Czym jest uczenie maszynowe chroniące prywatność?

Zespół decyduje się uruchomić model językowy na własnych serwerach zamiast wywoływać zewnętrzne API. Motywacją jest prywatność: trzymać wrażliwe dane u siebie i nigdy nie oddawać ich stronie trzeciej. Ten instynkt jest słuszny, a kontrola, którą daje, jest realna, ale jest też niepełna. Model wytrenowany na prywatnych rekordach można skłonić do ujawnienia, czy rekord konkretnej osoby znalazł się w zbiorze treningowym. Federacyjne aktualizacje, które nigdy nie przenoszą surowych danych, można odwrócić z powrotem do obrazów, które je wytworzyły. Duży model potrafi zapamiętać i wypluć fragmenty tego, na czym go trenowano. Dane zostały w domu, a model i tak przeciekł.

To właśnie tę lukę, między poczuciem prywatności a prywatnością dowodliwą, adresuje uczenie maszynowe chroniące prywatność. Standardowy potok uczenia maszynowego wymaga, by surowe dane były dostępne dla infrastruktury treningowej, a to zderza się z regulacjami prywatności, z wymogami suwerenności danych i z partnerami, którzy w ogóle nie udostępnią swoich zbiorów. Uczenie maszynowe chroniące prywatność to rodzina technik rozwiązujących to zderzenie.

Użyteczne rozróżnienie przebiega między technikami ograniczającymi przepływ danych, technikami wyznaczającymi granicę tego, co mogą ujawnić wyniki, oraz technikami utrzymującymi poufność danych w trakcie obliczeń. Samodzielny hosting staje obok tych zabezpieczeń, a nie zamiast nich.

Krótka wersja

• Uczenie maszynowe chroniące prywatność (PPML) to kategoria zbiorcza, a nie jedna metoda. Ten artykuł skupia się na czterech głównych podejściach: uczeniu federacyjnym, prywatności różnicowej, szyfrowaniu homomorficznym i bezpiecznych obliczeniach wielostronnych. W systemach PPML mogą pojawić się także inne architektury wzmacniające prywatność, w tym zaufane środowiska wykonawcze.
• Samo uczenie federacyjne nie daje formalnej gwarancji prywatności. Trzyma surowe dane u źródła, ale udostępniane aktualizacje gradientów da się czasem odwrócić z powrotem do rekordów treningowych. Prywatność różnicowa to typowy sposób dodania formalnej granicy wycieku.
• Siłę prywatności różnicowej zwykle podsumowuje epsilon. Gwarancja zależy też od delty, od chronionej jednostki i od metody rozliczania prywatności. Formalna gwarancja ze słabymi parametrami wciąż jest gwarancją na papierze, a w praktyce teatrem.
• Szyfrowanie homomorficzne jest realne i powolne. Obliczenia na zaszyfrowanych danych działają, ale narzut ogranicza je dziś do prostszych modeli, wnioskowania tolerującego opóźnienia i eksperymentalnych przepływów dostrajania, a nie do zwykłego trenowania dużych modeli czy pełnego pretrenowania.
• Samodzielny hosting modelu to lokalizacja danych, a nie PPML. Trzymanie danych na infrastrukturze, którą kontrolujesz, decyduje o tym, kto może do nich sięgnąć. Nie decyduje o tym, co może ujawnić sam model.

Uwaga o zakresie: to wyjaśnienie pojęciowe, nie przewodnik wdrożeniowy. Nie omawia dogłębnie konfiguracji bibliotek, doboru epsilona, zgodności regulacyjnej ani prywatnego dostrajania LLM. Celem jest tu mapa. Wskazówki krok po kroku należą do osobnych przewodników wdrożeniowych.

Jak uczenie maszynowe chroniące prywatność zabezpiecza dane

Uczenie maszynowe chroniące prywatność to termin zbiorczy na metody, które zmniejszają, ograniczają lub formalnie wyznaczają granicę ujawnienia informacji w trakcie trenowania modeli, wnioskowania i wspólnej analizy. Ten artykuł skupia się na czterech głównych podejściach: uczeniu federacyjnym, prywatności różnicowej, szyfrowaniu homomorficznym i bezpiecznych obliczeniach wielostronnych. Chronią różne zasoby w różnych modelach zagrożeń, więc nie należy traktować ich jak wymiennych gwarancji.

Problem jest prosty: standardowe potoki ML zwykle zakładają, że proces treningowy ma dostęp do surowych rekordów, podczas gdy regulacje prywatności, wymogi suwerenności danych i umowy z partnerami często ten dostęp blokują. Cztery rodziny odpowiadają na to ograniczenie na różne sposoby: przenieść obliczenia do danych zamiast danych do obliczeń (uczenie federacyjne), dodać skalibrowany szum, by wyniki mówiły mniej o pojedynczej osobie (prywatność różnicowa), liczyć na danych, które pozostają zaszyfrowane (szyfrowanie homomorficzne), albo pozwolić kilku stronom wspólnie obliczyć wynik bez ujawniania sobie nawzajem surowych danych wejściowych (bezpieczne obliczenia wielostronne).

Leżące u podstaw ryzyko wprost opisano w dokumencie wytyczne Google dotyczące odpowiedzialnej AI: modele uczenia maszynowego mogą zapamiętać lub ujawnić fragmenty danych, z którymi się zetknęły, a praca nad prywatnością istnieje po to, by postawić wokół tego zabezpieczenia. PPML odpowiada na to ryzyko i różni się od zwykłej anonimizacji z powodów, które kolejna sekcja czyni konkretnymi.

Dlaczego anonimizacja nie wystarcza?

Zanonimizowane dane wciąż da się ponownie zidentyfikować. Usunięcie nazwisk i oczywistych identyfikatorów ze zbioru zmniejsza widoczne narażenie, ale nie gwarantuje prywatności, gdy tylko dane można powiązać z informacją z zewnątrz. To powracająca słabość podejść deidentyfikacyjnych takich jak k-anonimowość: potrafią obniżyć identyfikowalność przy określonych założeniach, lecz nie dają formalnych gwarancji dostępnych w technikach takich jak prywatność różnicowa czy kryptograficzne metody PPML.

To praktyczne rozróżnienie ma znaczenie dla każdego, komu powiedziano: „zanonimizowaliśmy to, więc jest dobrze”. Anonimizacja to twierdzenie o zbiorze danych w określonym kontekście i modelu zagrożeń. Atak przez powiązanie nie musi łamać szyfrowania ani omijać kontroli dostępu. Potrzebuje tylko innego zbioru, który pokrywa się z twoim. Wprost mówi o tym dokument wytyczne NIST dotyczące deidentyfikacji, w którym zaznaczono, że dane pozbawione identyfikatorów wciąż da się ponownie zidentyfikować przez powiązanie ich ze zbiorami pomocniczymi.

Prywatność różnicowa daje coś, czego zwykła deidentyfikacja nie daje: matematyczną granicę tego, jak mocno dane jednej osoby mogą wpłynąć na opublikowany wynik, przy zdefiniowanej jednostce prywatności i modelu zagrożeń. Szyfrowanie homomorficzne i SMPC zapewniają inne rodzaje poufności kryptograficznej, a uczenie federacyjne zmienia przede wszystkim to, gdzie dane są przetwarzane. Te gwarancje są pokrewne, ale nie są tym samym.

Jak działa uczenie federacyjne i dlaczego samo nie wystarcza?

W uczeniu federacyjnym globalny model jest wysyłany na lokalne urządzenia albo serwery, trenuje się na leżących tam danych i odsyła do centrum wyłącznie aktualizacje swoich parametrów. Surowe dane nigdy się nie przemieszczają. To naprawdę użyteczny wzorzec i działa produkcyjnie na dużą skalę. Sam w sobie nie jest też gwarancją prywatności.

Mechanizm polega na przenoszeniu modelu do danych, a nie danych do modelu. Wdrożenie Gboard od Google uruchamia ponad 30 modeli językowych bezpośrednio na urządzeniu, w ponad 7 językach i ponad 15 krajach, trenując na tekście, który nigdy nie opuszcza telefonu. To uczenie federacyjne działające zgodnie z obietnicą: klawiatura staje się lepsza, a Google nie zbiera tego, co napisałeś.

Problemem jest to, co podróżuje w aktualizacjach. Gradienty niosą informację o danych, które je wytworzyły, a tę informację da się odzyskać. Zhu, Liu i Han pokazali to w pracy Deep Leakage from Gradients (NeurIPS 2019), pokazując ataki inwersji gradientu, które odtwarzają prywatne przykłady treningowe z udostępnianych aktualizacji modelu, w ich eksperymentach z odtworzeniem obrazów dokładnym co do piksela i dopasowaniem tekstu co do tokenu. Uczenie federacyjne ograniczyło przepływ danych. Nie wyeliminowało ryzyka wycieku.

Jeśli celem jest ograniczenie tego, co może ujawnić samo uczestnictwo, prywatność różnicowa jest typowym dodatkiem. Bezpieczna agregacja adresuje inne ryzyko: ukrywa pojedyncze aktualizacje klientów przed serwerem koordynującym. Gboard łączy uczenie federacyjne z formalną prywatnością różnicową, zamiast polegać wyłącznie na federacji.

Uwaga: Uczenie federacyjne bywa opisywane jako „prywatne”, bo surowe dane zostają u źródła. Ten opis wprowadza w błąd. Bez dodatkowej ochrony federacyjne aktualizacje mogą nieść dość sygnału, by odtworzyć rekordy treningowe. DP-FL dodaje formalną gwarancję prywatności różnicowej zamiast polegać wyłącznie na federacji. Sama federacja to decyzja o obchodzeniu się z danymi, a nie dowód prywatności.

Czym jest prywatność różnicowa i czym właściwie steruje epsilon?

Prywatność różnicowa to matematyczna definicja wyznaczająca granicę tego, jak bardzo analiza może się zmienić, gdy doda się lub usunie jedną jednostkę prywatności. Wiele mechanizmów osiąga tę gwarancję, dodając skalibrowaną losowość. Epsilon to jeden widoczny parametr, ale sensowna gwarancja zależy też od jednostki prywatności, od wariantu DP i dodatkowych parametrów takich jak delta, a także od kompozycji, rozliczania i szczegółów implementacji.

Epsilon opisano jako budżet prywatności w dokumencie słowniczek NVIDIA: niższe wartości oznaczają silniejszą prywatność, ale więcej szumu, wyższe zachowują dokładność kosztem słabszych gwarancji. Typowy sposób stosowania prywatności różnicowej podczas trenowania sieci głębokich to DP-SGD, czyli różnicowo prywatny stochastyczny spadek gradientu: przytnij gradient każdej próbki do ograniczonego rozmiaru, dodaj skalibrowany szum gaussowski, a potem agreguj. Przycinanie ogranicza, jak bardzo pojedynczy przykład może wpłynąć na model. Szum przesłania wpływ, który pozostał.

Ten budżet się zużywa. Mechanizm opisano w dokumencie dokumentacja Tumult Analytics dotycząca budżetów prywatności: każde zapytanie do chronionego zbioru danych wydaje część budżetu prywatności. To, jak te wydatki się sumują, jest standardową teorią prywatności różnicowej, wyłożoną w książce The Algorithmic Foundations of Differential Privacy autorstwa Dwork i Rotha: przy kompozycji podstawowej k zapytań, każde z parametrem epsilon, sumuje się do całkowitej straty prywatności równej k razy epsilon, a twierdzenia o kompozycji zaawansowanej dają ciaśniejsze ograniczenia. Nie masz nieograniczonej liczby pytań. Masz budżet i go wydajesz.

To zatem dobór parametrów decyduje, czy gwarancja ma w praktyce znaczenie. Recenzowana krytyka podejść do prywatności w uczeniu maszynowym dowodzi, że matematyczne ujęcie potrafi nadać „pozór obiektywności”, którym potem wybiela się projekt. Ustaw parametry prywatności dostatecznie słabo, a gwarancja może stać się niemal pusta, podczas gdy zespół wciąż może twierdzić, że spełnił prywatność różnicową. Gwarancja jest realna. Jej praktyczna siła to decyzja projektowa.

Uwaga: Gwarancja prywatności różnicowej ma znaczenie tylko wtedy, gdy znasz parametry prywatności i jednostkę, którą chronią. Bardzo wysoki epsilon, luźna delta albo niejasne rozliczanie potrafią sprawić, że technicznie poprawna gwarancja daje w praktyce niewiele ochrony. Zdanie „ten system używa prywatności różnicowej” samo w sobie nie mówi prawie nic: sens niosą parametry prywatności, to, na czym je mierzono, i to, jak się składają. Konkretne wdrożenia czynią to namacalnym. Google podaje epsilon równy 1 na poziomie użytkownika dla swojego systemu Provably Private Insights, ale to wybór jednego wdrożenia dla jednego przypadku użycia, a nie liczba do przepisania.

Jak szyfrowanie homomorficzne liczy na danych, których nigdy nie odszyfrowuje?

W pełni homomorficzne szyfrowanie (FHE) pozwala serwerowi wykonywać obliczenia bezpośrednio na zaszyfrowanych danych i zwracać zaszyfrowany wynik, który odszyfrować może tylko właściciel danych. Serwer wykonuje pracę, nie widząc nigdy tekstu jawnego. To jedno z najsilniejszych narzędzi prywatności w tej dziedzinie, ale ceną jest wydajność.

Użyteczna analogia to zamknięta komora rękawicowa z wbudowanymi rękawicami: pracownik może sięgnąć do środka i manipulować zawartością, nigdy nie otwierając komory ani nie wyjmując zawartości. Jedyny klucz ma właściciel danych. Obliczenie odbywa się na zapieczętowanej zawartości, a otworzyć komorę i odczytać wynik może tylko właściciel. To właśnie robi FHE matematycznie: operuje na szyfrogramie tak, że odszyfrowanie wyniku daje tę samą odpowiedź, którą dałoby obliczenie na tekście jawnym.

Haczyk tkwi w koszcie. Concrete ML od Zamy przekształca modele scikit-learn i PyTorch w odpowiedniki zgodne z FHE, nie zmuszając użytkownika do pracy wprost na prymitywach kryptograficznych, a wydanie v1.9 ukazało się 10 kwietnia 2025 roku. Ale własne benchmarki projektu pokazują narzut: sieć klasyfikacji obrazów CIFAR10 działa pod FHE w tempie około 4 minut na obraz. To wystarcza dla części wnioskowania tolerującego opóźnienia, dla prostszych modeli i dla eksperymentalnego szyfrowanego dostrajania. Wciąż nie jest to praktyczna droga do pełnego pretrenowania dużych modeli ani do zwykłych obciążeń treningowych. FHE jest dziś narzędziem precyzyjnym dla wąskiego zestawu zadań, a nie uniwersalną warstwą prywatności.

Czym są bezpieczne obliczenia wielostronne w uczeniu maszynowym?

Bezpieczne obliczenia wielostronne (SMPC) pozwalają kilku stronom wspólnie obliczyć funkcję na połączonych prywatnych danych wejściowych, tak by żadna strona nie widziała surowych danych pozostałych. Wejście każdej strony pozostaje tajne. Znany staje się tylko uzgodniony wynik. SMPC można zbudować na technikach takich jak dzielenie sekretu, obwody zaciemnione, transfer nieświadomy i ich kombinacje. W protokołach dzielenia sekretu prywatne wartości są dzielone na udziały tak, że pojedynczy udział nie ujawnia wejścia. Protokoły obwodów zaciemnionych działają inaczej: kodują obliczenie tak, by strony mogły je wykonać bez ujawniania swoich prywatnych danych wejściowych.

Naturalnym zastosowaniem jest współpraca między organizacjami. Kilka szpitali chce wytrenować model na połączonych danych pacjentów, ale żaden nie może legalnie udostępnić dokumentacji pozostałym. SMPC pozwala im obliczyć wspólny model tak, jakby dane były zebrane razem, podczas gdy dokumentacja każdego szpitala pozostaje zapieczętowana u niego. Narzut SMPC mocno zależy od protokołu, modelu bezpieczeństwa, warunków sieciowych, liczby stron i ocenianej funkcji. Wiele protokołów jest komunikacyjnie kosztownych, więc wydajność trzeba mierzyć wobec konkretnej współpracy, a nie ustawiać ogólnie w rankingu wobec prywatności różnicowej czy FHE. Dokładnie ten wzorzec dla uczenia maszynowego w ochronie zdrowia omawia przegląd z 2025 roku w WIREs Computational Statistics.

Czy model uczenia maszynowego może wyciec swoje dane treningowe?

Tak. Wytrenowany model może zdradzić swoje dane treningowe na kilka odrębnych sposobów: wnioskowanie o przynależności ujawnia, czy konkretny rekord był w zbiorze treningowym, inwersja modelu i wyciek gradientów potrafią odtworzyć rekordy, a duże modele językowe potrafią zapamiętać i dosłownie wypluć fragmenty swoich danych treningowych. To nie hipotezy. To zademonstrowane ataki i to one są powodem, dla którego powyższe techniki istnieją.

Fundamentalnym wynikiem jest wnioskowanie o przynależności. Shokri i współpracownicy w pracy Membership Inference Attacks Against Machine Learning Models (IEEE S&P 2017) pokazali, że atakujący obserwujący zachowanie predykcyjne modelu potrafi ustalić, czy dany rekord należał do zbioru treningowego. Brzmi to abstrakcyjnie, dopóki zbiorem treningowym nie są „pacjenci z określoną diagnozą”. Wtedy to właśnie przynależność jest wrażliwym faktem. Inwersja modelu i omówione wcześniej ataki wycieku gradientów rozszerzają to z „czy ten rekord tam był” do „odtwórz ten rekord”.

Granicą są duże modele językowe i to właśnie tam starsze ramy PPML pasują najgorzej. Badania nad tym, że LLM-y wypluwają dane treningowe duże modele zapamiętują fragmenty swojego korpusu treningowego i można je nakłonić do ich odtworzenia, dokumentują ataki ekstrakcji odzyskujące dosłowne i niemal dosłowne dane treningowe. DP-SGD można zastosować do prywatnego dostrajania, ale koszt dokładności i obliczeń w skali dużych modeli jest dotkliwy, co po części tłumaczy, dlaczego warsztaty PPML 2026 firmy Apple poświęciły całą ścieżkę modelom fundamentalnym i prywatności. Zabezpieczenia, które działają czysto dla klasyfikatora regresji logistycznej, nie przenoszą się za darmo na model z miliardami parametrów.

PPML i AI hostowana u siebie: co daje lokalne wnioskowanie, a czego nie

Samodzielny hosting modelu trzyma twoje dane na infrastrukturze, którą kontrolujesz. To realna wygrana w kontroli dostępu i lokalizacji danych: dane nie wędrują do strony trzeciej, a ty decydujesz, kto może sięgnąć do maszyny, na której to działa. Nie jest to jednak uczenie maszynowe chroniące prywatność. Lokalne wnioskowanie samo w sobie nie robi nic przeciw wnioskowaniu o przynależności wymierzonemu w model i nie powstrzymuje modelu przed ujawnieniem tego, co zapamiętał.

Każde z nich rozwiązuje inną połowę problemu, a mylenie ich to częsty błąd w tej dziedzinie. Lokalizacja danych rządzi tym, kto może sięgnąć do danych: to pytanie o perymetr, na które odpowiada to, gdzie leżą bajty i kto ma klucze do pomieszczenia. PPML rządzi tym, co może ujawnić sam model: to pytanie o wyciek informacji, na które odpowiadają cztery powyższe techniki. Uruchomienie modelu na własnym serwerze to mocna odpowiedź na pierwsze pytanie i żadna odpowiedź na drugie.

Jeśli rozważasz, czy w ogóle uruchamiać model samodzielnie, kosztowa strona tej decyzji to osobna analiza: zobacz Samodzielne hostowanie LLM na otwartych wagach kontra API: prawdziwa matematyka kosztów.

Dla inżyniera platformy albo infrastruktury operacyjny wniosek brzmi tak: „to działa na naszym własnym serwerze” może spełnić część wymogów lokalizacji danych i kontroli dostępu, ale samo w sobie nie ogranicza tego, co model może ujawnić. Jeśli model albo jego wyniki kiedykolwiek zostaną udostępnione, między zespołami, partnerom czy w produkcie, perymetr zbudowany wokół sprzętu nie wyjdzie za drzwi razem z modelem. Decyzje architektoniczne, które naprawdę przesuwają gwarancję, to te z obszaru PPML: prywatność różnicowa na publikowanych wynikach, DP-FL do trenowania w lokalizacjach, których nie da się scentralizować, obliczenia oparte na szyfrowaniu tam, gdzie danych nie wolno odsłonić nawet własnej infrastrukturze. Wdrożenie Provably Private Insights od Google jest pouczające właśnie dlatego, że łączy kilka zabezpieczeń, czyli prywatność różnicową, zaufane środowiska wykonawcze i poufną analitykę federacyjną, zamiast polegać na jednym. Lokalizacja jest częścią prawdziwej architektury. Nie jest całą architekturą.

Kiedy stosować którą technikę PPML?

Logika wyboru podąża za ograniczeniem, a nie za modą. Uczenia federacyjnego użyj, gdy danych nie da się scentralizować. Prywatności różnicowej użyj, gdy potrzebujesz formalnej gwarancji co do tego, co ujawnia model. Szyfrowania homomorficznego użyj, gdy obliczenie musi odbyć się na danych, które nigdy nie są odszyfrowywane, a opóźnienie na to pozwala. Bezpiecznych obliczeń wielostronnych użyj, gdy kilka stron musi liczyć wspólnie bez dzielenia się swoimi danymi wejściowymi.

Techniki także się składają. DP-FL to najjaśniejszy przykład: dobieraj zabezpieczenia zgodnie z gwarancjami, których potrzebuje system, zamiast wciskać problem w jedną technikę.

Kompromisy w skrócie:

Te charakterystyki pochodzą z przeglądu PPML skupionego na IoT z marca 2026 roku, z benchmarków Concrete ML od Zamy oraz z literatury o ponownej identyfikacji.

Tabela to tylko punkt wyjścia. Prawdziwe systemy często łączą techniki: problem trenowania w wielu lokalizacjach, który dodatkowo wymaga formalnej gwarancji prywatności, to zwykle problem DP-FL, a nie wybór między uczeniem federacyjnym a prywatnością różnicową. Kto chce ustrukturyzować tę decyzję ściślej, może przepracować ustrukturyzowane ramy wspomagania decyzji dla programistów opublikowane pod koniec 2024 roku.

Co do narzędzi: TensorFlow Federated daje otwartoźródłowy framework do uczenia federacyjnego i obliczeń na zdecentralizowanych danych. TensorFlow Privacy dostarcza narzędzia do różnicowo prywatnego trenowania, biblioteki Differential Privacy od Google obejmują różnicowo prywatną statystykę i agregację, a Concrete ML zapewnia ścieżkę FHE. PySyft skupia się dziś szerzej na zdalnej nauce o danych chroniącej prywatność, gdzie obliczenia działają na danych pozostających u właściciela, a udostępniane są tylko zatwierdzone wyniki. To są nazwy i to, co robią. Konfiguracja należy do osobnych przewodników wdrożeniowych, nie tutaj. Powracająca lekcja brzmi: matematyka może się zgadzać, a implementacja i tak zawodzi. Gwarancja ma znaczenie tylko wtedy, gdy system zaprojektowano wokół właściwego modelu zagrożeń, a parametry prywatności odpowiadają chronionemu ryzyku.

Często zadawane pytania

Co oznacza PPML?

Uczenie maszynowe chroniące prywatność to termin zbiorczy na metody, które w trakcie uczenia maszynowego zmniejszają, ograniczają lub formalnie wyznaczają granicę ujawnienia informacji. Główne podejścia to uczenie federacyjne, prywatność różnicowa, szyfrowanie homomorficzne i bezpieczne obliczenia wielostronne, ale chronią one różne zasoby i dają różne rodzaje gwarancji.

Czy uczenie federacyjne wystarczy, by chronić prywatność?

Nie. Uczenie federacyjne trzyma surowe dane u źródła, ale udostępniane aktualizacje parametrów da się odwrócić z powrotem do rekordów treningowych za pomocą ataków inwersji gradientu. Samo w sobie nie daje żadnej formalnej gwarancji prywatności. Prywatność różnicowa może dołożyć formalną granicę wycieku, tworząc kombinację zwykle nazywaną DP-FL.

Jakiej wartości epsilon użyć dla prywatności różnicowej?

Nie ma wartości uniwersalnej. Epsilon to jeden z głównych parametrów kompromisu między prywatnością a dokładnością: niższe wartości zwykle oznaczają silniejszą prywatność i więcej szumu, wyższe zwykle słabszą prywatność i mniej szumu. Właściwe ustawienie zależy od wrażliwości danych i od ryzyka, które możesz przyjąć. Nie istnieje uniwersalny próg, który czyniłby wartość epsilona „bezpieczną”. Oceniaj epsilon łącznie z jednostką prywatności, wariantem DP i dodatkowymi parametrami takimi jak delta, metodą kompozycji oraz modelem zagrożeń systemu.

Jaka jest różnica między PPML a anonimizacją?

Anonimizacja usuwa identyfikatory ze zbioru danych, ale zanonimizowane rekordy da się ponownie zidentyfikować przez powiązanie ich z danymi pomocniczymi z innych źródeł. Część technik PPML daje formalne gwarancje, których zwykła anonimizacja nie zapewnia. Prywatność różnicowa potrafi ograniczyć, jak bardzo dane jednej osoby wpływają na opublikowany wynik, a FHE i SMPC zapewniają inne formy poufności kryptograficznej.

Czy da się wydobyć dane treningowe z modelu uczenia maszynowego?

Tak. Ataki wnioskowania o przynależności ujawniają, czy konkretny rekord był w zbiorze treningowym, inwersja modelu i wyciek gradientów potrafią odtworzyć rekordy, a duże modele językowe potrafią zapamiętać i dosłownie wypluć dane treningowe. To zademonstrowane ataki udokumentowane w literaturze bezpieczeństwa, a nie hipotetyczne ryzyka.

Czy samodzielny hosting modelu gwarantuje prywatność danych?

Nie. Samodzielny hosting trzyma dane na infrastrukturze, którą kontrolujesz, czyli zapewnia kontrolę dostępu i lokalizację danych, realną wygraną w zarządzaniu tym, kto może do danych sięgnąć. Nie jest to jednak uczenie maszynowe chroniące prywatność i nie powstrzymuje ani wnioskowania o przynależności, ani wycieków wynikających z zapamiętania. Dobrze łączy się z technikami PPML, ale ich nie zastępuje.

Jakie narzędzia open source istnieją dla uczenia maszynowego chroniącego prywatność?

Kilka narzędzi open source pokrywa różne części PPML. TensorFlow Federated wspiera uczenie federacyjne i obliczenia na zdecentralizowanych danych, TensorFlow Privacy dostarcza narzędzia do różnicowo prywatnego trenowania, a Concrete ML obejmuje uczenie maszynowe z FHE. PySyft skupia się dziś na zdalnej nauce o danych chroniącej prywatność, gdzie obliczenia działają na danych kontrolowanych przez ich właściciela, a udostępniane są tylko zatwierdzone wyniki.