MIT: Новый протокол безопасности защищает данные в облаке от злоумышленников

Модели глубокого обучения используются в разных областях: от диагностики в здравоохранении до финансового прогнозирования. Но они требуют мощных облачных серверов, что создаёт риски для безопасности.

Особенно это актуально для здравоохранения, где больницы могут не решаться использовать инструменты ИИ для анализа данных пациентов из-за соображений конфиденциальности.

Исследователи Массачусетского технологического института разработали протокол безопасности на основе квантовых свойств света. Он гарантирует сохранность данных, отправляемых на облачный сервер и получаемых с него во время вычислений глубокого обучения.

Протокол, используемый в волоконно-оптических системах связи, кодирует данные с помощью лазерного излучения на основе принципов квантовой механики. Это делает невозможным незаметный перехват или копирование информации злоумышленниками.

Во время испытаний протокол показал точность 96%. При этом он обеспечивает безопасность данных без ущерба для точности моделей глубокого обучения.

Модели глубокого обучения, такие как GPT-4, очень мощные, но требуют больших вычислительных ресурсов.

Кфир Сулимани, постдок Массачусетского технологического института в Исследовательской лаборатории электроники (RLE), разработал протокол безопасности, который позволяет использовать эти модели без ущерба для конфиденциальности данных и проприетарного характера моделей.

В исследовании приняли участие:

• Кфир Сулимани;
• Шри Кришна Вадламани, ещё один постдок Массачусетского технологического института;
• Райан Хамерли, бывший постдок, работающий в NTT Research, Inc;
• Прахлад Айенгар, аспирант факультета электротехники и информатики (EECS);
• Дирк Энглунд, профессор EECS, главный исследователь Группы квантовой фотоники и искусственного интеллекта и RLE.

Исследование было представлено на Ежегодной конференции по квантовой криптографии.

Улица с двусторонним движением для безопасности глубокого обучения

В сценарии облачных вычислений участвуют две стороны: клиент, имеющий конфиденциальные данные (например, медицинские изображения), и центральный сервер с моделью глубокого обучения.

Клиент хочет использовать модель для предсказания, например, наличия у пациента рака. При этом он не хочет раскрывать информацию о пациенте.

Для создания прогноза необходимо отправить конфиденциальные данные на сервер. Но во время этого процесса данные должны оставаться в безопасности.

Сервер не хочет раскрывать части запатентованной модели, на создание которой компания OpenAI потратила годы и миллионы долларов.

В цифровых вычислениях данные, отправленные с сервера или клиента, могут быть легко скопированы злоумышленником.

Исследователи используют принцип отсутствия клонирования в своём протоколе безопасности. Он основан на том, что квантовая информация не может быть идеально скопирована.

В протоколе исследователей сервер кодирует веса глубокой нейронной сети в оптическое поле с помощью лазерного света. Нейронная сеть — это модель глубокого обучения, которая состоит из слоёв взаимосвязанных узлов (нейронов). Они выполняют вычисления над данными. Веса — это компоненты модели, которые выполняют математические операции над каждым входом по одному слою за раз. Выходные данные одного слоя поступают в следующий слой, пока последний слой не сгенерирует предсказание.

Сервер передаёт клиенту весовые коэффициенты сети. Клиент выполняет операции и получает результат на основе своих личных данных, которые остаются скрытыми от сервера.

Протокол безопасности позволяет клиенту измерить только один результат и не даёт скопировать веса из-за квантовой природы света. Как только клиент передаёт первый результат на следующий уровень, протокол аннулирует первый уровень. Это сделано для того, чтобы клиент больше ничего не узнал о модели.

Клиент измеряет только тот свет, который необходим для работы глубокой нейронной сети и передачи результата в следующий слой. Остаточный свет клиент отправляет обратно на сервер для проверки безопасности.

Из-за теоремы об отсутствии клонирования клиент неизбежно совершает небольшие ошибки при измерении модели. Сервер может определить, не произошла ли утечка информации, измерив эти ошибки, когда получает остаточный свет от клиента. Доказано, что этот остаточный свет не раскрывает данные клиента.

Практичный протокол

Современное телекоммуникационное оборудование использует оптические волокна для передачи информации на большие расстояния. Поскольку в этом оборудовании уже есть оптические лазеры, исследователи могут кодировать данные в свет без дополнительного оборудования.

Исследователи протестировали свой подход и выяснили, что он может обеспечить безопасность сервера и клиента с точностью до 96%.

Утечка данных при выполнении операций клиентом составляет менее 10% от объёма информации, необходимого злоумышленнику для восстановления скрытых сведений. Если действовать в обратном направлении, вредоносный сервер сможет получить лишь около 1% информации, необходимой для кражи данных клиента.

Сулимани гарантирует, что передача данных безопасна в обоих направлениях: от клиента к серверу и обратно.

Энглунд рассказывает, что несколько лет назад, когда они разрабатывали демонстрацию распределённого машинного обучения между главным кампусом Массачусетского технологического института и Лабораторией Линкольна, он понял, как можно обеспечить безопасность на физическом уровне. В этом ему помогли многолетние наработки в области квантовой криптографии. Однако были серьёзные теоретические проблемы, которые нужно было решить.

Кфир, присоединившийся к команде, помог преодолеть эти трудности. У него было уникальное понимание экспериментальных и теоретических компонентов для разработки единой структуры в основе этой работы.

Исследователи хотят изучить применение этого протокола в технике федеративного обучения, когда несколько сторон используют свои данные для обучения центральной модели глубокого обучения. Его также можно использовать в квантовых операциях, что может обеспечить более высокую точность и безопасность по сравнению с классическими операциями.

Эта работа сочетает методы из разных областей: глубокое обучение и квантовое распределение ключей. Последнее обеспечивает безопасность, сохраняя при этом реалистичность. Это может быть полезно для защиты конфиденциальности в распределённых архитектурах.

Интересно посмотреть, как протокол покажет себя на практике, — говорит Элени Диаманти, научный руководитель CNRS в университете Сорбонна в Париже, которая не участвовала в этой работе.

28.09.2024