Privacy-Preserving Machine Learning from Storage to Inference: Integrating Authenticated Encryption with Fully Homomorphic Encryption

想象一个这样的世界：你最敏感的个人记录——你的收入、健康史、家庭细节——可以由云端的强大计算机进行分析，但这些计算机从未见过实际的信息。这就是一个被称为隐私保护机器学习（privacy-preserving machine learning）领域的承诺。多年来，一直存在着一个主要的障碍：为了分析数据，通常必须将其解锁，将其转化为任何拥有服务器访问权限的人都可能读取的明文。虽然我们有极好的方法在数据存储在硬盘时将其锁起来，也有很好的方法在数据通过互联网传输时保护它，但在处理计算的过程中，数据往往会变得脆弱。一种被称为全同态加密（fully homomorphic encryption）的新技术试图解决这个问题，它允许计算机在不解锁数据的情况下对加密数据进行数学运算。然而，构建一个能够保护数据从存储开始，一直到被分析并返回为止的系统的过程，仍然是一个复杂的挑战。

一支研究团队现在构建并测试了一个连接这两个世界的原型系统。他们创建了一个系统，使数据在存储时保持强力的数字封印，然后在远程服务器进行分析时以另一种更复杂的方式保持锁定状态。其目标是观察这种双层保护是否能在不破坏结果准确性的情况下，在现实世界的流程中发挥作用。研究人员专注于一种特定的分析类型——逻辑回归（logistic regression），这种方法常用于根据一组数字预测结果，例如根据收入和教育等因素确定一个家庭是否处于脆弱状态。他们想知道，是否可以将数据发送给一个他们并不信任的服务器，让服务器对加密数据进行计算，并返回一个正确的答案，同时确保服务器从未看到原始数字或解锁它们的密钥。

为了测试这一点，该团队生成了两千条虚构的家庭记录。这些不是真实的人，而是旨在模仿现实世界信息结构的合成数据，包括十个不同的数值特征，如家庭规模和到水源的距离。他们使用这些数据来训练一个计算机模型，以预测一个“脆弱性”标签。首先，他们通过在正常的、未解锁的数据上运行分析建立了一个基准。这个标准模型表现得非常好，能正确识别大约百分之九十的记录状态。这个高分作为衡量他们加密系统的金标准。

接下来，他们构建了安全流水线。当用户想要分析一条记录时，系统首先从存储中检索该记录，此时记录受到一种不仅能对数据进行加密，还能添加数字指纹以确保无人篡改的方法保护。用户的计算机随后在本地解锁记录，对其进行准备，然后使用特殊的同态加密对其重新加锁。这种新的锁允许远程服务器执行必要的数学运算，而无需看到实际的数字。服务器被研究人员视为不可信的，它只接收加密后的数据和加密的模型。它执行计算并将加密的结果发回给用户，用户随后将其解锁以查看最终预测。

结果表明，这种方法是行之有效的。当研究人员将加密系统的预测结果与金标准进行比较时，差异几乎可以忽略不计。经过不同数值精度测试的加密模型，其准确率得分在约百分之九十到百分之九十一之间，几乎与未解锁模型的性能持平。事实上，加密系统的某种特定配置在区分不同群体方面的表现甚至略高一些，尽管研究人员指出这是一个微小的差异，并不代表加密提升了模型本身。关键的结论是，隐私保护并没有破坏数学逻辑。

然而，这种隐私是以速度为代价的。虽然标准的、未解锁的分析几乎是瞬间完成的，但加密版本则要慢得多。研究人员测量了服务器处理单条记录所需的时间，发现其耗时在三十到三十一毫秒之间。虽然这听起来很快，但与在未解锁数据上进行工作相比，这是一个显著的增加。在另一个包含从冷存储缓存中获取数据时间的测试中，处理单条记录的整个过程耗时近七百毫厘秒。研究人员强调，这些数字是针对他们的设置和所使用的模型类型而言的，但他们也强调，这项技术在计算上仍然非常沉重。

该系统还证明了其鲁棒性。研究人员故意尝试修改存储在服务器上的单个字节的加密数据。当系统尝试读取这种被修改的数据时，数字指纹失效，系统正确地拒绝了该文件，从而防止了任何损坏的信息被使用。此外，系统成功阻止了一名用户访问另一名用户的文件，证明了存储层有效地隔离了数据。

该研究得出结论，构建一个完整的、端到端的系统来保护数据在存储期间以及在外部方进行分析期间的安全是可能的。原型系统证明，只要你愿意接受较慢的处理时间，你就不必为了获得这种级别的安全性而牺牲准确性。这项工作并不声称已经解决了所有关于安全计算的问题；研究人员指出，他们的测试使用了简单的合成数据和基础模型。他们并未测试该系统如何处理大规模数据集、复杂的人工智能模型，或是在恶意服务器试图欺骗系统的活跃攻击环境下表现如何。然而，这次实验作为一个概念验证，其意义在于：它展示了数据的两个关键阶段——存储和推理——可以通过强力加密连接在一起，从而创建一个敏感信息从保存那一刻起直到返回答案那一刻，始终处于所有者控制之下的工作流。