Resumo Técnico: SilentWood – Inferência Privada Eficiente sobre Florestas de Decisão de Boosting de Gradiente

Declaração do Problema

Florestas de Decisão de Boosting de Gradiente (ex: XGBoost, AdaBoost) oferecem precisão superior e eficiência de treinamento para grandes conjuntos de dados em comparação com árvores de decisão únicas, mantendo a interpretabilidade do modelo. No entanto, a implantação desses modelos em um contexto de "Machine Learning as a Service" (MLaaS) levanta preocupações significativas de privacidade: usuários relutam em revelar dados de entrada sensíveis, e provedores de serviços desejam proteger seus parâmetros proprietários de modelos.

Embora protocolos de inferência privada existam para árvores de decisão únicas usando Criptografia Totalmente Homomórfica (FHE) ou Computação de Duas Partes (2PC), estender isso ingenuamente para florestas de decisão é impraticável. O artigo identifica três desafios principais:

1. Sobrecarga Computacional (C1): A Avaliação de Árvore de Decisão Privada (PDTE) requer comparações homomórficas em cada nó. Em uma floresta com centenas de árvores, o número de pares únicos de [característica, limiar] exige excessivas rotações homomórficas e clonagem de criptogramas para alinhar os dados para operações SIMD (Single Instruction Multiple Data).
2. Incompatibilidade de Agregação de Pontuação (C2): Agregar resultados de múltiplas árvores requer a soma dos valores das folhas dos caminhos "verdadeiros". Os métodos existentes de PDTE baseados em FHE enfrentam um dilema: o SumPath (adição eficiente) produz saídas (0 para verdadeiro, valor não nulo aleatório para falso) que não podem ser convertidas aritmeticamente para pontuações de folha sem lógica complexa; o MultiplyPath (multiplicação) permite a pontuação direta, mas incorre em profundidade e custo de multiplicação proibitivos.
3. Custo de Comunicação (C3): Protocolos padrão de PDTE frequentemente exigem codificação repetitiva de entradas de características (ex: repetir entradas de características para cada comparação) para permitir operações SIMD, levando a tamanhos de criptograma massivos (ex: >85 MB para características de 32 bits) e gargalos de rede.

Metodologia: SilentWood

O SilentWood é um protocolo de inferência privada projetado especificamente para florestas de decisão de boosting de gradiente, aproveitando FHE (especificamente o esquema BFV) e introduzindo três técnicas de otimização inovadoras para enfrentar os desafios acima.

1. Agrupamento de Computação (Computation Clustering)

Para reduzir a sobrecarga de rotações homomórficas e comparações, o SilentWood agrupa computações redundantes através da floresta:

• Agrupamento de Nós (Node Clustering): Nós em diferentes árvores que compartilham o mesmo nome de característica e possuem valores de limiar similares são agrupados. Em vez de computar comparações para cada nó individualmente, o protocolo computa uma média ponderada dos limiares (ponderada pela importância da árvore e do nó) e atualiza o modelo. Isso reduz o número de comparações únicas. O processo inclui uma etapa de "reotimização do valor da folha" para ajustar as pontuações das folhas com base nos novos limiares, garantindo que a precisão do modelo seja preservada. Uma verificação de validação aborta qualquer fusão que degrade a precisão.
• Agrupamento de Caminhos (Path Clustering): Caminhos com conjuntos idênticos de condições de nós não ordenados (ex: A > 5 E B > 10 vs. B > 10 E A > 5) são identificados. Como o resultado é insensível à ordem, o protocolo computa a avaliação do caminho (SumPath) apenas uma vez para o conjunto único de condições, reutilizando o resultado para todos os caminhos correspondentes.

2. Conversão de Código Cego (Blind Code Conversion - BCC)

Para resolver o dilema da agregação de pontuação (C2), o SilentWood introduz um protocolo leve de duas partes que faz a ponte entre a avaliação SumPath eficiente e a agregação de pontuação aritmética:

• Processo: O servidor embaralha e preenche homomorficamente os criptogramas SumPath (que contêm 0s para caminhos verdadeiros e valores não nulos aleatórios para falsos) para criar uma distribuição uniformemente aleatória. Este criptograma é enviado ao cliente.
• Papel do Cliente: O cliente descriptografa os dados, converte 0s em 1s e valores não nulos em 0s (invertendo cegamente os valores), re-encripta o resultado e o envia de volta.
• Papel do Servidor: O servidor recebe o criptograma convertido (agora contendo 1s para caminhos verdadeiros e 0s para falsos) e realiza uma única multiplicação homomórfica com as pontuações de folha em texto claro. Isso efetivamente seleciona os valores corretos das folhas sem exigir cadeias de multiplicação profundas.
• Segurança: O embaralhamento garante que o cliente não aprenda nada sobre os resultados específicos dos caminhos, e o servidor não aprende nada sobre os valores intermediários durante a conversão do cliente.

3. Compressão de Criptograma (Ciphertext Compression)

Para abordar a sobrecarga de comunicação (C3), o SilentWood otimiza a consulta inicial do cliente:

• Mecanismo: Em vez de codificar repetidamente as entradas de características para cada slot de comparação (como exigido pelo alinhamento SIMD padrão), o cliente remove essas repetições antes da encriptação, criando um criptograma compacto.
• Descompressão: Ao receber, o servidor realiza uma descompressão homomórfica (usando rotações e adições) para restaurar o formato de dados repetitivo original necessário para as comparações SIMD.
• Benefício: Isso reduz significativamente o tamanho da comunicação cliente-servidor (ex: de ~85 MB para ~15 MB para características de 32 bits) sem vazar informações de texto claro durante o processo de descompressão.

Principais Contribuições

O artigo apresenta as seguintes contribuições:

1. Design de Protocolo: A proposta do SilentWood, o primeiro protocolo de inferência privada especificamente otimizado para florestas de decisão de boosting de gradiente altamente escaláveis.
2. Técnicas de Otimização: A introdução de três técnicas específicas:
   • Agrupamento de Computação: Agrupamento de nós e caminhos para eliminar operações homomórficas redundantes.
   • Conversão de Código Cego (BCC): Um protocolo que permite a agregação aritmética eficiente de pontuações de árvores usando SumPath sem altos custos de multiplicação.
   • Compressão de Criptograma: Um método para reduzir o tamanho da consulta do cliente ao remover a codificação de dados repetitivos antes da encriptação.
3. Implementação e Avaliação: Uma implementação de protótipo em C++ e uma avaliação extensiva em 13 conjuntos de dados UCI, comparando o desempenho com baselines de estado da arte.

Resultados

Os autores avaliaram o SilentWood contra três baselines:

• Baseline: RCC-PDTE (um protocolo FHE de estado da arte) com agregação MultiplyPath ingênua.
• Zama Concrete ML: Uma implementação baseada em TFHE.
• SoK-GGG: Um protocolo de Garbled Circuit (GC) de duas partes de estado da arte.

Métricas de Desempenho (CPU-FHE, características de 32 bits, 100 árvores):

• Aceleração sobre o Baseline: O SilentWood é até 42,5x mais rápido (média de 32,7x).
• Aceleração sobre o Zama: O SilentWood é até 27,8x mais rápido (média de 27,8x).
• Aceleração sobre o SoK-GGG: O SilentWood é até 2,94x mais rápido (média de 2,2x).
• Comunicação: O SilentWood reduz o tamanho da comunicação cliente-servidor em aproximadamente 5x em comparação com o baseline (ex: 15,12 MB vs 85,7 MB para dados de 32 bits).

Estudo de Ablação:

• O BCC proporcionou a maior contribuição de aceleração (~19,7x), principalmente ao evitar cadeias de multiplicação caras.
• O Agrupamento de Computação contribuiu com uma aceleração de ~1,54x.
• A Compressão de Criptograma contribuiu com uma aceleração de ~1,08x em configurações de baixa latência, mas seu benefício cresce significativamente conforme o Tempo de Ida e Volta (RTT) da rede aumenta.

Precisão: A técnica de agrupamento de nós preserva a precisão do modelo, com a precisão média permanecendo em 0,90 através de várias intensidades de agrupamento e configurações de árvore.

Significância

O artigo afirma que o SilentWood representa um avanço significativo para tornar a inferência privada para modelos de boosting de gradiente prática. Ao abordar as ineficiências específicas de escalar a PDTE de árvores únicas para florestas — especificamente a explosão de rotações, a incompatibilidade dos métodos de agregação e o inchaço da comunicação — o SilentWood alcança tempos de inferência ordens de magnitude mais rápidos que as abordagens FHE existentes e competitivos com (ou mais rápidos que) as abordas de MPC. Os autores enfatizam que isso permite a implantação de modelos de boosting de gradiente de alta precisão e explicáveis em ambientes MLaaS sensíveis à privacidade, onde protocolos anteriores eram proibitivamente lentos ou pesados em termos de comunicação.