Stel je een wereld voor waarin de slimste computers in de kamer lijken op gigantische, magische bibliotheken. Deze bibliotheken bevatten de geheimen om gezichten te herkennen, ziekten te diagnosticeren of een stopbord te spotten voor een zelfrijdende auto. Maar hier zit de adder onder het gras: de bibliothecarissen (de bedrijven die deze bibliotheken hebben gebouwd) zijn doodsbang dat iemand hun boeken steelt, terwijl de bezoekers (de gebruikers) doodsbang zijn dat de bibliothecarissen hun privéjournalen lezen. Dit is de kern van een probleem in het vakgebied van Secure Multi-Party Computation. Dit is een tak van de cryptografie die de vraag stelt: "Hoe kunnen twee vreemden samenwerken aan een geheime taak zonder dat een van beiden zijn privé-informatie hoeft te onthullen?"

Om dit op te lossen, gebruiken wetenschappers een speciaal hulpmiddel genaamd Homomorphic Encryption. Denk aan dit als een magische handschoenenkast. Je kunt een stuk papier in de kast leggen, en terwijl het in de kast zit, kun je het vouwen, scheuren of er iets op schrijven. Het papier verandert, maar het verlaat de kast nooit, zodat niemand de oorspronkelijke woorden kan zien. In het verleden probeerden onderzoekers de gehele bibliotheek in deze handschoenenkast te stoppen zodat de gebruiker het werk kon doen. Maar de kast was zo zwaar en traag dat het een eeuwigheid duurde om zelfs een eenvoudige taak te voltooien. Het was also[t] proberen een marathon te lopen terwijl je een pak draagt dat gemaakt is van loden bakstenen.

Dit is waar een nieuw artikel genaamd PrivDNN om de hoek komt kijken. De onderzoekers realiseerden zich dat ze niet de hele bibliotheek in een handschoenenkast hoefden te vergrendelen om deze veilig te houden. Ze ontdekten dat deep learning-modellen (de "hersenen" achter de AI) lijken op een team van werkers waarbij slechts enkelen de "bazen" zijn. Als je alleen de bazen opsluit, stopt het hele team met goed functioneren. Het paper stelt een slimme truc voor: in plaats van het hele model te versleutelen, versleutelen ze alleen een kleine, kritieke subset van de "baas"-neuronen. Ze noemen dit Partial DNN Encryption. Het resultaat is een systeem waarbij het zware werk grotendeels in de open wordt gedaan (snel en gemakkelijk), maar de meest waardevolle geheimen in de magische handschoenenkast zitten. De auteurs laten zien dat deze aanpak het proces bijna 30 keer sneller kan maken dan eerdere methoden, terwijl ze de geheimen van het model veilig houden en de privacy van de gebruiker waarborgen.

Het Probleem: Het "Te Groot om te Delen"-dilemma

Deep learning-modellen zijn ongelooflijk krachtig, maar ook erg duur en waardevol. Grote bedrijven besteden miljoenen dollars en jaren van tijd aan het trainen van deze modellen op enorme hoeveelheden data. Ze willen het model niet weggeven omdat het hun geheime ingrediënt is. Aan de andere kant willen kleine ziekenhuizen of lokale scholen deze modellen gebruiken om gevoelige gegevens te analyseren, zoals patiëntendossiers of leerlingcijfers, maar ze kunnen geen eigen modellen bouwen. Ze kunnen hun privédata ook niet naar het grote bedrijf sturen vanwege privacywetgeving en vertrouwensproblemen.

Traditioneel waren er twee slechte opties:

1. De data sturen: De gebruiker stuurt zijn privédata naar het bedrijf. Het bedrijf voert het model uit en stuurt het antwoord terug. Dit is snel, maar de gebruiker verliest zijn privacy.
2. Het model sturen: Het bedrijf stuurt het model naar de gebruiker. De gebruiker voert het uit op zijn eigen data. Dit beschermt de data van de gebruiker, maar het bedrijf verliest de privacy van zijn model.

Een derde optie bestond met behulp van Fully Homomorphic Encryption (FHE). Dit is de "magische handschoenenkast"-methode waarbij de gebruiker zijn data versleutelt, naar het bedrijf stuurt, en het bedrijf de wiskunde uitvoert op de versleutelde data zonder ooit de echte getallen te zien. Het probleem? Het was vreselijk traag. Bijvoorbeeld, een eerder systeem genaamd CryptoNets deed er 250 seconden over om een kleine batch eenvoudige afbeeldingen te verwerken. Dat is also[t] vier minuten wachten om slechts een kat in een foto te identificeren.

De PrivDNN Oplossing: De "Partiële Vergrendeling"

De auteurs van PrivDNN stelden een simpele vraag: "Moeten we echt elk deel van het model opsluiten?"

Ze ontdekten dat deep neurale netwerken bestaan uit lagen van "neuronen" (denk aan hen als kleine besluitvormers). Niet alle neuronen zijn even belangrijk. Sommige zijn als de hoofdmotor van een auto, terwijl andere slechts de bekerhouders zijn. Als je de bekerhouders verwijdert, rijdt de auto nog steeds. Als je de motor verwijdert, doet hij het niet meer.

PrivDNN introduceert een strategie om alleen de "motor"-neuronen te identificeren en te beschermen. Zo werkt het:

1. De Opzet: De modeleigenaar (het bedrijf) traint een model en gebruikt vervolgens een speciaal algoritme om een kleine groep "kern-neuronen" te selecteren die absoluut essentieel zijn voor het goed functioneren van het model.
2. De Vergrendeling: Ze versleutelen alleen deze kern-neuronen met de zware, trage Homomorphic Encryption. De rest van het model (de "bekerhouders" en de meeste andere neuronen) blijft in plain text.
3. De Overdracht: Het bedrijf stuurt dit "gedeeltelijk versleutelde" model naar de gebruiker. De computer van de gebruiker kan de plain-text delen gemakkelijk uitvoeren. Wanneer de data de versleutelde "kern"-neuronen bereikt, moet de computer van de gebruiker de trage, magische wiskunde doen.
4. De Handdruk: Het versleutelde resultaat van de kern-neuronen wordt teruggestuurd naar het bedrijf om te worden ontcijferd (decrypted), waarna het definitieve antwoord naar de gebruiker wordt gestuurd.

Waarom Dit Alles Verandert

Het paper presenteert drie belangrijke bevindingen die deze aanpak een gamechanger maken:

1. Snelheid en Efficiëntie
Door slechts een klein deel van het model te versleutelen, wordt het systeem ongelooflijk snel. In hun experimenten testten de auteurs dit op vijf verschillende populaire datasets (zoals MNIST voor handschrift en CIFAR-10 voor afbeeldingen). Ze ontdekten dat PrivDNN de tijd die nodig is voor inferentie (het proces van het doen van een voorspelling) met wel 97% verminderde vergeleken met het versleutelen van het hele model. In één specifieke test met een LeNet-5 model duurde de volledige encryptiemethode 5.647 seconden om een batch afbeeldingen te verwerken, terwijl PrivDNN dit in slechts 190 seconden deed. Dat is een versnelling van 29,7 keer.

2. Beveiliging Zonder Opoffering
De auteurs maakten zich zorgen dat het achterlaten van het grootste deel van het model in plain text het makkelijk zou maken voor een hacker om het model te stelen. Ze testten dit door te proberen het model te "herstellen". Ze kwamen tot de conclusie dat als een gebruiker het model probeert te gebruiken zonder de versleutelde kern-neuronen, de nauwkeurigheid drastisch daalt. Bijvoorbeeld, op een model dat getraind is om verkeersborden te herkennen, daalde de nauwkeurigheid voor een ongeautoriseerde gebruiker van meer dan 90% naar minder dan 40% (en zelfs lager met meer versleutelde neuronen). Het model werd praktisch nutteloos voor iedereen die niet de sleutel heeft om de kern te ontgrendelen.

3. Geheugenbesparing
Homomorphic encryption is ook erg hongerig naar geheugen. Het versleutelen van een heel groot model kan honderden gigabytes aan RAM vereisen, wat de meeste standaardcomputers doet craschen. PrivDNN verminderde dit geheugengebruik aanzienlijk. Voor een standaardmodel daalde het benodigde geheugen van 151 GB (wat onmogelijk is voor de meeste pc's) naar slechts 2,5 GB of 5 GB, waardoor het mogelijk werd om beveiligde AI op gewone desktopcomputers te draaien.

Hoe Ze de "Baas"-Neuronen Kozen

Het paper beschrijft ook hoe ze bepaalden welke neuronen ze moesten vergrendelen. Ze testten vier verschillende methoden:

• Random Selection: Het willekeurig kiezen van neuronen. (Dit werkte niet goed).
• Greedy Selection: Een stapsgewijze methode die de beste neuron één voor één kiest. Dit werkte erg goed, maar duurde lang om te berekenen.
• Pruning-based Selection: Het gebruik van bestaande technieken die normaal gesproken nutloze neuronen verwijderen, maar dan in omgekeerde richting om de belangrijke te vinden. Dit was zeer snel.
• Pruning + Greedy: Een hybride aanpak die pruning gebruikte om de lijst in te perken en vervolgens greedy selection om de uiteindelijke winnaars te kiezen.

Ze kwamen tot de conclusie dat de Pruning + Greedy aanpak de beste balans bood. Het was snel genoeg om praktisch te zijn, maar slim genoeg om de juiste neuronen te kiezen om het model veilig en accuraat te houden.

De Kern van het Verhaal

Het PrivDNN-framework suggereert dat we niet hoeven te kiezen tussen privacy en snelheid. Door slim te zijn over wat we versleutelen, kunnen we beide hebben. De auteurs benadrukken dat deze methode niet afhankelijk is van een specif kind type encryptie of modelarchitectuur; het is een algemeen idee dat op veel verschillende deep learning-systemen kan worden toegepast.

Hoewel het paper erkent dat een echt kwaadwillende aanvaller de encryptie zou kunnen proberen te breken of het model op andere manieren zou kunnen stelen, laten de huidige resultaten zien dat voor "eerlijke maar nieuwsgierige" gebruikers (die de regels volgen maar willen gluren), deze gedeeltelijke encryptie een robuust schild is. Het verandert een proces dat ooit te traag en te zwaar was om praktisch te zijn, in iets dat snel, efficiënt en veilig genoeg is voor echt wereldgebruik. De code voor dit nieuwe systeem is zelfs beschikbaar voor iedereen om uit te proberen, wat bewijst dat de auteurs vertrouwen hebben in hun resultaten.