Mi az adatvédelmet megőrző gépi tanulás?

Egy csapat úgy dönt, hogy külső API hívása helyett saját szerverein futtat egy nyelvi modellt. Az indok az adatvédelem: az érzékeny adat maradjon házon belül, és soha ne kerüljön harmadik félhez. Az ösztön helyes, és az így nyert kontroll valódi, de hiányos is. Egy privát rekordokon tanított modellt rá lehet venni arra, hogy elárulja, benne volt-e egy adott személy rekordja a tanítóhalmazban. A nyers adatot soha nem szállító föderált frissítések visszafejthetők az őket előállító képekké. Egy nagy modell képes memorizálni és kiadni darabokat abból, amin tanult. Az adat otthon maradt, a modell mégis szivárgott.

Pontosan ezt a rést, a privátnak érződés és a bizonyíthatóan privát között, kezeli az adatvédelmet megőrző gépi tanulás. A szokásos gépi tanulási folyamat megköveteli, hogy a nyers adat elérhető legyen a tanítási infrastruktúra számára, ez pedig ütközik az adatvédelmi szabályozással, az adatszuverenitási követelményekkel és azokkal a partnerekkel, akik egyáltalán nem osztják meg az adathalmazaikat. Az adatvédelmet megőrző gépi tanulás az a technikacsalád, amely feloldja ezt az ütközést.

A hasznos megkülönböztetés az adatmozgást csökkentő technikák, a kimenetek felfedő erejét korlátozó technikák és az adatot a számítás közben is bizalmasan tartó technikák között húzódik. Az önálló üzemeltetés ezen kontrollok mellé áll, nem helyettük.

A rövid verzió

• Az adatvédelmet megőrző gépi tanulás (PPML) gyűjtőkategória, nem egyetlen módszer. Ez a cikk négy fő megközelítésre összpontosít: föderált tanulás, differenciális adatvédelem, homomorf titkosítás és biztonságos többrésztvevős számítás. PPML-rendszerekben más adatvédelmet erősítő architektúrák is megjelenhetnek, köztük a megbízható végrehajtási környezetek.
• A föderált tanulás önmagában nem ad formális adatvédelmi garanciát. A nyers adatot a forrásnál tartja, de a megosztott gradiensfrissítések olykor visszafejthetők tanítórekordokká. A differenciális adatvédelem gyakori módja annak, hogy formális szivárgási korlátot adjunk hozzá.
• A differenciális adatvédelem erősségét rendszerint az epszilon foglalja össze. A garancia a deltától, a védett egységtől és az adatvédelmi elszámolás módszerétől is függ. Egy gyenge paraméterekkel adott formális garancia papíron garancia marad, a gyakorlatban viszont színház.
• A homomorf titkosítás valós és lassú. A titkosított adaton végzett számítás működik, de a többletköltség ma egyszerűbb modellekre, késleltetéstűrő következtetésre és kísérleti finomhangolási folyamatokra korlátozza, nem pedig nagy modellek szokásos tanítására vagy teljes előtanítására.
• Egy modell saját üzemeltetése adatlokalizáció, nem PPML. Ha az adatot általad felügyelt infrastruktúrán tartod, azzal azt szabályozod, ki férhet hozzá. Azt nem, hogy maga a modell mit fedhet fel.

Hatókör-megjegyzés: ez fogalmi magyarázat, nem megvalósítási útmutató. Nem tárgyalja mélyen a könyvtárak beállítását, az epszilon megválasztását, a szabályozási megfelelést vagy a privát LLM-finomhangolást. Itt a cél a térkép. A lépésről lépésre útbaigazítás külön megvalósítási útmutatókba való.

Hogyan védi az adatokat az adatvédelmet megőrző gépi tanulás

Az adatvédelmet megőrző gépi tanulás gyűjtőfogalom azokra a módszerekre, amelyek csökkentik, korlátozzák vagy formálisan behatárolják az információ kiszivárgását a modelltanítás, a következtetés és az együttműködő elemzés során. Ez a cikk négy fő megközelítésre összpontosít: föderált tanulás, differenciális adatvédelem, homomorf titkosítás és biztonságos többrésztvevős számítás. Különböző eszközöket védenek különböző fenyegetésmodellek mellett, ezért nem kezelhetők felcserélhető garanciákként.

A probléma egyszerű: a szokásos ML-folyamatok általában feltételezik, hogy a tanítási folyamat hozzáfér a nyers rekordokhoz, miközben az adatvédelmi szabályozás, az adatszuverenitási követelmények és a partnerszerződések gyakran épp ezt tiltják. A négy család különbözőképpen válaszol erre a korlátra: vigyük a számítást az adathoz ahelyett, hogy az adatot vinnénk a számításhoz (föderált tanulás), adjunk kalibrált zajt, hogy a kimenetek kevesebbet áruljanak el bármelyik egyénről (differenciális adatvédelem), számoljunk titkosítva maradó adaton (homomorf titkosítás), vagy hagyjuk, hogy több fél közösen számoljon ki egy eredményt anélkül, hogy egymásnak megmutatná a nyers bemenetét (biztonságos többrésztvevős számítás).

A mögöttes kockázatot nyíltan kimondja a következő anyag: a Google felelős MI-útmutatója: a gépi tanulási modellek megjegyezhetik vagy felfedhetik azoknak az adatoknak a részleteit, amelyekkel találkoztak, és az adatvédelmi munka azért létezik, hogy erre védőkorlátot húzzon. A PPML pontosan ezt a kockázatot kezeli, és különbözik a puszta anonimizálástól, olyan okokból, amelyeket a következő szakasz tesz kézzelfoghatóvá.

Miért nem elég az anonimizálás?

Az anonimizált adat továbbra is újraazonosítható. Ha a nevek és a nyilvánvaló azonosítók kikerülnek egy adathalmazból, az csökkenti a szembeötlő kitettséget, de nem garantál adatvédelmet, amint az adat összekapcsolható külső információval. Ez a k-anonimitáshoz hasonló deidentifikációs megközelítések visszatérő gyengesége: adott feltevések mellett csökkenthetik az azonosíthatóságot, de nem adják meg azokat a formális garanciákat, amelyek a differenciális adatvédelemnél vagy a kriptográfiai PPML-módszereknél rendelkezésre állnak.

Ez a gyakorlati különbségtétel mindenkinek számít, akinek valaha azt mondták: „anonimizáltuk, szóval rendben vagyunk.” Az anonimizálás egy adathalmazra vonatkozó állítás, adott kontextusban és fenyegetésmodellben. Egy összekapcsolásos támadásnak nem kell titkosítást törnie vagy hozzáférés-vezérlést megkerülnie. Csak egy másik adathalmaz kell neki, amely átfed a tiéddel. Ezt mondja ki közvetlenül a következő anyag: a NIST deidentifikációs útmutatója, amely megjegyzi, hogy a deidentifikált adat kiegészítő adathalmazokkal összekapcsolva továbbra is újraazonosítható.

A differenciális adatvédelem olyat ad, amit a szokásos deidentifikáció nem: matematikai korlátot arra, hogy egyetlen személy adata mennyire befolyásolhat egy közzétett eredményt, adott adatvédelmi egység és fenyegetésmodell mellett. A homomorf titkosítás és az SMPC másfajta kriptográfiai bizalmasságot nyújt, a föderált tanulás pedig elsősorban azt változtatja meg, hol dolgozzák fel az adatot. Ezek a garanciák rokonok, de nem ugyanazok.

Hogyan működik a föderált tanulás, és miért nem elég önmagában?

A föderált tanulásban egy globális modellt kiküldenek helyi eszközökre vagy szerverekre, ott tanul az adott adaton, és csak a paraméterfrissítéseit küldi vissza a központba. Nyers adat soha nem mozdul. Ez valóban hasznos minta, és nagy léptékben fut éles üzemben. Ugyanakkor önmagában nem adatvédelmi garancia.

A mechanizmus modell-az-adathoz, nem pedig adat-a-modellhez. A Google Gboard-telepítése több mint 30 nyelvi modellt futtat közvetlenül az eszközön, több mint 7 nyelven és több mint 15 országban, olyan szövegen tanulva, amely soha nem hagyja el a telefont. Ez a föderált tanulás úgy, ahogy ígérték: a billentyűzet javul anélkül, hogy a Google begyűjtené, amit begépeltél.

A gond az, ami a frissítésekben utazik. A gradiensek információt hordoznak az őket előállító adatról, és ez az információ visszanyerhető. Zhu, Liu és Han ezt a következő munkában mutatta meg: Deep Leakage from Gradients (NeurIPS 2019), amelyben gradiensinverziós támadásokat mutattak be: ezek megosztott modellfrissítésekből nyerik vissza a privát tanítómintákat, kísérleteikben pixelpontos képvisszaállítással és szövegnél tokenszintű egyezéssel. A föderált tanulás csökkentette az adatmozgást. A szivárgás kockázatát nem szüntette meg.

Ha a cél az, hogy korlátot szabjunk annak, amit a részvétel felfedhet, a differenciális adatvédelem gyakori kiegészítés. A biztonságos aggregálás más kockázatot kezel: elrejti az egyes kliensek frissítéseit a koordináló szerver elől. A Gboard a föderált tanulást formális differenciális adatvédelemmel kombinálja, ahelyett hogy pusztán a föderációra hagyatkozna.

Megjegyzés: A föderált tanulást gyakran „privátnak” nevezik, mert a nyers adat a forrásnál marad. Ez a leírás félrevezető. További védelem nélkül a föderált frissítések elég jelet hordozhatnak ahhoz, hogy tanítórekordokat rekonstruáljanak belőlük. A DP-FL formális differenciális adatvédelmi garanciát ad hozzá, ahelyett hogy pusztán a föderációra támaszkodna. A föderáció önmagában adatkezelési döntés, nem adatvédelmi bizonyíték.

Mi a differenciális adatvédelem, és mit szabályoz valójában az epszilon?

A differenciális adatvédelem olyan matematikai definíció, amely korlátozza, mennyit változhat egy elemzés, ha egyetlen adatvédelmi egységet hozzáadunk vagy elveszünk. Sok mechanizmus kalibrált véletlenszerűség hozzáadásával éri el ezt a garanciát. Az epszilon egy látható paraméter, de az értelmes garancia függ az adatvédelmi egységtől, a DP-változattól és a további paraméterektől, például a deltától, valamint a kompozíciótól, az elszámolástól és a megvalósítás részleteitől is.

Az epszilont adatvédelmi költségkeretként írja le a következő anyag: az NVIDIA szószedete: az alacsonyabb érték erősebb adatvédelmet, de több zajt jelent, a magasabb megőrzi a pontosságot, cserébe gyengébb garanciákért. A differenciális adatvédelem mélytanulási tanítás közbeni alkalmazásának gyakori módja a DP-SGD, azaz a differenciálisan privát sztochasztikus gradiensereszkedés: vágjuk le minden mintánkénti gradienst egy korlátos méretre, adjunk hozzá kalibrált Gauss-zajt, majd aggregáljunk. A levágás korlátozza, mennyire befolyásolhatja a modellt egyetlen példa. A zaj elfedi a megmaradó befolyást.

Ez a keret elfogy. A mechanizmust a következő anyag írja le: a Tumult Analytics adatvédelmi keretekről szóló dokumentációja: egy védett adathalmazra futtatott minden lekérdezés elkölti az adatvédelmi keret egy részét. Az, hogy ezek a költések hogyan adódnak össze, a differenciális adatvédelem szokásos elmélete, amelyet a következő mű fejt ki: Dwork és Roth The Algorithmic Foundations of Differential Privacy című munkája: alapkompozíció mellett k darab, egyenként epszilon paraméterű lekérdezés összesen k-szor epszilon adatvédelmi veszteséget ad, a fejlett kompozíciós tételek pedig szorosabb korlátokat. Nem kapsz korlátlan kérdést. Kapsz egy keretet, és elköltöd.

A garancia gyakorlati értelmét tehát a paraméterválasztás dönti el. Egy lektorált kritika a gépi tanulás adatvédelmi megközelítéseiről amellett érvel, hogy a matematikai keretezés „objektív mázt” adhat, amellyel aztán fehérre mosnak egy projektet. Állítsd elég lazára az adatvédelmi paramétereket, és a garancia szinte értelmetlenné válhat, miközben a csapat továbbra is állíthatja, hogy teljesítette a differenciális adatvédelmet. A garancia valós. A gyakorlati ereje tervezési döntés.

Megjegyzés: Egy differenciális adatvédelmi garancia csak akkor jelent valamit, ha ismered az adatvédelmi paramétereket és a védett egységet. Egy nagyon magas epszilon, egy laza delta vagy egy homályos elszámolás miatt a technikailag érvényes garancia a gyakorlatban alig véd. A „ez a rendszer differenciális adatvédelmet használ” mondat önmagában szinte semmit nem árul el: a jelentést az adatvédelmi paraméterek hordozzák, az, hogy mire mérték őket, és az, hogyan állnak össze. Konkrét bevezetések teszik ezt kézzelfoghatóvá. A Google felhasználószintű, 1-es epszilont közöl a Provably Private Insights rendszeréhez, de ez egyetlen bevezetés választása egyetlen felhasználási esetre, nem másolandó szám.

Hogyan számol a homomorf titkosítás olyan adaton, amelyet soha nem fejt vissza?

A teljesen homomorf titkosítás (FHE) lehetővé teszi, hogy egy szerver közvetlenül titkosított adaton végezzen számításokat, és titkosított eredményt adjon vissza, amelyet csak az adat tulajdonosa tud visszafejteni. A szerver elvégzi a munkát anélkül, hogy valaha látná a nyílt szöveget. A terület egyik legerősebb adatvédelmi eszköze, de az ára a teljesítmény.

A hasznos hasonlat egy lezárt, beépített kesztyűs kesztyűbox: a dolgozó belenyúlhat és kezelheti a benne lévőt anélkül, hogy valaha kinyitná a dobozt vagy kivenné a tartalmát. Az egyetlen kulcs az adat tulajdonosánál van. A számítás a lezárt tartalmon történik, és csak a tulajdonos nyithatja ki a dobozt, hogy elolvassa az eredményt. Matematikailag ezt teszi az FHE: úgy dolgozik a rejtjelezett szövegen, hogy a kimenet visszafejtése ugyanazt a választ adja, mint amit a nyílt szövegen végzett számítás adott volna.

A bökkenő a költség. Concrete ML a Zamától scikit-learn és PyTorch modelleket alakít FHE-kompatibilis megfelelőikké anélkül, hogy a felhasználónak közvetlenül kriptográfiai primitívekkel kellene bajlódnia, és a v1.9 kiadása 2025. április 10-én jelent meg. A projekt saját mérései viszont megmutatják a többletköltséget: egy CIFAR10 képosztályozó hálózat FHE alatt nagyjából 4 percet fut képenként. Ez rendben van bizonyos késleltetéstűrő következtetéshez, egyszerűbb modellekhez és kísérleti titkosított finomhangoláshoz. Nagy modellek teljes előtanításához vagy szokásos tanítási terhelésekhez továbbra sem járható út. Az FHE ma egy szűk feladatkörre való precíziós eszköz, nem általános célú adatvédelmi réteg.

Mi a biztonságos többrésztvevős számítás a gépi tanulásban?

A biztonságos többrésztvevős számítás (SMPC) lehetővé teszi, hogy több fél közösen kiszámoljon egy függvényt az egyesített privát bemeneteik felett úgy, hogy egyik fél sem látja a többiek nyers adatát. Minden fél bemenete titok marad. Csak a megegyezés szerinti eredmény válik ismertté. Az SMPC felépíthető olyan technikákkal, mint a titokmegosztás, a torzított áramkörök, az öntudatlan átvitel és ezek kombinációi. A titokmegosztásos protokollokban a privát értékeket részekre osztják úgy, hogy egyetlen rész nem árulja el a bemenetet. A torzított áramköri protokollok másképp működnek: úgy kódolnak egy számítást, hogy a felek ki tudják értékelni anélkül, hogy felfednék privát bemenetüket.

A természetes felhasználási eset a szervezetek közötti együttműködés. Több kórház szeretne modellt tanítani az egyesített betegadataikon, de egyikük sem oszthatja meg jogszerűen a leleteket a többiekkel. Az SMPC révén úgy számolhatják ki a közös modellt, mintha az adat egy helyre lenne gyűjtve, miközben minden kórház leletei az adott kórházon belül maradnak lezárva. Az SMPC többletköltsége erősen függ a protokolltól, a biztonsági modelltől, a hálózati körülményektől, a felek számától és a kiértékelt függvénytől. Sok protokoll kommunikációigényes, ezért a teljesítményt az adott együttműködésen kell mérni, nem pedig általánosan rangsorolni a differenciális adatvédelemmel vagy az FHE-vel szemben. Pontosan ezt a mintát tárgyalja az egészségügyi gépi tanulásra nézve egy 2025-ös áttekintő tanulmány a WIREs Computational Statistics folyóiratban.

Kiszivárogtathatja-e egy gépi tanulási modell a tanítóadatait?

Igen. Egy betanított modell többféle úton is elárulhatja a tanítóadatait: a tagsági következtetés felfedi, hogy egy adott rekord szerepelt-e a tanítóhalmazban, a modellinverzió és a gradiensszivárgás rekonstruálni tudja a rekordokat, a nagy nyelvi modellek pedig szó szerint megjegyezhetik és kiadhatják a tanítóadataik darabjait. Ezek nem feltevések. Bemutatott támadások, és éppen miattuk léteznek a fenti technikák.

Az alapvető eredmény a tagsági következtetés. Shokri és munkatársai a Membership Inference Attacks Against Machine Learning Models (IEEE S&P 2017) című munkában megmutatták, hogy egy támadó, aki a modell előrejelzési viselkedését figyeli, meg tudja állapítani, hogy egy adott rekord része volt-e a tanítóhalmaznak. Ez elvontan hangzik egészen addig, amíg a tanítóhalmaz nem „egy adott diagnózisú betegek”. Ekkor maga a tagság a bizalmas tény. A modellinverzió és a korábban tárgyalt gradiensszivárgásos támadások ezt a „szerepelt-e ez a rekord” kérdésről a „rekonstruáld a rekordot” szintre emelik.

A frontvonal a nagy nyelvi modellek, és itt illeszkednek a legrosszabbul a régebbi PPML-keretrendszerek. Az arról szóló kutatás, hogy az LLM-ek kiadják a tanítóadatokat a nagy modellek megjegyzik a tanítókorpuszuk részleteit, és rá lehet bírni őket, hogy visszaadják, kinyerési támadásokkal, amelyek szó szerinti és csaknem szó szerinti tanítóadatot állítanak helyre. A DP-SGD alkalmazható privát finomhangolásra, de a pontossági és számítási költség nagy modellek méretében súlyos, és részben ezért az Apple 2026-os PPML-workshopja egy egész szekciót szentelt az alapmodelleknek és az adatvédelemnek. Azok a védelmek, amelyek egy logisztikus regressziós osztályozónál tisztán működnek, nem vihetők át ingyen egy milliárdos paraméterszámú modellre.

PPML és saját üzemeltetésű MI: mit ad a helyi következtetés, és mit nem

Ha saját magad üzemelteted a modellt, az adatod az általad felügyelt infrastruktúrán marad. Ez valódi nyereség hozzáférés-vezérlésben és adatlokalizációban: az adat nem utazik harmadik félhez, és te döntöd el, ki érheti el a gépet, amelyen fut. Ez azonban nem adatvédelmet megőrző gépi tanulás. A helyi következtetés önmagában semmit nem tesz a modell elleni tagsági következtetés ellen, és nem akadályozza meg, hogy a modell felfedje, amit megjegyzett.

A kettő a probléma más-más felét oldja meg, és összemosásuk gyakori hiba ezen a területen. Az adatlokalizáció azt szabályozza, ki férhet az adathoz: ez kerületi kérdés, amelyre az a válasz, hol laknak a bájtok, és kinél van a szoba kulcsa. A PPML azt szabályozza, mit fedhet fel maga a modell: ez információszivárgási kérdés, amelyre a fenti négy technika a válasz. Ha a modellt a saját szervereden futtatod, az az első kérdésre erős válasz, a másodikra pedig egyáltalán nem válasz.

Ha az a kérdés, amit mérlegelsz, hogy egyáltalán magad futtasd-e a modellt, akkor a döntés költségoldala önálló elemzést kíván: lásd Egy nyílt súlyú LLM saját üzemeltetése vs. egy API: a valós költségmatek.

Platform- vagy infrastruktúra-mérnök szemével az üzemeltetési olvasat ez: az „a saját szerverünkön fut” kielégíthet néhány adatlokalizációs és hozzáférés-vezérlési követelményt, de önmagában nem korlátozza, mit fedhet fel a modell. Ha a modellt vagy a kimeneteit valaha megosztják, akár csapatok között, akár partnerekkel, akár egy termékben, a hardver köré épített kerület nem megy ki az ajtón a modellel együtt. Azok az architektúradöntések mozdítják el ténylegesen a garanciát, amelyek a PPML-hez tartoznak: differenciális adatvédelem a közzétett kimeneteken, DP-FL a nem központosítható telephelyek közötti tanításhoz, titkosításalapú számítás ott, ahol az adat még a saját infrastruktúrád előtt sem tárható fel. A Google Provably Private Insights bevezetése épp azért tanulságos, mert több kontrollt kombinál, differenciális adatvédelmet, megbízható végrehajtási környezeteket és bizalmas föderált analitikát, ahelyett hogy bármelyikre egymagában támaszkodna. A lokalizáció része egy valódi architektúrának. Nem az egésze.

Mikor melyik PPML-technikát érdemes használni?

A választás logikája a korlátot követi, nem a divatot. Föderált tanulást akkor használj, ha az adat nem központosítható. Differenciális adatvédelmet akkor, ha formális garancia kell arra, mit fed fel a modell. Homomorf titkosítást akkor, ha a számításnak soha vissza nem fejtett adaton kell történnie, és a késleltetés ezt megengedi. Biztonságos többrésztvevős számítást akkor, ha több félnek közösen kell számolnia anélkül, hogy megosztanák a bemeneteiket.

A technikák kombinálhatók is. A DP-FL a legvilágosabb példa: a kontrollokat a rendszer által igényelt garanciák szerint válaszd, ne pedig egyetlen technikába kényszerítsd a problémát.

A kompromisszumok egy pillantásra:

Ezek a jellemzések a következő forrásból származnak: 2026 márciusi, IoT-fókuszú PPML-áttekintés, a Zama Concrete ML méréseiből és az újraazonosítási szakirodalomból.

A táblázat csak kiindulópont. A valódi rendszerek gyakran kombinálják a technikákat: egy telephelyek közötti tanítási feladat, amely formális adatvédelmi garanciát is igényel, rendszerint DP-FL-feladat, nem pedig választás a föderált tanulás és a differenciális adatvédelem között. Aki szigorúbban akarja strukturálni a döntést, végigdolgozhatja a fejlesztőknek szóló strukturált döntéstámogató keretrendszert , amely 2024 végén jelent meg.

Ami az eszközöket illeti: a TensorFlow Federated nyílt forráskódú keretrendszert ad föderált tanuláshoz és decentralizált adatokon végzett számításokhoz. A TensorFlow Privacy differenciálisan privát tanítási segédeszközöket ad, a Google Differential Privacy könyvtárai a differenciálisan privát statisztikát és aggregálást fedik le, a Concrete ML pedig az FHE-utat kínálja. A PySyft ma szélesebben a magánszférát megőrző távoli adattudományra összpontosít, ahol a számítások a tulajdonosnál maradó adaton futnak, és csak jóváhagyott eredményeket osztanak meg. Ezek a nevek, és ezt csinálják. A telepítés külön megvalósítási útmutatókba való, nem ide. A visszatérő tanulság az, hogy a matematika stimmelhet, miközben a megvalósítás mégis megbukik. A garancia csak akkor számít, ha a rendszert a megfelelő fenyegetésmodell köré tervezték, és az adatvédelmi paraméterek illeszkednek a védendő kockázathoz.

Gyakran ismételt kérdések

Mit jelent a PPML?

Az adatvédelmet megőrző gépi tanulás gyűjtőfogalom azokra a módszerekre, amelyek a gépi tanulás során csökkentik, korlátozzák vagy formálisan behatárolják az információ kiszivárgását. A fő megközelítések közé tartozik a föderált tanulás, a differenciális adatvédelem, a homomorf titkosítás és a biztonságos többrésztvevős számítás, de más-más eszközt védenek és másfajta garanciákat adnak.

Elég a föderált tanulás a magánszféra védelméhez?

Nem. A föderált tanulás a nyers adatot a forrásnál tartja, de az általa megosztott paraméterfrissítések gradiensinverziós támadásokkal visszafejthetők tanítórekordokká. Önmagában semmilyen formális adatvédelmi garanciát nem ad. A differenciális adatvédelem hozzátehet egy formális szivárgási korlátot, és így jön létre a rendszerint DP-FL néven emlegetett kombináció.

Milyen epszilonértéket használjak a differenciális adatvédelemhez?

Nincs egyetemes érték. Az epszilon az adatvédelem és a pontosság közötti átváltás egyik fő paramétere: az alacsonyabb értékek általában erősebb adatvédelmet és több zajt jelentenek, a magasabbak általában gyengébb adatvédelmet és kevesebb zajt. A helyes beállítás az adat érzékenységétől és az elfogadható kockázattól függ. Nincs olyan egyetemes küszöb, amely egy epszilonértéket „biztonságossá” tenne. Az epszilont az adatvédelmi egységgel, a DP-változattal és a további paraméterekkel, például a deltával, a kompozíciós módszerrel és a rendszer fenyegetésmodelljével együtt értékeld.

Mi a különbség a PPML és az anonimizálás között?

Az anonimizálás eltávolítja az azonosítókat egy adathalmazból, de az anonimizált rekordok újraazonosíthatók, ha más forrásokból származó kiegészítő adatokkal kapcsolják össze őket. Egyes PPML-technikák olyan formális garanciákat adnak, amilyeneket a szokásos anonimizálás nem. A differenciális adatvédelem korlátozni tudja, mennyire befolyásolja egy személy adata a közzétett eredményt, az FHE és az SMPC pedig a kriptográfiai bizalmasság más formáit nyújtja.

Ki lehet nyerni tanítóadatot egy gépi tanulási modellből?

Igen. A tagsági következtetéses támadások felfedik, hogy egy adott rekord szerepelt-e a tanítóhalmazban, a modellinverzió és a gradiensszivárgás rekonstruálni tudja a rekordokat, a nagy nyelvi modellek pedig szó szerint megjegyezhetik és kiadhatják a tanítóadatokat. Ezek a biztonsági szakirodalomban dokumentált, bemutatott támadások, nem elméleti kockázatok.

Garantálja-e az adatvédelmet, ha magad üzemelteted a modellt?

Nem. A saját üzemeltetés az általad felügyelt infrastruktúrán tartja az adatot, ami hozzáférés-vezérlés és adatlokalizáció, valódi nyereség annak szabályozásában, ki férhet az adathoz. De ez nem adatvédelmet megőrző gépi tanulás, és nem állítja meg sem a tagsági következtetést, sem a memorizálásból eredő szivárgást. Jól kiegészíti a PPML-technikákat, de nem helyettesíti őket.

Milyen nyílt forráskódú eszközök léteznek az adatvédelmet megőrző gépi tanuláshoz?

Több nyílt forráskódú eszköz fedi le a PPML különböző részeit. A TensorFlow Federated támogatja a föderált tanulást és a decentralizált adatokon végzett számításokat, a TensorFlow Privacy differenciálisan privát tanítási segédeszközöket ad, a Concrete ML pedig az FHE-alapú gépi tanulást fedi le. A PySyft ma a magánszférát megőrző távoli adattudományra összpontosít, ahol a számítások a tulajdonos által felügyelt adaton futnak, és csak jóváhagyott eredményeket osztanak meg.