In de moderne digitale wereld reist gevoelige informatie vaak naar servers die wij niet controleren. Een arts kan een röntgenfoto van een patiënt naar een externe clouddienst sturen om een diagnose te stellen, of een onderzoeker kan privé medische gegevens uploaden naar een gedeelde database voor analyse. Om deze gegevens te beschermen, is een veelgebruikte strategie om ze te versleutelen voordat ze worden verzonden. Dit proces, bekend als instance encoding, transformeert het originele, gevoelige bestand in een nieuwe, gecomprimeerde versie die een embedding wordt genoemd. De hoop is dat deze nieuwe versie genoeg informatie bevat zodat de externe server zijn werk kan doen, maar niet genoeg om de procedure te kunnen omkeren en het originele, privé bestand te herstellen. Jarenlang vertrouwde deze aanpak op trial-and-error. Praktijkgebruikers bouwden deze versleutelaars en testten ze tegen bekende hackpogingen, in de hoop dat ze veilig waren als ze de tests overleefden. Echter, zonder een solide theoretische garantie, zou een systeem dat vandaag veilig lijkt, morgen gebroken kunnen worden. De fundamentele vraag bleef onbeantwoord: hoe moeilijk is het om de gegevens te ontcijferen, en kunnen we dat bewijzen voordat we de geheimen van het systeem vertrouwen?

Een team onderzoekers van The Pennsylvania State University heeft nu een nieuwe manier ontwikkeld om die vraag te beantwoorden. Zij hebben een reeks wiskundige limieten ontwikkeld die voorspellen hoe nauwkeurig een aanvaller de originele gegevens zou kunnen reconstrueren vanuit de versleutelde versie. In tegenstelling tot eerdere pogingen, die vaak faalden omdat ze geen rekening hielden met de specifieke werking van het versleutelingsinstrument of vereisten dat het instrument willekeurige ruis toevoegde om effectief te zijn, werken deze nieuwe limieten zelfs wanneer het instrument perfect deterministisch is en geen ruis toevoegt. De onderzoekers ontdekten dat de beveiliging van het systeem sterk afhangt van de geometrie van de datatransformatie. Specifiek: als de encoder bepaalde richtingen van informatie weglaat terwijl andere behoudt, wordt de data veel moeilijker te reconstrueren. Hun nieuwe limieten zijn strakker en nauwkeuriger dan oudere methoden; ze identificeren correct wanneer een systeem echt veilig is en wanneer het kwetsbaar is, zelfs in gevallen waarin eerdere theorieën suggereerden dat het veilig was.

De onderzoekers richtten zich op een specifiek type privacybescherming waarbij een gebruiker een gewijzigde versie van zijn gegevens naar een onbetrouwbare server stuurt. Het doel is om de data bruikbaar te houden voor taken zoals het trainen van kunstmatige intelligentiemodellen, terwijl het onmogelijk wordt om de originele input terug te ontwerpen. Lange tijd was de enige manier om te beoordelen of een systeem werkte, het proberen te breken ervan. Als een aanvaller de afbeelding of tekst niet kon herstellen, werd het systeem als veilig beschouwd. Maar dit is een fragiele verdediging. Alleen omdat een aanvaller nog geen manier heeft gevonden om een slot te breken, betekent dit niet dat het slot onbreekbaar is. De onderzoekers wilden voorbij deze gokwerk-methode gaan. Ze zochten naar een theoretische garantie, een manier om de minimale hoeveelheid fout die een aanvaller onvermijdelijk zou maken bij het proberen te reconstrueren van de data te berekenen. Deze fout fungeert als een veiligheidsbuffer; hoe hoger de fout, hoe privater de data blijft.

Vorig werk op dit gebied had een basislimiet vastgesteld, maar dat had aanzienlijke gebreken. Die oudere limiet werkte alleen als de encoder willekeurige ruis aan de data toevoegde, een techniek die veel praktische systemen niet gebruiken omdat het de kwaliteit van de data kan verslechteren. Bovendien was die limiet vaak te ruim, wat betekende dat het voorspelde dat een systeem veilig was terwijl het in werkelijkheid vrij eenvoudig te breken was. Het mat ook alleen de fout op een zeer specifieke manier, door te kijken naar het gemiddelde verschil tussen pixels of getallen, wat niet altijd vangt of de gereconstrueerde afbeelding op het origineel lijkt of gevoelige details bevat. Het nieuwe onderzoek pakt al deze problemen aan. Het team heeft een nieuwe familie van limieten afgeleid die rekening houden met de interne structuur van de encoder. Ze realiseerden zich dat een encoder werkt als een filter dat data projecteert in een nieuwe ruimte. Sommige richtingen in deze ruimte behouden informatie, terwijl andere het weglaten. De nieuwe limieten meten exact hoeveel informatie verloren gaat in deze weggelaten richtingen.

De onderzoekers ontdekten dat de beveiliging van het systeem wordt bepaald door het "spectrum" van de encoder, dat beschrijft hoe sterk het informatie langs verschillende richtingen behoudt. Als een encoder veel informatie wegwerpt, vooral informatie die moeilijk te raden is vanuit algemene kennis, wordt de data zeer moeilijk te reconstrueren. Hun nieuwe limieten zijn veel strakker dan de oude, wat betekent dat ze een nauwkeurigere voorspelling geven van het succes van de aanvaller. In veel gevallen suggereerden de oude limieten dat een aanvaller de data gemakkelijk kon herstellen, terwijl de nieuwe limieten lieten zien dat de reconstructie erg slecht zou zijn, of vice versa. Cruciaal is dat deze nieuwe limieten werken, zelfs wanneer de encoder absoluut geen willekeurige ruis toevoegt. Dit is een belangrijke praktische verbetering, aangezien veel real-world systemen deterministische encoders gebruiken die niet op willekeur vertrouwen voor beveiliging.

Om hun theorie te testen, pasten de onderzoekers hun nieuwe limieten toe op een verscheidenheid aan scenario's met behulp van twee veelvoorkomende beelddatasets: MNIST, die handgeschreven cijfers bevat, en CIFAR-10, die kleine kleurenafbeeldingen bevat van objecten zoals katten, honden en vliegtuigen. Ze testten verschillende soorten encoders, waaronder eenvoudige lineaire transformaties en complexe diepe neurale netwerken, en stelden ze bloot aan diverse aanvalsmethoden. In elk geval bleven de nieuwe limieten standhouden. De werkelijke fout gemaakt door de aanvallers viel nooit onder de voorspelde limiet. De onderzoekers ontdekten ook dat hun limieten aanzienlijk strakker waren dan de vorige standaard, vooral wanneer de encoder zo is ontworpen dat hij specifieke soorten informatie weglaat. Bijvoorbeeld, wanneer de encoder werd ingesteld om bepaalde richtingen in de dataruimte te negeren, voorspelden de nieuwe limieten correct dat reconstructie extreem moeilijk zou zijn, terwijl de oude limieten er niet in slaagden deze moeilijkheid te vatten.

De studie introduceerde ook een nieuwe manier om de moeilijkheid van reconstructie te meten die nuttiger is dan alleen kijken naar de ruwe foutcijfers. Omdat de absolute grootte van de fout moeilijk te interpreteren kan zijn, stelden de onderzoekers een ratio voor die de werkelijke reconstructiefout vergelijkt met de maximale mogelijke fout als de encoder niets zou onthullen. Deze ratio, die zij de "ratio to ceiling" noemen, dient als een praktische indicator van privacy. Een lage ratio betekent dat de aanvaller bijna even goed presteert als wanneer hij helemaal geen data zou hebben, wat duidt op sterke privacy. Een hoge ratio betekent dat de aanvaller veel informatie herstelt. Wanneer ze de gereconstrueerde afbeeldingen visualiseerden, vonden ze een duidelijke correlatie: afbeeldingen met een lage ratio zagen eruit als wazige, onherkenbare ruis, terwijl die met een hoge ratio duidelijke details van het originele object vertoonden.

Een van de meest verrassende bevindingen betrof het verschil tussen de twee datasets. De onderzoekers ontdekten dat handgeschreven cijfers uit de MNIST-dataset veel moeilijker te beschermen waren dan de complexe afbeeldingen in CIFAR-10. Zelfs wanneer de theoretische limieten suggereerden dat de data veilig zou moeten zijn, konden de aanvallers de cijfers vaak met verrassende nauwkeurigheid reconstrueren. De reden ligt in de aard van de data zelf. Handgeschreven cijfers zijn zeer eenvoudig en liggen op een laagdimensionale structuur; het kennen van het label van een cijfer (bijvoorbeeld dat het een "7" is) levert zoveel informatie op dat een aanvaller de vorm van het cijfer kan raden met zeer weinig data. In contrast hiermee zijn de afbeeldingen in CIFAR-10 veel gevarieerder. Weten dat een afbeelding een "kat" bevat, helpt een aanvaller niet om de specifieke kenmerken van die kat te reconstrueren, omdat individuele katten er heel verschillend uitzien. Dit suggereert dat het vereiste beschermingsniveau sterk afhangt van het type data dat wordt gedeeld.

De onderzoekers verbeterden ook de praktische instrumenten die nodig zijn om deze limieten te berekenen. Hiervoor moesten ze de statistische patronen van de data begrijpen, een concept dat bekend staat als de data prior. In plaats van een nieuw model vanaf nul te trainen om deze patronen te leren, toonden ze aan dat bestaande, vooraf getrainde kunstmatige intelligentiemodellen met hoge nauwkeurigheid gebruikt kunnen worden om de data prior te schatten. Dit maakt de nieuwe limieten veel gemakkelijker toe te passen in real-world situaties. Ze testten verschillende methoden voor het schatten van de noodzakelijke componenten van hun formule en ontdekten dat het gebruik van een kleine steekproef van data vaak voldoende was om een betrouwbaar resultaat te krijgen, waardoor de berekening efficiënt genoeg is voor praktisch gebruik.

Uiteindelijk biedt dit werk een broodnodig theoretisch fundament voor een populaire privacytechniek. Het beweegt het vakgebied weg van het vertrouwen op empirische tests die bedrogen kunnen worden, en naar een rigoureus begrip van wat een encoder veilig maakt. De nieuwe limieten tonen aan dat beveiliging niet alleen gaat over het toevoegen van ruis of het complex maken van het systeem; het gaat over hoe het systeem omgaat met de geometrie van de informatie. Door de juiste soorten informatie weg te laten, kan een encoder reconstructie onmogelijk maken, zelfs zonder enige willekeur. Hoewel de studie niet beweert het probleem van privacy voor altijd op te lossen, biedt het een krachtig nieuw instrument voor ontwerpers om hun systemen te evalueren. Het stelt hen in staat om, vóór implementatie, te zien of hun encoderingmethode sterk genoeg is om gevoelige gegevens te beschermen, of dat het slechts een illusie van veiligheid is. De resultaten suggereren dat voor veel real-world toepassingen, vooral die met complexe data zoals natuurlijke afbeeldingen, deze nieuwe grenzen een betrouwbare maatstaf voor privacy kunnen bieden, waardoor wordt gewaarborgd dat de gedeelde data naar onbetrouwbare servers werkelijk privé blijft.