeft niet te kiezen tussen privacy en het gebruik van krachtige AI.

De huidige technologie is echter als een trage, handmatige auto vergeleken met een snelle racewagen. Het werkt perfect voor privacy, maar is nog niet snel genoeg voor real-time toepassingen. De auteurs hopen dat met betere hardware (zoals GPU's) en snellere encryptiemethoden, deze "magische kluis" in de toekomst overal snel genoeg zal zijn voor gebruik.

Technische Samenvatting: Homomorfe Encryptie voor Privacy-bewuste Visie

Probleemstelling
Het artikel behandelt het conflict tussen de groeiende vraag naar cloud-gebaseerde Machine Learning-as-a-Service (MLaaS) en juridische vereisten die organisaties verhinderen om gevoelige gegevens (bijv. medische of financiële dossiers) in klare tekst te delen. Hoewel deep learning steeds vaker wordt toegepast in gevoelige domeinen zoals de gezondheidszorg (tumordetectie, medische beeldvorming), vereisen huidige cloudoplossingen decryptie van gegevens, wat privacyrisico's met zich meebrengt. De auteurs streven ernaar om Computer Vision-inferentietaken—specifiek Convolutional Neural Networks (CNN's)—direct op versleutelde gegevens te laten opereren zonder decryptie, waardoor de privacy van gegevens behouden blijft terwijl een concurrerende nauwkeurigheid en inferentiesnelheid worden gehandhaafd.

Methodologie
Het project maakt gebruik van Fully Homomorphic Encryption (FHE), specifiek het Cheon-Kim-Kim-Song (CKKS) schema, dat benaderende rekenkunde op versleutelde gegevens ondersteunt. De implementatie steunt op Microsoft SEAL en de Python-wrapper TenSEAL.

Om standaard CNN's aan te passen aan homomorfe encryptie, hebben de auteurs verschillende cruciale modificaties doorgevoerd om de beperkingen van HE (dat alleen optellende en vermenigvuldigende operaties ondersteunt over commutatieve ringen) te beheersen:

Gegevensrepresentatie: Reële getallen worden vervangen door fixed-precision floating-point getallen die zijn gecodeerd in gehele getallen.
Niet-lineaire Approximatie: Standaard niet-polynomiale activatiefuncties zoals ReLU en Sigmoid worden vervangen door laag-graads polynomen (specifiek $z^2$ ) om niet-lineariteit te introduceren.
Pooling-lagen: Max-pooling wordt vervangen door geschaalde gemiddelde pooling (average pooling), wat kan worden uitgedrukt als een convolutie met een statische kernel.
Implementatie van Convolutie: Convolutie wordt getransformeerd naar matrixvermenigvuldiging met behulp van de "image-to-columns"-methode. Omdat het herrangschikken van ciphertext-elementen moeilijk is, wordt deze voorverwerking uitgevoerd op de plaintext vóór encryptie.
Afhandeling van Multi-lagen: Om gestapelde convolutionele lagen en multi-channel inputs (gekleurde afbeeldingen) te ondersteunen, decrypt deert het systeem de gegevens en versleutelt het deze opnieuw tussen de lagen. Dit is nodig omdat TenSEAL geen native documentatie heeft voor het afhandelen van 2-D matrixherrangschikkingen op versleutelde 1-D vectoren. De auteurs merken op dat dit de privacy niet in gevaar brengt, aangezien alleen kernelgroottes en strides (en geen modelparameters) nodig zijn voor de herrangschikking.

Experimentele Opstelling
De auteurs evalueerden drie verschillende CNN-architecturen over vier datasets: MNIST, Kuzushiji MNIST, Fashion-MNIST en CIFAR-10.

Architectuur 1: Een eenvoudige CNN met één convolutionele laag en twee volledig verbonden (FC) lagen (single-channel input).
Architectuur 2: Een dieper model met twee convolutionele lagen, average pooling en twee FC-lagen (single-channel input).
Architectuur 3: Een model dat multi-channel (RGB) inputs ondersteunt, waarbij de output van de kanalen afzonderlijk wordt berekend en gecombineerd via ciphertext-optelling.

Modellen werden eerst getraind op ongeëncrypteerde data. De resulterende gewichten werden vervolgens gebruikt om de "versleutelde" varianten voor inferentie te initialiseren. De studie richtte zich op een testset van 5.000 monsters per dataset om de aanzienlijke computationele overhead van FHE te beheersen.

Belangrijkste Resultaten
De experimenten toonden aan dat classificatie op versleutelde gegevens haalbaar is met minimale nauwkeurigheidsverlies:

Nauwkeurigheid: Voor Architectuur 1 kwam de versleutelde inferentie vaak overeen met of overtrof zelfs de ongeëncrypteerde baseline-nauwkeurigheid (bijv. 98,90% versus 97,14% op MNIST). De auteurs schrijven potentiële verbeteringen toe aan de natuurlijke ruis die wordt geïntroduceerd door de benaderende rekenkunde van CKKS, wat overfitting kan verminderen. Voor Architectuur 2 daalde de nauwkeurigheid met ongeveer 1% op complexe datasets (KMNIST, Fashion-MNIST), waarschijnlijk door gecompenseerde fouten uit meerdere decrypt/re-encrypt cycli.
Complexiteit: Het systeem slaagde erin de ondersteuning uit te breiden naar multi-channel inputs (CIFAR-10), waarbij een nauwkeurigheid van 54,1% op versleutelde data werd bereikt vergeleken met 56,12% op ongeëncrypteerde data.
Prestatie-afwegingen: De inferentietijd is aanzienlijk hoger dan bij ongeëncrypteerde inferentie (orders van grootte langzamer). De studie analyseerde de afweging tussen contextparameters (polynoom modulus graad en coëfficiënt modulus) en prestaties:
- Het verhogen van de bit scale (precisie) verhoogde de inferentietijd niet significant, maar was noodzakelijk om de nauwkeurigheid te behouden.
- Het verhogen van de polynoom bit modulus (beveiliging) verhoogde de inferentietijd lineair (bijv. het verdubbelen van de modulus van 8192 naar 16384 verdubbelde de inferentietijd) terwijl de nauwkeurigheid vergelijkbaar bleef.

Betekenis en Bijdragen
Het artikel claimt bescheiden maar significante bijdragen aan het veld van privacy-bewuste visie:

Demonstratie van Haalbaarheid: Het bewijst dat CNN's inferentie kunnen uitvoeren op versleutelde afbeeldingen met een nauwkeurigheid die vergelijkbaar is met ongeëncrypteerde baselines over diverse datasets, inclusief complexe zoals CIFAR-10.
Bibliotheek-extensies: De auteurs hebben ondersteuning toegevoegd voor complexe operaties bovenop TenSEAL, waaronder gestapelde convolutionele lagen, average pooling en multi-channel (gekleurde) beeldverwerking.
Parameteranalyse: Het werk biedt een empirische analyse van de tijd-nauwkeurigheid-beveiligingsafwegingen die inherent zijn aan CKKS-encryptie, wat handvatten biedt voor het selecteren van contextparameters.

De auteurs concluderen dat hoewel de huidige prestaties worden beperkt door het gebrek aan GPU-ondersteuning in FHE-bibliotheken en de computationele kosten van encryptie, de mogelijkheid om Computer Vision-taken direct op ciphertexts uit te voeren een levensvatbare oplossing biedt voor privacygevoelige toepassingen. Zij suggereren dat toekomstige verbeteringen in hardwareversnelling en snellere HE-schema's de praktische bruikbaarheid van deze aanpak verder kunnen vergroten.