Resumo Técnico: MLQENABLER

Definição do Problema

O artigo aborda o dilema entre segurança e utilidade inerente ao modelo de Armazenamento em Nuvem com Serviço Baseado em Aprendizado de Máquina (CSS-MLS). Neste modelo, os Provedores de Serviços de Nuvem (CSPs) oferecem armazenamento como um serviço primário e utilizam os dados dos clientes para fornecer serviços secundários de aprendizado de máquina (ML) (ex: sistemas de recomendação). Embora este modelo ofereça benefícios econômicos e funcionais, ele levanta preocupações significativas de segurança, pois as nuvens públicas não podem ser totalmente confiáveis. Os CSPs podem ter incentivos financeiros para vender dados, funcionários podem roubar dados ou os servidores podem estar vulneráveis a invasões.

A mitigação padrão é criptografar os dados antes da exportação. No entanto, a criptografia tradicional (ex: AES, 3DES) torna os dados números pseudialeatórios, tornando impossível realizar o treinamento de ML ou consultas no conjunto de dados criptografado. As soluções existentes para este problema sofrem de limitações específicas:

• Criptografia Totalmente Homomórfica (FHE): Computacionalmente ineficiente para o treinamento de redes neurais profundas.
• Privacidade Diferencial (DP): Depende da adição de ruído grosseiro, criando um equilíbrio ruim entre utilidade de dados (acurácia) e segurança.
• Aprendizado Federado (FL): Falha em proteger a privacidade da consulta e a privacidade do modelo (o próprio modelo treinado pode ser vazado).

O desafio central é projetar um sistema que permita consultas de ML e treinamento sobre dados criptografados enquanto preserva a privacidade do texto cifrado, a privacidade do índice, a privacidade do token de consulta e a privacidade do modelo.

Metodologia: MLQENABLER

Os autores propõem o MLQENABLER (ML Queries Enabler), um framework auxiliado por índice que desacopla o armazenamento de dados da utilidade de ML. O sistema envolve quatro entidades: clientes de armazenamento, clientes de não-armazenamento, um servidor de nuvem e um Servidor de Geração de Chaves (KGS).

Mecanismo Central: EncGAN

O sistema baseia-se em uma arquitetura de Rede Adversária Generativa (GAN) chamada EncGAN, que consiste em três componentes:

1. Gerador ($G$): Atua como a chave secreta global. Ele transforma itens de dados originais em "itens de índice seguros".
2. Discriminador ($D$): Treinado para distinguir entre dados reais e os itens de índice gerados.
3. Reconstrutor ($R$): Treinado para recuperar os dados originais a partir do item de índice seguro.

Fluxo Operacional

1. Geração de Chave: O KGS coleta um conjunto de dados (ex: da internet) para treinar o EncGAN. O Gerador ($G$) treinado torna-se a chave secreta distribuída aos clientes.
2. Preparação de Dados (Lado do Cliente):
   • Criptografia: Os clientes criptografam formalmente seus itens de dados brutos usando criptografia padrão (ex: AES) com uma chave secreta local para garantir a privacidade do texto cifrado.
   • Geração de Índice: Os clientes alimentam os itens de dados originais no gerador $G$ para produzir itens de índice seguros. Estes itens são projetados para serem indistinguíveis de ruído aleatório para garantir a privacidade do índice.
   • Exportação: Os clientes fazem o upload tanto dos dados criptografados quanto dos itens de índice seguros (junto com os rótulos de classe) para a nuvem.
3. Treinamento de ML (Lado da Nuvem): O servidor de nuvem treina modelos de ML diretamente nos itens de índice seguros. O modelo resultante é denotado como $M'$.
4. Processamento de Consulta:
   • Para consultar, um cliente usa a chave secreta $G$ para transformar um novo item de dado $q$ em um token seguro $G(q)$.
   • A nuvem processa $G(q)$ usando o modelo treinado $M'$ para produzir um resultado.
   • O modelo utilizável real é efetivamente a composição $M = G \circ M'$. Como a nuvem possui apenas $M'$ e não $G$, ela não pode reconstruir o modelo verdadeiro, garantindo a privacidade do modelo.

Garantias de Privacidade

• Privacidade do Texto Cifrado: Alcançada via criptografia padrão (AES/3DES).
• Privacidade do Índice: Alcançada porque o gerador $G$ é treinado via perda adversária para tornar os itens de índice indistinguíveis de dados aleatórios.
• Privacidade do Token: Os tokens são gerados usando o mesmo processo seguro dos itens de índice.
• Privacidade do Modelo: A nuvem detém apenas o modelo treinado em dados ofuscados ($M'$). Sem a chave secreta $G$, a nuvem não pode aplicar o modelo a dados reais.

Principais Contribuições

1. Formulação do Problema: O artigo define formalmente o modelo CSS-MLS e os requisitos específicos de privacidade (privacidade de texto cifrado, índice, token e modelo) necessários para proteger este ambiente.
2. Design do Framework: Propõe o MLQENABLER, um framework que utiliza criptografia padrão para armazenamento de dados e um método de geração de índice baseado em GAN para permitir a utilidade de ML.
3. Design do EncGAN: Introduz um método baseado em GAN onde o gerador cria itens de índice indistinguíveis de dados aleatórios (protegendo a privacidade do índice), enquanto um reconstrutor garante que os itens retenham estrutura suficiente para o treinamento de ML.
4. Ruído Controlável por Função de Perda (LFC): O artigo caracteriza o processo de criptografia como um novo tipo de técnica de preservação de privacidade onde a adição de ruído é guiada por funções de perda específicas, oferecendo uma abordagem mais refinada do que o ruído grosseiro da Privacidade Diferencial.

Resultados Experimentais

Os autores avaliaram o MLQENABLER em seis conjuntos de dados de imagem (CIFAR-10, CIFAR-100, Tiny-ImageNet, GTSRB, CelebA e DIV2K) utilizando as arquiteturas ResNet-18 e SwinV2-T.

• Privacidade (Indistinguibilidade do Índice): Comparações visuais e análise de Entropia de Informação de Patch (Patch IE) mostram que os itens de índice seguros são visualmente indistinguíveis de imagens aleatórias e possuem níveis de entropia semelhantes ao ruído aleatório, significativamente superiores aos das imagens originais.
• Acurácia Autorizada (AA): O sistema mantém alta utilidade para usuários autorizados.
  • Para ResNet-18, a queda de acurácia (Original vs. Índice) variou de 0,07% a 3,05% (média de 1,13%).
  • Para SwinV2-T, a queda variou de 0,21% a 6,13% (média de 2,86%).
  • A maior degradação ocorreu no CIFAR-100, enquanto o GTSRB apresentou perda mínima (<0,25%).
• Acurácia Não Autorizada (UA): Modelos treinados em itens de índice performaram no nível de tentativa de sorte (random guessing) quando testados em dados originais (não criptografados).
  • No CIFAR-10, 100 e Tiny-ImageNet, a UA ficou próxima da linha de base de tentativa de sorte (ex: ~10% para 10 classes).
  • Isso confirma que o modelo treinado $M'$ é inútil sem a chave secreta $G$, protegendo efetivamente a propriedade intelectual do modelo.

Significância e Alegações

O artigo afirma que o MLQENABLER resolve com sucesso o equilíbrio entre a segurança de dados e a capacidade de ML em ambientes de nuvem. Ao empregar uma abordagem de auxílio por índice, ele alcança quatro objetivos de privacidade simultâneos (privacidade de texto cifrado, índice, token e modelo) que técnicas anteriores (FHE, DP, FL) não conseguiam alcançar conjuntamente.

Os autores sustentam que o sistema incorre apenas em uma leve degradação de desempenho de ML, enquanto fornece fortes garantias de segurança. Eles posicionam o mecanismo EncGAN não apenas como uma solução para este problema específico, mas como um novo tipo de técnica de adição de ruído controlável por função de perda (LFC) que poderia ser aplicável a outras aplicações de preservação de privacidade além deste artigo. O trabalho é apresentado como uma solução prática para a "economia de compartilhamento de dados" na era do Big Data, permitindo que provedores de nuvem ofereçam serviços de ML sem comprometer a privacidade dos clientes ou sua propriedade intelectual.