Homomorphic Encryptions for Privacy Preserving Vision

Resumo Técnico: Criptografia Homomórfica para Visão com Preservação de Privacidade

Declaração do Problema
O artigo aborda o conflito entre a crescente demanda por Machine Learning-as-a-Service (MLaaS) baseado em nuvem e os requisitos legais que impedem organizações de compartilhar dados sensíveis (por exemplo, registros médicos ou financeiros) em texto simples (plaintext). Embora o aprendizado profundo seja cada vez mais aplicado a domínios sensíveis como a saúde (detecção de tumores, imagens médicas), as soluções atuais em nuvem exigem a descriptografia dos dados, o que gera riscos à privacidade. Os autores visam permitir que tarefas de inferência de Visão Computacional — especificamente Redes Neurais Convolucionais (CNNs) — operem diretamente sobre dados criptografados sem necessidade de descriptografia, preservando assim a privacidade dos dados enquanto mantêm uma precisão e velocidades de inferência competitivas.

Metodologia
O projeto utiliza Criptografia Totalmente Homomórfica (FHE), especificamente o esquema Cheon-Kim-Kim-Song (CKKS), que suporta aritmética aproximada em dados criptografados. A implementação baseia-se no Microsoft SEAL e seu wrapper para Python, o TenSEAL.

Para adaptar CNNs padrão para a criptografia homomórfica, os autores implementaram diversas modificações críticas para lidar com as restrições da HE (que suporta apenas operações aditivas e multiplicativas sobre anéis comutativos):

1. Representação de Dados: Números reais são substituídos por números de ponto flutuante de precisão fixa codificados em inteiros.
2. Aproximação de Não-Linearidade: Funções de ativação não polinomiais padrão, como ReLU e Sigmoid, são substituídas por polinômios de baixo grau (especificamente $z^2$) para introduzir não-linearidade.
3. Camadas de Pooling: O max-pooling é substituído pelo average pooling escalonado, que pode ser expresso como uma convolução com um kernel estático.
4. Implementação de Convolução: A convolução é transformada em multiplicação de matrizes usando o método "image-to-columns". Como o rearranjo de elementos de texto cifrado é difícil, este pré-processamento é feito no texto simples antes da criptografia.
5. Manipulação de Múltiplas Camadas: Para suportar camadas convolucionais empilhadas e entradas de múltiplos canais (imagens coloridas), o sistema descriptografa e criptografa novamente os dados entre as camadas. Isso é necessário porque o TenSEAL carece de documentação nativa para lidar com rearranjos de matrizes 2-D em vetores 1-D criptografados. Os autores observam que isso não compromete a privacidade, pois apenas os tamanhos dos kernels e os strides (não os parâmetros do modelo) são necessários para o rearranjo.

Configuração Experimental
Os autores avaliaram três arquiteturas distintas de CNN em quatro conjuntos de dados: MNIST, Kuzushiji MNIST, Fashion-MNIST e CIFAR-10.

• Arquitetura 1: Uma CNN simples com uma camada convolucional e duas camadas totalmente conectadas (FC) (entrada de canal único).
• Arquitetura 2: Um modelo mais profundo com duas camadas convolucionais, average pooling e duas camadas FC (entrada de canal único).
• Arquitetura 3: Um modelo que suporta entradas de múltiplos canais (RGB), onde as saídas dos canais são computadas separadamente e combinadas via adição de texto cifrado.

Os modelos foram primeiro treinados em dados não criptografados. Os pesos resultantes foram então usados para inicializar as variantes "criptografadas" para inferência. O estudo focou em uma divisão de teste de 5.000 amostras por conjunto de dados para gerenciar o significativo overhead computacional da FHE.

Principais Resultados
Os experimentos demonstraram que a classificação em dados criptografados é viável com perda mínima de precisão:

• Precisão: Para a Arquitetura 1, a inferência criptografada frequentemente igualou ou superou ligeiramente a precisão da linha de base não criptografada (ex: 98,90% vs. 97,14% no MNIST). Os autores atribuem possíveis melhorias ao ruído natural introduzido pela aritmética aproximada do CKKS, que pode reduzir o overfitting. Para a Arquitetura 2, a precisão caiu aproximadamente 1% em conjuntos de dados complexos (KMNIST, Fashion-MNIST), provavelmente devido aos erros acumulados de múltiplos ciclos de descriptografia/recriptografia.
• Complexidade: O sistema estendeu com sucesso o suporte para entradas de múltiplos canais (CIFAR-10), alcançando 54,1% de precisão em dados criptografados comparado a 56,12% em dados não criptografados.
• Compromissos de Desempenho: O tempo de inferência é significativamente maior do que a inferência não criptografada (ordens de magnitude mais lento). O estudo analisou o compromisso entre parâmetros de contexto (grau de módulo polinomial e módulo de coeficiente) e desempenho:
  • Aumentar a escala de bits (precisão) não aumentou significativamente o tempo de inferência, mas foi necessário para manter a precisão.
  • Aumentar o módulo de bits polinomial (segurança) aumentou linearmente o tempo de inferência (ex: dobrar o módulo de 8192 para 16384 dobrou o tempo de inferência) mantendo uma precisão semelhante.

Significância e Contribuições
O artigo reivindica contribuições modestas, mas significativas, para o campo da visão com preservação de privacidade:

1. Demonstração de Viabilidade: Prova que as CNNs podem realizar inferência em imagens criptografadas com precisão comparável às linhas de base não criptografadas em vários conjuntos de dados, incluindo o complexo CIFAR-10.
2. Extensões de Biblioteca: Os autores adicionaram suporte para operações complexas sobre o TenSEAL, incluindo camadas convolucionais empilhadas, average pooling e processamento de imagens de múltiplos canais (coloridas).
3. Análise de Parâmetros: O trabalho fornece uma análise empírica dos compromissos de tempo-precisão-segurança inerentes à criptografia CKKS, oferecendo orientação sobre a seleção de parâmetros de contexto.

Os autores concluem que, embora o desempenho atual seja limitado pela falta de suporte a GPU nas bibliotecas de FHE e pelo custo computacional da criptografia, a capacidade de executar tarefas de Visão Computacional diretamente em textos cifrados oferece uma solução viável para aplicações sensíveis à privacidade. Eles sugerem que melhorias futuras em aceleração de hardware e esquemas de HE mais rápidos poderiam aumentar ainda mais a praticidade desta abordagem.