💻 computer science

Breaking Euston: Recovering Private Inputs from Secure Inference by Exploiting Subspace Leakage

Este trabalho demonstra que o protocolo de transmissão baseado em decomposição em valores singulares do framework de inferência segura Euston introduz vazamento de subespaço, permitindo que o proprietário do modelo recupere facilmente amostras privadas dos usuários.

Autores originais: Jiaqi Zhao, Fengwei Wang

Publicado 2026-04-21

📖 4 min de leitura☕ Leitura rápida

CC BY 4.0

Autores originais: Jiaqi Zhao, Fengwei Wang

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine que você tem um segredo muito valioso (uma foto sua ou uma mensagem privada) e quer pedir para um especialista (o dono do modelo de IA) analisar esse segredo sem nunca mostrar o original a ele. Para garantir isso, você usa um "traje de invisibilidade" digital (criptografia).

O artigo que você enviou, chamado "Breaking Euston", conta a história de como um novo traje de invisibilidade, chamado Euston, foi criado para ser super rápido e eficiente, mas acabou tendo um defeito de fabricação que permitiu que o especialista visse o segredo de qualquer um.

Aqui está a explicação simples, passo a passo:

1. O Problema: Como esconder o segredo sem ficar lento?

Normalmente, para esconder um segredo na computação segura, você precisa embrulhar cada pedacinho de informação em camadas de proteção. Isso é como enviar uma carta blindada: é seguro, mas pesado e demorado.

Os criadores do Euston (apresentado em 2026) pensaram: "E se pudéssemos enviar apenas a 'essência' matemática do segredo, em vez de todo o pacote?"
Eles usaram uma técnica chamada Decomposição em Valores Singulares (SVD). Pense nisso como desmontar uma cadeira complexa em apenas três partes principais: duas estruturas de suporte (que são públicas) e uma lista de medidas exatas (que é o segredo).

2. O Plano do Euston (A Ideia Genial)

A ideia era a seguinte:

O usuário cria uma "cortina" aleatória (uma máscara) para esconder sua foto ou texto.
Eles quebram essa cortina aleatória em duas partes geométricas (chamadas de matrizes ortogonais) e uma lista de números (os valores singulares).
O Truque: Eles criptografam (trancam) apenas a lista de números e enviam para o especialista. As duas partes geométricas da cortina são enviadas "a descoberto" (em texto claro), porque a matemática diz que elas não revelam nada sozinhas.
O especialista usa essas peças para reconstruir a análise sem nunca ver a foto original.

A promessa: Isso tornava o processo 2,8 vezes mais rápido e usava muito menos internet.

3. A Falha: O "Vazamento de Subespaço"

O artigo mostra que o Euston cometeu um erro de lógica, como se alguém dissesse: "Vou esconder meu rosto atrás de um vidro fosco, mas vou te dar o desenho exato da moldura e do suporte do vidro."

O problema é que, ao enviar as duas partes geométricas (as matrizes) em texto claro, o especialista (o dono do modelo) consegue deduzir a orientação da cortina aleatória.

Analogia: Imagine que você esconde um desenho atrás de uma folha de papel transparente que foi dobrada de um jeito específico. Você envia a folha transparente para o especialista. Mesmo que o desenho esteja coberto, o especialista olha para as dobras da folha e consegue "desdobrar" mentalmente o papel para ver o desenho original.

4. O Ataque: "Reconstruindo o Impossível"

Os autores do artigo (Jiaqi Zhao e Fengwei Wang) provaram que, com essas peças geométricas vazadas, o especialista pode:

Pegar a "cortina" que foi enviada.
Usar a matemática para recriar a cortina original.
Subtrair essa cortina da imagem "mascarada" que chegou.
Resultado: A imagem original aparece, quase perfeita.

Eles testaram isso em fotos (como o dataset CIFAR-100) e em textos (como frases do GLUE).

O que eles viram: Mesmo quando a "cortina" era muito forte, o ataque conseguiu recuperar a imagem original com uma precisão assustadora. Em textos, o erro foi minúsculo (menos de 4% de diferença).

5. A Lição Final

O artigo conclui que apenas criptografar a parte "importante" ou "compactada" dos dados não é suficiente.
É como tentar proteger um cofre trancando apenas a combinação numérica, mas deixando a porta do cofre aberta e mostrando a chave mestra para o ladrão.

Resumo em uma frase:
O sistema Euston tentou ser rápido enviando apenas a "espinha dorsal" matemática dos dados, mas acabou entregando a chave mestra que permitia a qualquer um reconstruir suas fotos e mensagens privadas, revelando que, na segurança digital, não existe atalho sem risco.

1. Problema

O artigo aborda uma vulnerabilidade crítica no Euston, um framework de inferência segura para modelos transformers proposto recentemente na conferência IEEE S&P 2026. O objetivo do Euston é permitir que usuários realizem inferências em dados sensíveis sem revelar os dados brutos ao proprietário do modelo, utilizando criptografia totalmente homomórfica (FHE) e Computação Multi-Partidária Segura (MPC).

O Euston utiliza um protocolo de transmissão de matrizes baseado em Decomposição em Valores Singulares (SVD) para reduzir drasticamente a largura de banda de comunicação (aproximadamente 2,8 vezes). No entanto, os autores identificam que, embora os valores singulares sejam criptografados, as matrizes ortogonais resultantes da decomposição SVD são transmitidas em texto claro. Isso resulta em um vazamento de subespaço das máscaras aleatórias utilizadas para ocultar os dados de entrada, permitindo que o proprietário do modelo recupere as entradas privadas originais.

2. Metodologia

Os autores propõem um ataque de recuperação de dados que explora o vazamento das matrizes ortogonais ( $U$ e $H$ ) do protocolo SVD do Euston. A metodologia segue os seguintes passos:

Revisão do Protocolo: No Euston, o usuário gera uma matriz aleatória $R$ , decompõe-na via SVD ($R = UDH$), criptografa apenas o vetor de valores singulares ( $d$ ) e envia $U$ , $H$ e o vetor criptografado para o proprietário do modelo. O usuário envia a entrada mascarada $X = A - R$ (onde $A$ é a entrada privada).
O Ataque: O proprietário do modelo, possuindo $U$ $U$ , $H$ $H$ e a entrada mascarada $X$ $X$ , realiza o seguinte cálculo para recuperar a matriz diagonal aproximada $\tilde{D}$ $\tilde{D}$ :
1. Calcula $\hat{D} = U^T X H^T$ .
2. Extrai a parte diagonal $\tilde{D} = \text{diag}(\hat{D})$ como uma aproximação de $D$ .
3. Reconstrói a máscara aproximada: $\tilde{R} = -U \tilde{D} H$ .
4. Recupera a entrada original: $\tilde{A} = X + \tilde{R}$ .
Análise Teórica: Os autores provam matematicamente que o Erro Relativo de Recuperação (RRE) esperado satisfaz a desigualdade $E[\text{RRE}] \leq \frac{1}{\sqrt{n}}$ , onde $n$ é a dimensão da entrada. Isso implica que, para entradas de alta dimensão (comuns em Transformers e imagens), o erro de recuperação tende a zero, tornando a reconstrução altamente precisa.

3. Contribuições Chave

Identificação de Vulnerabilidade: Demonstrar que o protocolo de transmissão eficiente do Euston introduz um vazamento de subespaço fatal, comprometendo a privacidade dos dados de entrada.
Ataque de Recuperação Eficiente: Desenvolver um algoritmo simples e direto que permite ao proprietário do modelo recuperar as entradas privadas sem necessidade de quebrar a criptografia FHE, explorando apenas as informações em texto claro ( $U$ e $H$ ).
Análise Teórica Rigorosa: Fornecer uma prova matemática que quantifica a precisão do ataque, mostrando que a eficácia aumenta com a dimensionalidade dos dados.
Validação Empírica: Validar o ataque em conjuntos de dados reais de linguagem (GLUE: RTE, SST-2, QNLI) e imagem (CIFAR-100).

4. Resultados

Os experimentos confirmam a eficácia devastadora do ataque:

Dados de Linguagem (GLUE): O erro relativo de recuperação (RRE) permaneceu consistentemente baixo (aproximadamente 0,036) em todos os conjuntos de dados de linguagem, independentemente da escala de mascaramento ( $\eta$ ).
Dados de Imagem (CIFAR-100): O RRE foi de aproximadamente 0,178. Embora maior que nos dados de texto, as imagens recuperadas foram visualmente reconhecíveis com alta fidelidade, como demonstrado nas figuras do artigo.
Independência da Escala: O sucesso do ataque não depende da magnitude da máscara aleatória, mas sim do vazamento dos subespaços ortogonais.
Correlação com a Teoria: Os resultados empíricos alinham-se perfeitamente com a análise teórica, confirmando que o erro diminui à medida que a dimensão da entrada aumenta.

5. Significado e Implicações

O artigo destaca um risco fundamental de privacidade no design do Euston e em protocolos similares que tentam otimizar a comunicação através de representações de baixo posto ou decomposições matriciais.

Falha de Design: A premissa de que criptografar apenas os valores singulares (ou representações de baixo posto) enquanto se transmite os vetores de base em texto claro é insuficiente para garantir a privacidade.
Alerta de Segurança: O trabalho serve como um alerta para a comunidade de segurança em IA, indicando que otimizações de eficiência em frameworks de inferência segura não devem comprometer a integridade do esquema de mascaramento.
Necessidade de Revisão: Sugere que designs futuros de inferência segura devem submeter escolhas de transmissão de dados a um escrutínio rigoroso, garantindo que nenhuma informação sobre o subespaço de mascaramento seja vazada.

Em resumo, o artigo "quebra" a segurança do Euston, provando que a eficiência obtida através do protocolo SVD vem a um custo inaceitável: a exposição total dos dados de entrada privados.