RobPI: Robust Private Inference against Malicious Client

1. O Problema

O crescimento da adoção de Inferência Privada (Private Inference - PI) em serviços de aprendizado de máquina (MLaaS) visa proteger a privacidade dos dados do cliente e os pesos do modelo durante a inferência, utilizando criptografia (como Criptografia Homomórfica - FHE). No entanto, a maioria dos protocolos atuais assume um modelo de ameaça semi-honesto, onde se presume que todas as partes (cliente e servidor) seguirão o protocolo corretamente, tentando apenas aprender informações extras.

O artigo identifica uma lacuna crítica: na realidade, os clientes podem ser maliciosos. Um cliente malicioso pode tentar manipular a saída do modelo para obter acesso não autorizado (ex.: burlar um sistema de reconhecimento facial) ou influenciar decisões (ex.: fraudes). Os protocolos existentes são vulneráveis a ataques de manipulação de saída, onde o cliente envia dados adversariais para enganar o sistema, e as defesas atuais (como ruído aleatório na entrada) são ineficazes em ambientes de inferência privada devido à natureza das funções de ativação polinomiais e quantização, que atenuam o ruído.

2. Metodologia

O trabalho propõe uma abordagem de duas frentes: um novo ataque para demonstrar a vulnerabilidade e um novo protocolo de defesa robusto.

A. O Ataque: PI-Attack

Os autores desenvolveram um ataque de manipulação de inferência chamado PI-Attack, otimizado para protocolos semi-honestos.

• Estratégia: O ataque opera no domínio da frequência em vez do domínio espacial. Utiliza a Transformada Discreta de Cosseno (DCT) para converter a imagem de entrada.
• Busca Arcada (Arc-shaped Search): O ataque explora a densidade de informações no domínio da frequência, começando a busca por perturbações nas frequências mais baixas (canto superior esquerdo da matriz DCT) e progredindo para as mais altas.
• Agendamento de Perturbação (Perturbation Schedule): Utiliza um agendamento baseado em cosseno para o tamanho da perturbação, aplicando perturbações maiores nas frequências mais baixas e menores nas mais altas.
• Eficiência: Este método permite que um cliente malicioso modifique a saída do modelo com 3x a 8x menos consultas (queries) do que os ataques de caixa preta existentes (como Square Attack ou SimBA-DCT).

B. A Defesa: RobPI

Para mitigar esses ataques, os autores propõem o RobPI, um protocolo de inferência privada robusto.

• Princípio de Design: Diferente de métodos anteriores que injetam ruído na entrada (o que é atenuado pelas camadas de ativação polinomiais do FHE), o RobPI injeta ruído compatível com criptografia diretamente nas logits (saída da última camada) e nas características (features).
• Mecanismo de Defesa: O protocolo adiciona ruído gaussiano ($\sigma \Delta_t$) aos resultados de cada consulta. Isso perturba a direção de busca do atacante, tornando difícil determinar se uma perturbação específica aumentou ou diminuiu a probabilidade de sucesso, pois o sinal é mascarado pelo ruído.
• Treinamento com Ruído Dinâmico (DNT): Para equilibrar a robustez e a precisão no conjunto de dados limpo (clean accuracy), o RobPI incorpora uma técnica de Dynamic Noise Training (DNT). Durante o treinamento, o modelo é exposto a ruído gaussiano dinâmico em cada época, tornando-o mais resiliente à adição de ruído durante a inferência sem sacrificar a acurácia.
• Contra-ataques: O artigo também analisa ataques de "inferência média" (onde o atacante repete a mesma consulta para cancelar o ruído de média zero) e propõe contramedidas, como o uso de ruído com média não nula ou adição de ruído na penúltima camada da rede.

3. Principais Contribuições

1. PI-Attack: Demonstração prática de que protocolos de inferência privada semi-honestos são vulneráveis a clientes maliciosos, com um ataque que é significativamente mais eficiente (menos consultas) do que os métodos atuais.
2. RobPI: Introdução de um novo protocolo de inferência privada que é resiliente a clientes maliciosos, superando a limitação de atenuação de ruído em redes neurais criptografadas ao adicionar ruído nas camadas de saída.
3. Técnica DNT: Desenvolvimento de uma técnica de treinamento que permite um equilíbrio superior entre precisão em dados limpos e robustez contra ataques.
4. Análise Teórica e Empírica: Prova teórica da probabilidade de sucesso da perturbação (DSP) e validação experimental extensiva.

4. Resultados Experimentais

Os experimentos foram realizados em conjuntos de dados como MNIST, CIFAR-10 e um conjunto de dados médico (Diabetic Retinopathy), utilizando várias arquiteturas de redes neurais.

• Eficácia do Ataque (PI-Attack): O ataque conseguiu taxas de sucesso (ASR) superiores a 94% em ataques direcionados no CIFAR-10, reduzindo o número médio de consultas necessárias em comparação com o Square Attack e SimBA-DCT.
• Eficácia da Defesa (RobPI):
  • O RobPI reduziu a taxa de sucesso do ataque (ASR) em aproximadamente 91,9% em comparação com métodos anteriores.
  • Aumenta a dificuldade do ataque, exigindo mais de 10x o número de consultas em comparação com métodos de defesa anteriores.
  • Precisão Limpa (Clean Accuracy): O RobPI-DNT manteve uma alta precisão em dados limpos (74,55% no CIFAR-10), superando métodos como RND-GF, que sofrem com perdas de precisão ou menor eficácia defensiva.
  • Taxa de Sucesso da Defesa (DSR): O RobPI-DNT alcançou uma DSR de 91,88% para ataques direcionados no CIFAR-10, um aumento significativo em relação aos 56,33% do RND-GF.

5. Significado

Este trabalho é fundamental para o campo de privacidade em aprendizado de máquina por:

1. Reavaliar o Modelo de Ameaça: Evidencia que assumir um modelo semi-honesto para clientes é irrealista e perigoso, especialmente em aplicações de alto risco como detecção de intrusão e fraude.
2. Solução Prática para FHE: Oferece uma solução viável para o problema de atenuação de ruído em inferência baseada em FHE, permitindo que a defesa seja eficaz sem comprometer a funcionalidade do sistema criptografado.
3. Segurança Proativa: Ao demonstrar a vulnerabilidade e fornecer uma defesa robusta, o trabalho estabelece um novo padrão para a implementação segura de serviços de inferência privada na nuvem, garantindo que a privacidade não seja sinônimo de vulnerabilidade a manipulação.

Em resumo, o RobPI representa um avanço significativo ao transformar a inferência privada de um sistema vulnerável a manipulações sutis em um sistema robusto contra adversários ativos, mantendo a privacidade e a precisão necessárias para aplicações do mundo real.