PrivaDE: Privacy-preserving Data Evaluation for Blockchain-based Data Marketplaces

Resumo Técnico: PrivaDE

1. O Problema

No ecossistema de aprendizado de máquina (ML) descentralizado e em marketplaces de dados baseados em blockchain, existe um dilema fundamental: como avaliar a utilidade de um conjunto de dados antes da compra sem revelar os ativos proprietários de nenhuma das partes?

• Desafio: Modeladores de modelos (compradores) não querem revelar seus parâmetros do modelo (pesos) para evitar roubo de propriedade intelectual. Provedores de dados (vendedores) não querem revelar seus dados brutos (recursos e rótulos) antes de receberem pagamento.
• Limitação das Soluções Atuais: Protocolos existentes geralmente operam no modelo "semi-honesto" (onde as partes seguem o protocolo mas tentam espionar) ou dependem de uma Terceira Parte Confiável (TTP), o que é incompatível com ambientes descentralizados e sem confiança (trustless). Além disso, a avaliação de dados segura (MPC) costuma ter um custo computacional proibitivo.

2. Metodologia e Arquitetura

O PrivaDE é um protocolo de duas partes (2PC) projetado para ser maliciosamente seguro (seguro contra adversários que podem desviar arbitrariamente do protocolo). Ele permite que um proprietário de modelo (MO) e um proprietário de dados (DO) calculem conjuntamente uma pontuação de utilidade ($\phi$) para um conjunto de dados candidato.

O protocolo é composto por três pilares principais de otimização e segurança:

A. Protocolo de Inferência Segura Otimizada
Para reduzir a sobrecarga da inferência segura (que é tipicamente muito lenta em MPC), o PrivaDE introduz três técnicas:

1. Destilação de Modelo: O proprietário do modelo pode usar um modelo "estudante" menor (destilado) que aproxima o desempenho do modelo original, reduzindo drasticamente o número de parâmetros a serem processados criptograficamente.
2. Divisão do Modelo (Split Model): O modelo $M$ é dividido em três blocos ($M = C \circ B \circ A$):
   • Bloco A: Executado via MPC seguro (2PC). Contém as camadas iniciais. Apenas o proprietário do modelo fornece os pesos; o provedor de dados fornece as entradas.
   • Bloco B: Executado localmente pelo provedor de dados (usando pesos recebidos do modelo).
   • Bloco C: Executado localmente pelo proprietário do modelo (usando as ativações recebidas do Bloco B).
   • Segurança: O Bloco A inclui um "misturador secreto" (permutação linear invertível) para impedir que o provedor de dados reconstrua o modelo completo ou extraia informações sensíveis das ativações intermediárias.
3. Auditoria Cut-and-Choose (CnCZK): Em vez de gerar uma prova de conhecimento zero (ZKP) completa para toda a inferência (o que é pesado), o protocolo usa uma abordagem de amostragem. O verificador seleciona aleatoriamente um subconjunto de pontos de dados e camadas para auditar via ZKP. Isso reduz drasticamente o custo computacional mantendo uma alta probabilidade de detecção de trapaça.

B. Seleção de Conjunto Representativo
Para evitar a avaliação de todos os pontos de dados (o que aumentaria a vazão de informações e o custo), o provedor de dados seleciona um subconjunto representativo ($D_R$) de tamanho $k$.

• Verificação de Representatividade: Para garantir que o subconjunto não foi manipulado para esconder dados ruins, o proprietário do modelo executa um Protocolo de Desafio (Challenge Protocol). O modelo desafia o provedor a provar, via ZKP, que pontos aleatórios do conjunto original estão bem representados pelo subconjunto escolhido.

C. Função de Pontuação (Scoring)
O sistema calcula uma pontuação baseada em critérios de Active Learning, que correlacionam-se com a melhoria no desempenho do treinamento:

1. Perda (Loss): O erro que o modelo comete nos dados (maior perda = maior potencial de melhoria).
2. Incerteza (Uncertainty): Quão incerta é a previsão do modelo (ex: entropia).
3. Diversidade (Diversity): Quão espalhados estão os pontos no espaço de características (para evitar redundância).
   A pontuação final é uma agregação ($f$) dessas três métricas.

D. Integração com Blockchain
O protocolo é projetado para ser integrado a contratos inteligentes:

• Garantia de Justiça (Fairness): Depósitos em escrow são usados. Se uma parte desistir injustamente após aprender o resultado, o depósito é confiscado (slashing).
• Pagamento Atômico: A transferência de dados e o pagamento ocorrem apenas após a verificação bem-sucedida da pontuação e das provas criptográficas.

3. Principais Contribuições

1. Primeiro Esquema Maliciosamente Seguro: É o primeiro trabalho a propor um esquema de avaliação de dados seguro no modelo de adversário malicioso, sem depender de TTPs.
2. Otimizações Práticas: Combina destilação, divisão de modelo e auditoria cut-and-choose para tornar a inferência segura viável em tempo real (minutos, não horas).
3. Função de Pontuação Agnóstica ao Modelo: Desenvolveu um método de pontuação que funciona com qualquer arquitetura de modelo e é eficiente para execução em MPC.
4. Prova de Conceito em Blockchain: Demonstra a integração do protocolo em um marketplace descentralizado, resolvendo problemas de confiança e pagamento.

4. Resultados Experimentais

Os autores avaliaram o PrivaDE em conjuntos de dados reais (MNIST, CIFAR-10, CIFAR-100) e modelos variados (LeNet, ResNet-20, VGG-8).

• Desempenho: O protocolo alcança tempos de execução online (online runtime) de 45 segundos a 15 minutos, mesmo para modelos com milhões de parâmetros.
  • Exemplo: MNIST com LeNet levou apenas ~45 segundos de tempo online.
• Escalabilidade: O tempo online é independente do tamanho total do conjunto de dados do provedor ($n$), dependendo apenas do tamanho do subconjunto representativo ($k$).
• Robustez da Pontuação: A função de pontuação identificou conjuntos de dados de alto valor com eficácia, superando métodos de amostragem aleatória e baseados apenas em entropia. A correlação entre as pontuações geradas pelo modelo original e pelo modelo destilado foi alta (acima de 0.84 na maioria dos casos).
• Segurança: A análise de vazamento mostrou que a reconstrução do modelo ou dos dados originais a partir das ativações intermediárias é inviável (SSIM < 0.3, indicando imagens irreconhecíveis).

5. Significado e Impacto

O PrivaDE estabelece as bases para marketplaces de dados justos e automatizados em ecossistemas de aprendizado de máquina descentralizado.

• Viabilidade Econômica: Permite que provedores de dados sejam compensados com base no valor real que seus dados agregam ao modelo, sem risco de vazamento de dados.
• Segurança Descentralizada: Remove a necessidade de intermediários confiáveis, substituindo-os por garantias criptográficas e contratos inteligentes.
• Aceleração da IA: Facilita a colaboração entre instituições e indivíduos, permitindo o treinamento de modelos de alta qualidade a partir de dados distribuídos e privados, algo essencial para a evolução da IA responsável e descentralizada.

Em suma, o PrivaDE resolve o "problema do ovo e da galinha" dos marketplaces de dados: como avaliar dados sem vê-los e como pagar por dados sem vê-los, garantindo segurança contra comportamentos maliciosos e eficiência computacional.