Privacy-Preserving Machine Learning from Storage to Inference: Integrating Authenticated Encryption with Fully Homomorphic Encryption

Stel je een wereld voor waarin je meest gevoelige persoonlijke gegevens—je inkomen, je medische geschiedenis, je familiedetails—geanalyseerd kunnen worden door krachtige computers in de cloud zonder dat die computers de werkelijke informatie ooit zien. Dit is de belofte van een vakgebied genaamd privacy-preserving machine learning (privacy-bewust machinaal leren). Jarenlang bestond er een grote hindernis: om gegevens te analyseren, moeten ze meestal worden ontgrendeld, waardoor ze in platte tekst veranderen die iedereen met toegang tot de server potentieel kan lezen. Hoewel we uitstekende manieren hebben om gegevens te vergrendelen terwijl ze op een harde schijf staan, en goede manieren om ze te beschermen terwijl ze over het internet reizen, worden ze op het moment dat ze worden verwerkt voor een berekening vaak kwetsbaar. Een nieuwere technologie, bekend als volledig homomorfe encryptie, probeert dit op te lossen door computers in staat te stellen wiskunde uit te voeren op vergrendelde gegevens zonder ze ooit te ontgrendelen. Het bouwen van een systeem dat gegevens beschermt vanaf het moment dat ze worden opgeslagen, tot aan het moment dat ze worden geanalyseerd en geretourneerd, is echter een complexe uitdaging gebleven.

Een team van onderzoekers heeft nu een werkend prototype gebouwd en getest dat deze twee werelden verbindt. Ze hebben een systeem gecreëerd dat gegevens vergrendelt met een sterke digitale zegel terwijl ze in opslag staan, en ze vervolgens op een andere, complexere manier vergrendelt terwijl ze worden geanalyseerd door een externe server. Het doel was om te zien of deze dubbellaagse bescherming kon werken in een echte workflow zonder de nauwkeurigheid van de resultaten te ruïneren. De onderzoekers richtten zich op een specifiek type analyse genaamd logistische regressie, wat vaak wordt gebruikt om uitkomsten te voorspellen op basis van een reeks getallen, zoals het bepalen of een huishouden kwetsbaar is op basis van factoren zoals inkomen en opleiding. Ze wilden weten of ze deze gegevens naar een server konden sturen die zij niet vertrouwden, de server de berekeningen op de versleutelde gegevens konden laten uitvoeren, en een correct antwoord konden terugkrijgen, terwijl ze ervoor zorgen dat de server nooit de ruwe cijfers of de sleutel om ze te ontgrendelen zag.

Om dit te testen, genereerde het team tweeduizend nep huishoudelijke records. Dit waren geen echte mensen, maar synthetische gegevens die ontworpen zijn om de structuur van real-world informatie na te bootsen, inclusief tien verschillende numerieke kenmerken zoals huishoudgrootte en afstand tot water. Ze gebruikten deze gegevens om een computermodel te trainen om een "kwetsbaarheid"-label te voorspellen. Eerst stelden ze een baseline vast door de analyse uit te voeren op normale, ontsleutelde gegevens. Dit standaardmodel presteerde erg goed en identificeerde de status van de records ongeveer negentig procent van de tijd correct. Deze hoge score diende als de gouden standaard waartegen ze hun versleutelde systeem zouden meten.

Vervolgens bouwden ze de beveiligde pijplijn. Wanneer een gebruiker een record wilde analyseren, haalde het systeem de gegevens eerst op uit de opslag, waar ze werden beschermd door een methode die niet alleen de gegevens versleutelde, maar ook een digitale vingerafdruk toevoegde om te garanderen dat niemand ermee had geknoeid. De computer van de gebruiker ontgrendelde het record vervolgens lokaal, bereidde het voor, en vergrendelde het opnieuw met de speciale homomorfe encryptie. Dit nieuwe slot zorgde ervoor dat de externe server de noodzakelijke wiskunde kon uitvoeren zonder de werkelijke cijfers ooit te zien. De server, die de onderzoekers als onbetrouwbaar beschouwden, ontving alleen de versleutelde gegevens en het versleutelde model. De server voerde de berekening uit en stuurde het versleutelde resultaat terug naar de gebruiker, die het vervolgens ontgrendelde om de uiteindelijke voorspelling te zien.

De resultaten toonden aan dat deze aanpak werkt. Wanneer de onderzoekers de voorspellingen gemaakt door het versleutelde systeem vergeleken met de gouden standaard, was het verschil nauwelijks merkbaar. De versleutelde modellen, getest met verschillende niveaus van numerieke precisie, behaalden nauwkeurigheidsscores variërend van ongeveer negentig tot eenennegentig procent, waarmee ze bijna overeenkwamen met de prestaties van het ontsleutelde model. Sterker nog, één specifieke configuratie van het versleutelde systeem scoorde zelfs iets hoger op een maatstaf voor hoe goed het verschillende groepen van elkaar onderscheidde, hoewel de onderzoekers opmerkten dat dit een klein verschil was en geen teken dat encryptie het model zelf verbetert. De belangrijkste conclusie was dat de privacybescherming de wiskunde niet kapot maakte.

Deze privacy brengt echter een prijs met zich mee in snelheid. Terwijl de standaard, onontgrendelde analyse bijna onmiddellijk gebeurt, duurde de versleutelde versie aanzienlijk langer. De onderzoekers maten de tijd die de server nodig had om een enkel record te verwerken en vonden dat dit tussen de dertig en eenendertig milliseconden duurde. Hoewel dit misschien snel lijkt, is het een aanzienlijke toename vergeleken met het uitvoeren van het werk op onontgrendelde gegevens. In een aparte test die de tijd om de gegevens op te halen uit een cold storage cache bevatte, duurde het gehele proces voor één record bijna zevenhonderd milliseconden. De onderzoekers benadrukten dat deze cijfers specifiek zijn voor hun opstelling en het type model dat ze gebruikten, maar ze benadrukken dat de technologie nog steeds computationeel zwaar is.

Het systeem bleek ook robuust tegen manipulatie. De onderzoekers probeerden doelbewust een enkele byte van de versleutelde gegevens op de server te wijzigen. Wanneer het systeem probeerde deze gewijzigde gegevens te lezen, faalde de digitale vingerafdruk en wees het systeem het bestand correct af, waardoor werd voorkomen dat corrupte informatie werd gebruikt. Bovendien voorkwam het systeem succesvol dat een gebruiker toegang kreeg tot de bestanden van een andere gebruiker, wat aantoonde dat de opslaglaag de gegevens effectief isoleerde.

De studie concludeert dat het mogelijk is om een volledig end-to-end systeem te bouwen dat gegevens beschermt, zowel terwijl ze worden opgeslagen als terwijl ze worden geanalyseerd door een externe partij. Het prototype bewees dat u niet de nauwkeurigheid hoeft op te offeren om dit niveau van beveiliging te verkrijgen, mits u bereid bent de langzamere verwerkingstijden te accepteren. Het werk beweert niet alle problemen van beveiligde computing opgelost te hebben; de onderzoekers merkten op dat hun test gebruikmaakte van eenvoudige, synthetische gegevens en een basismodel. Ze hebben niet getest hoe het systeem zou omgaan met enorme datasets, complexe kunstmatige intelligentiemodellen of actieve aanvallen waarbij een kwaadwillende server probeert het systeem te misleiden. Toch dient het experiment als een proof of concept. Het laat zien dat de twee kritieke fasen van gegevensverwerking—opslag en inferentie—aan elkaar gekoppeld kunnen worden met sterke encryptie, waardoor een workflow ontstaat waarin gevoelige informatie onder de controle van de eigenaar blijft vanaf het moment dat de gegevens worden opgeslagen tot het moment dat het antwoord wordt geretourneerd.