Privacy-Preserving Machine Learning from Storage to Inference: Integrating Authenticated Encryption with Fully Homomorphic Encryption

Imagine um mundo onde seus registros pessoais mais sensíveis — sua renda, seu histórico de saúde, seus detalhes familiares — pudessem ser analisados por computadores poderosos na nuvem sem que esses computadores sequer vissem a informação real. Este é o promessa de um campo chamado aprendizado de máquina preservação de privacidade. Durante anos, um grande obstáculo existiu: para analisar dados, geralmente é necessário desbloqueá-los, transformando-os em texto simples que qualquer pessoa com acesso ao servidor poderia potencialmente ler. Embora tenhamos formas excelentes de trancar dados enquanto eles repousam em um disco rígido, e boas formas de protegê-los enquanto viajam pela internet, no momento em que são processados para um cálculo, eles frequentemente se tornam vulneráveis. Uma tecnologia mais recente, conhecida como criptografia totalmente homomórfica, tenta resolver isso permitindo que computadores realizem matemática em dados trancados sem nunca destrancá-los. No entanto, construir um sistema que proteja os dados desde o momento em que são armazenados, passando por todo o processo até o momento em que são analisados e retornados, tem permanecido um desafio complexo.

Uma equipe de pesquisadores construiu e testou agora um protótipo funcional que conecta esses dois mundos. Eles criaram um sistema que mantém os dados trancados com um forte selo digital enquanto eles repousam no armazenamento, e então os mantém trancados de uma forma diferente e mais complexa enquanto estão sendo analisados por um servidor remoto. O objetivo era ver se essa proteção de camada dupla poderia funcionar em um fluxo de trabalho do mundo real sem arruinar a precisidade dos resultados. Os pesquisadores focaram em um tipo específico de análise chamada regressão logística, que é frequentemente usada para prever resultados com base em um conjunto de números, como determinar se uma família é vulnerável com base em fatores como renda e educação. Eles queriam saber se poderiam enviar esses dados para um servidor em que não confiavam, fazer o servidor processar os números nos dados criptografados e obter de volta uma resposta correta, tudo isso garantindo que o servidor nunca visse os números brutos ou a chave para destrancá-los.

Para testar isso, a equipe gerou dois mil registros de famílias fictícias. Estes não eram pessoas reais, mas dados sintéticos projetados para imitar a estrutura de informações do mundo real, incluindo dez diferentes características numéricas como tamanho da família e distância da água. Eles usaram esses dados para treinar um modelo de computador para prever um rótulo de "vulnerabilidade". Primeiro, eles estabeleceram uma linha de base executando a análise em dados normais, não trancados. Este modelo padrão teve um desempenho muito bom, identificando corretamente o status dos registros cerca de noventa por cento das vezes. Essa pontuação alta serviu como o padrão ouro contra o qual mediriam seu sistema criptografado.

Em seguida, eles construíram o pipeline seguro. Quando um usuário queria analisar um registro, o sistema primeiro recuperava o registro do armazenamento, onde estava protegido por um método que não apenas embaralhava os dados, mas também adicionava uma impressão digital digital para garantir que ninguém tivesse adulterado os dados. O computador do usuário então destrancava o registro localmente, preparava-o e o trancava novamente usando a criptografia homomórfica especial. Este novo bloqueio permitia que o servidor remoto realizasse a matemática necessária sem nunca ver os números reais. O servidor, que os pesquisadores trataram como não confiável, recebia apenas os dados embaralhados e o modelo criptografado. Ele realizava o cálculo e enviava o resultado criptografado de volta para o usuário, que o destrancava para ver a previsão final.

Os resultados mostraram que essa abordagem funciona. Quando os pesquisadores compararam as previsões feitas pelo sistema criptografado com o padrão ouro, a diferença foi quase imperceptível. Os modelos criptografados, testados com diferentes níveis de precisão numérica, alcançaram pontuações de precisão variando de aproximadamente noventa por cento a noventa e um por cento, quase igualando o desempenho do modelo não criptografado. Na verdade, uma configuração específica do sistema criptografado até pontuou ligeiramente acima em uma medida de quão bem ela distinguia entre diferentes grupos, embora os pesquisadores tenham observado que esta foi uma pequena diferença e não um sinal de que a criptografia melhora o próprio modelo. A principal conclusão foi que a proteção de privacidade não quebrou a matemática.

No entanto, essa privacidade vem com um custo em velocidade. Enquanto a análise padrão, não criptografada, acontece quase instantaneamente, a versão criptografada levou significativamente mais tempo. Os pesquisadores mediram o tempo que o servidor levou para processar um único registro e descobriram que levou entre trinta e trinta e um milissegundos. Embora isso possa parecer rápido, é um aumento substancial em comparação com o trabalho feito em dados não criptografados. Em um teste separado que incluiu o tempo para buscar os dados de um cache de armazenamento frio, o processo inteiro para um registro levou quase setecentos milissegundos. Os pesquisadores enfatizaram que esses números são específicos para a configuração deles e para o tipo de modelo que usaram, mas destacam que a tecnologia ainda é computacionalmente pesada.

O sistema também provou ser robusto contra adulteração. Os pesquisadores deliberadamente tentaram alterar um único byte dos dados criptografados armazenados no servidor. Quando o sistema tentou ler esses dados modificados, a impressão digital digital falhou e o sistema corretamente rejeitou o arquivo, impedindo que qualquer informação corrompida fosse usada. Além disso, o sistema impediu com sucesso que um usuário acessasse os arquivos de outro usuário, demonstrando que a camada de armazenamento isolou efetivamente os dados.

O estudo conclui que é possível construir um sistema completo, de ponta a ponta, que proteja os dados tanto enquanto são armazenados quanto enquanto são analisados por uma parte externa. O protótipo demonstrou que você não precisa sacrificar a precisão para ganhar este nível de segurança, desde que esteja disposto a aceitar os tempos de processamento mais lentos. O trabalho não afirma ter resolvido todos os problemas da computação segura; os pesquisadores observaram que seu teste usou dados sintéticos simples e um modelo básico. Eles não testaram como o sistema lidaria com conjuntos de dados massivos, modelos de inteligência artificial complexos ou ataques ativos onde um servidor malicioso tenta enganar o sistema. No entanto, o experimento serve como uma prova de conceito. Ele mostra que as duas etapas críticas do manuseio de dados — armazenamento e inferência — podem ser ligadas com criptografia forte, criando um fluxo de trabalho onde as informações sensíveis permanecem sob o controle do proprietário desde o momento em que são salvas até o momento em que a resposta é retornada.