Máy học bảo toàn quyền riêng tư là gì?

Một nhóm quyết định chạy mô hình ngôn ngữ trên máy chủ của chính mình thay vì gọi API bên ngoài. Động lực là quyền riêng tư: giữ dữ liệu nhạy cảm trong nội bộ, không bao giờ trao cho bên thứ ba. Bản năng đó là đúng, và quyền kiểm soát nó mang lại là có thật, nhưng cũng chưa đủ. Một mô hình huấn luyện trên hồ sơ riêng tư có thể bị dẫn dụ để tiết lộ liệu hồ sơ của một người cụ thể có nằm trong tập huấn luyện hay không. Các bản cập nhật federated không bao giờ mang dữ liệu thô vẫn có thể bị đảo ngược thành chính những hình ảnh đã tạo ra chúng. Một mô hình lớn có thể ghi nhớ và phát ra từng mảng nội dung mà nó được huấn luyện. Dữ liệu vẫn ở nhà, còn mô hình thì vẫn rò rỉ.

Chính khoảng cách đó, giữa cảm giác riêng tư và sự riêng tư chứng minh được, là điều mà máy học bảo toàn quyền riêng tư giải quyết. Pipeline máy học tiêu chuẩn đòi hỏi hạ tầng huấn luyện truy cập được dữ liệu thô, điều này va chạm với quy định về quyền riêng tư, với yêu cầu chủ quyền dữ liệu, và với các đối tác hoàn toàn không chia sẻ tập dữ liệu. Máy học bảo toàn quyền riêng tư là họ kỹ thuật giải quyết va chạm đó.

Sự phân biệt hữu ích nằm giữa các kỹ thuật giảm việc di chuyển dữ liệu, các kỹ thuật giới hạn những gì đầu ra có thể tiết lộ, và các kỹ thuật giữ dữ liệu bí mật trong lúc tính toán. Tự vận hành đứng cạnh những biện pháp đó chứ không thay thế chúng.

Phiên bản ngắn gọn

• Máy học bảo toàn quyền riêng tư (PPML) là một nhóm rộng, không phải một phương pháp duy nhất. Bài viết này tập trung vào bốn hướng tiếp cận chính: federated learning, differential privacy, mã hóa đồng cấu và secure multi-party computation. Các kiến trúc tăng cường quyền riêng tư khác, bao gồm trusted execution environment, cũng có thể xuất hiện trong hệ thống PPML.
• Riêng federated learning không cung cấp bảo đảm quyền riêng tư mang tính hình thức. Nó giữ dữ liệu thô tại nguồn, nhưng các bản cập nhật gradient được chia sẻ đôi khi có thể bị đảo ngược thành bản ghi huấn luyện. Differential privacy là cách phổ biến để bổ sung một giới hạn rò rỉ mang tính hình thức.
• Sức mạnh của differential privacy thường được tóm gọn bằng epsilon. Bảo đảm này còn phụ thuộc vào delta, vào đơn vị được bảo vệ và vào phương pháp hạch toán quyền riêng tư. Một bảo đảm hình thức với tham số yếu vẫn là bảo đảm trên giấy và chỉ là màn diễn trên thực tế.
• Mã hóa đồng cấu là có thật và chậm. Tính toán trên dữ liệu đã mã hóa là khả thi, nhưng chi phí phụ trội hiện giới hạn nó ở các mô hình đơn giản hơn, suy luận chấp nhận độ trễ và các quy trình fine-tuning thử nghiệm, chứ không phải huấn luyện mô hình lớn thông thường hay pretraining đầy đủ.
• Tự vận hành một mô hình là bản địa hóa dữ liệu, không phải PPML. Giữ dữ liệu trên hạ tầng bạn kiểm soát sẽ quyết định ai có thể chạm tới nó. Nó không quyết định chính mô hình có thể tiết lộ những gì.

Ghi chú về phạm vi: đây là bài giải thích khái niệm, không phải hướng dẫn triển khai. Bài viết không đi sâu vào cài đặt thư viện, chọn epsilon, tuân thủ quy định hay fine-tuning LLM riêng tư. Mục tiêu ở đây là tấm bản đồ. Chỉ dẫn từng bước thuộc về các hướng dẫn triển khai riêng.

Máy học bảo toàn quyền riêng tư bảo vệ dữ liệu như thế nào

Máy học bảo toàn quyền riêng tư là thuật ngữ bao trùm cho các phương pháp làm giảm, hạn chế hoặc đặt giới hạn hình thức lên mức phơi lộ thông tin trong huấn luyện mô hình, suy luận và phân tích cộng tác. Bài viết này tập trung vào bốn hướng chính: federated learning, differential privacy, mã hóa đồng cấu và secure multi-party computation. Chúng bảo vệ những tài sản khác nhau dưới những mô hình đe dọa khác nhau, nên không thể coi là các bảo đảm thay thế cho nhau.

Vấn đề rất đơn giản: các pipeline ML tiêu chuẩn thường giả định quá trình huấn luyện truy cập được bản ghi thô, trong khi quy định về quyền riêng tư, yêu cầu chủ quyền dữ liệu và thỏa thuận với đối tác lại thường ngăn chính quyền truy cập đó. Bốn họ kỹ thuật trả lời ràng buộc này theo những cách khác nhau: đưa tính toán đến chỗ dữ liệu thay vì đưa dữ liệu đến chỗ tính toán (federated learning), thêm nhiễu đã hiệu chỉnh để đầu ra tiết lộ ít hơn về bất kỳ cá nhân nào (differential privacy), tính toán trên dữ liệu vẫn ở dạng mã hóa (mã hóa đồng cấu), hoặc để nhiều bên cùng tính ra một kết quả mà không phơi bày đầu vào thô cho nhau (secure multi-party computation).

Rủi ro nền tảng được nêu thẳng thắn trong hướng dẫn về AI có trách nhiệm của Google: các mô hình máy học có thể nhớ hoặc để lộ những phần dữ liệu mà chúng từng tiếp xúc, và công việc về quyền riêng tư tồn tại để dựng hàng rào quanh chuyện đó. PPML xử lý đúng rủi ro này, và nó khác với ẩn danh hóa thông thường, vì những lý do mà phần tiếp theo sẽ làm rõ.

Vì sao ẩn danh hóa là chưa đủ?

Dữ liệu đã ẩn danh vẫn có thể bị tái định danh. Bỏ tên và các định danh hiển nhiên khỏi một tập dữ liệu làm giảm mức phơi lộ dễ thấy, nhưng không bảo đảm quyền riêng tư một khi dữ liệu đó có thể được liên kết với thông tin bên ngoài. Đó là điểm yếu lặp đi lặp lại của các cách tiếp cận khử định danh như k-anonymity: chúng có thể giảm khả năng nhận dạng dưới những giả định cụ thể, nhưng không cung cấp bảo đảm hình thức như differential privacy hay các phương pháp PPML dựa trên mật mã.

Sự phân biệt thực tế này quan trọng với bất kỳ ai từng nghe câu "chúng tôi đã ẩn danh rồi, nên không sao đâu". Ẩn danh hóa là một tuyên bố về một tập dữ liệu trong một bối cảnh và mô hình đe dọa cụ thể. Một cuộc tấn công liên kết không cần phá mã hóa hay vượt qua kiểm soát truy cập. Nó chỉ cần một tập dữ liệu khác giao nhau với tập của bạn. Điều đó được nói thẳng trong hướng dẫn khử định danh của NIST, trong đó lưu ý rằng dữ liệu đã khử định danh vẫn có thể bị tái định danh bằng cách liên kết với các tập dữ liệu phụ trợ.

Differential privacy mang lại điều mà khử định danh thông thường không có: một giới hạn toán học về mức độ dữ liệu của một cá nhân có thể ảnh hưởng đến kết quả được công bố, dưới một đơn vị riêng tư và mô hình đe dọa đã xác định. Mã hóa đồng cấu và SMPC cung cấp những dạng bảo mật mật mã khác, còn federated learning chủ yếu thay đổi nơi dữ liệu được xử lý. Các bảo đảm này có liên quan với nhau, nhưng không giống nhau.

Federated learning hoạt động ra sao, và vì sao riêng nó là chưa đủ?

Trong federated learning, một mô hình toàn cục được gửi tới các thiết bị hoặc máy chủ cục bộ, huấn luyện trên dữ liệu nằm sẵn ở đó, rồi chỉ trả về trung tâm các bản cập nhật tham số. Dữ liệu thô không bao giờ di chuyển. Đây là một mô thức thực sự hữu ích và đang chạy sản xuất ở quy mô lớn. Nó cũng, tự thân nó, không phải là một bảo đảm về quyền riêng tư.

Cơ chế ở đây là đưa mô hình đến dữ liệu, chứ không phải đưa dữ liệu đến mô hình. Triển khai Gboard của Google chạy hơn 30 mô hình ngôn ngữ ngay trên thiết bị, trải khắp hơn 7 ngôn ngữ và hơn 15 quốc gia, huấn luyện trên văn bản không bao giờ rời khỏi điện thoại. Đó là federated learning hoạt động đúng như quảng cáo: bàn phím tốt lên mà Google không thu thập những gì bạn gõ.

Vấn đề nằm ở thứ đi cùng các bản cập nhật. Gradient mang theo thông tin về dữ liệu đã tạo ra chúng, và thông tin đó có thể được khôi phục. Zhu, Liu và Han đã chỉ ra điều này trong Deep Leakage from Gradients (NeurIPS 2019), trình bày các cuộc tấn công đảo ngược gradient khôi phục được mẫu huấn luyện riêng tư từ các bản cập nhật mô hình được chia sẻ, với ảnh khôi phục chính xác đến từng pixel và văn bản khớp đến từng token trong thí nghiệm của họ. Federated learning đã giảm việc di chuyển dữ liệu. Nó không loại bỏ được rủi ro rò rỉ.

Nếu mục tiêu là giới hạn những gì việc tham gia có thể tiết lộ, differential privacy là phần bổ sung phổ biến. Tổng hợp an toàn xử lý một rủi ro khác, bằng cách giấu bản cập nhật của từng client khỏi máy chủ điều phối. Gboard kết hợp federated learning với differential privacy hình thức thay vì chỉ dựa vào việc liên kết.

Lưu ý: Federated learning thường được mô tả là "riêng tư" vì dữ liệu thô ở lại nguồn. Cách mô tả đó gây hiểu lầm. Không có lớp bảo vệ bổ sung, các bản cập nhật federated có thể mang đủ tín hiệu để dựng lại bản ghi huấn luyện. DP-FL bổ sung một bảo đảm differential privacy hình thức thay vì chỉ dựa vào việc liên kết. Bản thân việc liên kết là một lựa chọn về cách xử lý dữ liệu, không phải bằng chứng về quyền riêng tư.

Differential privacy là gì, và epsilon thực sự kiểm soát điều gì?

Differential privacy là một định nghĩa toán học giới hạn mức độ thay đổi của một phân tích khi thêm vào hoặc bớt đi một đơn vị riêng tư. Nhiều cơ chế đạt được bảo đảm đó bằng cách thêm tính ngẫu nhiên đã hiệu chỉnh. Epsilon là một tham số dễ thấy, nhưng một bảo đảm có ý nghĩa còn phụ thuộc vào đơn vị riêng tư, vào biến thể DP và các tham số bổ sung như delta, cộng với phép hợp thành, cách hạch toán và chi tiết triển khai.

Epsilon được mô tả là ngân sách quyền riêng tư trong bảng thuật ngữ của NVIDIA: giá trị thấp hơn nghĩa là quyền riêng tư mạnh hơn nhưng nhiều nhiễu hơn, giá trị cao hơn giữ được độ chính xác nhưng đánh đổi bằng bảo đảm yếu hơn. Một cách phổ biến để áp dụng differential privacy trong huấn luyện học sâu là DP-SGD, tức stochastic gradient descent có bảo đảm riêng tư: cắt ngưỡng gradient của từng mẫu về một kích thước giới hạn, thêm nhiễu Gaussian đã hiệu chỉnh, rồi mới tổng hợp. Việc cắt ngưỡng giới hạn mức ảnh hưởng của bất kỳ mẫu nào lên mô hình. Nhiễu che đi phần ảnh hưởng còn lại.

Ngân sách đó bị tiêu hao. Cơ chế này được mô tả trong tài liệu của Tumult Analytics về ngân sách quyền riêng tư: mỗi truy vấn lên một tập dữ liệu được bảo vệ đều tiêu tốn một phần ngân sách quyền riêng tư. Cách các khoản tiêu đó cộng dồn là lý thuyết differential privacy tiêu chuẩn, được trình bày trong The Algorithmic Foundations of Differential Privacy của Dwork và Roth: với phép hợp thành cơ bản, k truy vấn mỗi cái ở tham số epsilon cộng lại thành tổng mức mất riêng tư bằng k nhân epsilon, còn các định lý hợp thành nâng cao cho giới hạn chặt hơn. Bạn không có số câu hỏi vô hạn. Bạn có một ngân sách, và bạn đang tiêu nó.

Vì vậy chính lựa chọn tham số quyết định bảo đảm đó có ý nghĩa trên thực tế hay không. Một bài phê bình các cách tiếp cận quyền riêng tư trong máy học lập luận rằng cách đóng khung toán học có thể tạo ra một "lớp sơn khách quan" rồi được dùng để tẩy trắng một dự án. Đặt tham số riêng tư đủ lỏng và bảo đảm gần như trở nên vô nghĩa, trong khi đội ngũ vẫn có thể tuyên bố họ đã đáp ứng differential privacy. Bảo đảm đó là có thật. Sức mạnh thực tế của nó là một lựa chọn thiết kế.

Lưu ý: Một bảo đảm differential privacy chỉ có ý nghĩa khi bạn biết các tham số riêng tư và đơn vị mà chúng bảo vệ. Một epsilon rất cao, một delta lỏng lẻo, hay cách hạch toán mù mờ đều có thể khiến một bảo đảm hợp lệ về mặt kỹ thuật chẳng bảo vệ được bao nhiêu trên thực tế. Đọc câu "hệ thống này dùng differential privacy" gần như không cho bạn biết điều gì: phần mang ý nghĩa chính là các tham số riêng tư, chúng được đo trên cái gì, và chúng hợp thành ra sao. Những triển khai cụ thể làm điều này trở nên rõ ràng. Google báo cáo epsilon bằng 1 ở mức người dùng cho hệ thống Provably Private Insights của họ, nhưng đó là lựa chọn của một triển khai cho một tình huống, không phải con số để chép lại.

Mã hóa đồng cấu tính toán thế nào trên dữ liệu mà nó không bao giờ giải mã?

Mã hóa đồng cấu toàn phần (FHE) cho phép máy chủ chạy tính toán trực tiếp trên dữ liệu đã mã hóa và trả về kết quả đã mã hóa mà chỉ chủ sở hữu dữ liệu mới giải mã được. Máy chủ làm việc mà không bao giờ nhìn thấy bản rõ. Đây là một trong những công cụ bảo mật mạnh nhất trong lĩnh vực này, nhưng cái giá phải trả là hiệu năng.

Phép so sánh hữu ích là một hộp găng khóa kín có găng tay gắn sẵn: người thao tác có thể thò tay vào và xử lý thứ bên trong mà không bao giờ mở hộp hay lấy đồ ra. Chủ sở hữu dữ liệu giữ chiếc chìa khóa duy nhất. Việc tính toán diễn ra trên phần nội dung được niêm phong, và chỉ chủ sở hữu mới mở hộp ra để đọc kết quả. Đó chính là điều FHE làm về mặt toán học: thao tác trên bản mã sao cho khi giải mã đầu ra sẽ ra đúng đáp án như khi tính trên bản rõ.

Vướng mắc nằm ở chi phí. Concrete ML của Zama chuyển các mô hình scikit-learn và PyTorch thành phiên bản tương đương tương thích FHE mà người dùng không phải làm việc trực tiếp với các nguyên thủy mật mã, và bản phát hành v1.9 ra mắt ngày 10 tháng 4 năm 2025. Nhưng chính các phép đo của dự án cho thấy chi phí phụ trội: một mạng phân loại ảnh CIFAR10 chạy dưới FHE mất khoảng 4 phút mỗi ảnh. Con số đó ổn với một số tác vụ suy luận chấp nhận độ trễ, với các mô hình đơn giản hơn và với fine-tuning mã hóa mang tính thử nghiệm. Nó vẫn chưa phải con đường khả thi cho pretraining đầy đủ mô hình lớn hay các khối lượng huấn luyện mô hình lớn thông thường. FHE hôm nay là một dụng cụ chính xác cho một nhóm công việc hẹp, không phải một lớp bảo mật đa dụng.

Secure multi-party computation trong máy học là gì?

Secure multi-party computation (SMPC) cho phép nhiều bên cùng tính một hàm trên đầu vào riêng tư gộp lại của họ mà không bên nào nhìn thấy dữ liệu thô của bên kia. Đầu vào của mỗi bên vẫn giữ bí mật. Chỉ kết quả đã thỏa thuận mới được biết. SMPC có thể được xây dựng bằng các kỹ thuật như chia sẻ bí mật, mạch bị xáo, chuyển giao vô thức, và các tổ hợp của chúng. Trong giao thức chia sẻ bí mật, giá trị riêng tư được tách thành các phần sao cho một phần đơn lẻ không làm lộ đầu vào. Giao thức mạch bị xáo hoạt động theo cách khác: chúng mã hóa một phép tính để các bên có thể đánh giá nó mà không cần tiết lộ đầu vào riêng tư.

Tình huống tự nhiên nhất là hợp tác liên tổ chức. Nhiều bệnh viện muốn huấn luyện một mô hình trên dữ liệu bệnh nhân gộp lại, nhưng không bên nào được phép chia sẻ hồ sơ cho bên kia theo luật. SMPC cho phép họ tính ra mô hình chung như thể dữ liệu đã được gom vào một chỗ, trong khi hồ sơ của từng bệnh viện vẫn niêm phong bên trong bệnh viện đó. Chi phí phụ trội của SMPC phụ thuộc rất nhiều vào giao thức, mô hình an ninh, điều kiện mạng, số bên tham gia và hàm đang được tính. Nhiều giao thức tốn rất nhiều giao tiếp, nên hiệu năng phải được đo trên chính sự hợp tác cụ thể đó thay vì xếp hạng chung chung so với differential privacy hay FHE. Đúng mô thức này trong máy học y tế được bàn tới trong một bài tổng quan năm 2025 trên WIREs Computational Statistics.

Một mô hình máy học có thể làm rò rỉ dữ liệu huấn luyện của nó không?

Có. Một mô hình đã huấn luyện có thể phản bội dữ liệu huấn luyện của nó theo vài cách khác nhau: suy luận thành viên tiết lộ liệu một bản ghi cụ thể có nằm trong tập huấn luyện hay không, đảo ngược mô hình và rò rỉ gradient có thể dựng lại bản ghi, còn các mô hình ngôn ngữ lớn có thể ghi nhớ và nhả ra nguyên văn từng mảng dữ liệu huấn luyện. Đây không phải giả thuyết. Đây là những cuộc tấn công đã được chứng minh, và chúng là lý do các kỹ thuật ở trên tồn tại.

Kết quả nền tảng là suy luận thành viên. Shokri và cộng sự, trong Membership Inference Attacks Against Machine Learning Models (IEEE S&P 2017), đã chỉ ra rằng kẻ tấn công quan sát hành vi dự đoán của một mô hình có thể xác định liệu một bản ghi nhất định có nằm trong tập huấn luyện hay không. Điều đó nghe trừu tượng cho tới khi tập huấn luyện là "những bệnh nhân có một chẩn đoán cụ thể", lúc ấy chính tư cách thành viên mới là dữ kiện nhạy cảm. Đảo ngược mô hình và các cuộc tấn công rò rỉ gradient đã bàn ở trên mở rộng chuyện này từ "bản ghi này có mặt không" thành "hãy dựng lại bản ghi đó".

Tuyến đầu là các mô hình ngôn ngữ lớn, và đó cũng là nơi các khung PPML cũ hơn khớp kém nhất. Nghiên cứu về các LLM nhả ra dữ liệu huấn luyện ghi nhận rằng các mô hình lớn ghi nhớ từng phần kho ngữ liệu huấn luyện và có thể bị nhắc để tái tạo lại, với các cuộc tấn công trích xuất khôi phục được dữ liệu huấn luyện nguyên văn và gần nguyên văn. DP-SGD có thể áp dụng cho fine-tuning riêng tư, nhưng cái giá về độ chính xác và tính toán ở quy mô mô hình lớn là rất nặng, và đó là một phần lý do vì sao hội thảo PPML 2026 của Apple đã dành hẳn một nhánh chương trình cho foundation model và quyền riêng tư. Những biện pháp phòng vệ chạy gọn ghẽ với một bộ phân loại hồi quy logistic không tự động chuyển sang được một mô hình hàng tỷ tham số.

PPML và AI tự vận hành: suy luận cục bộ mua được gì cho bạn và không mua được gì

Tự vận hành một mô hình giữ dữ liệu của bạn trên hạ tầng bạn kiểm soát. Đó là một chiến thắng thật sự về kiểm soát truy cập và bản địa hóa dữ liệu: dữ liệu không đi tới bên thứ ba, và bạn quyết định ai chạm được vào cỗ máy đang chạy nó. Tuy nhiên đó không phải máy học bảo toàn quyền riêng tư. Suy luận cục bộ tự thân nó không làm gì để chặn suy luận thành viên nhắm vào mô hình, và cũng không ngăn mô hình tiết lộ những gì nó đã ghi nhớ.

Hai thứ này giải hai nửa khác nhau của vấn đề, và trộn lẫn chúng là sai lầm phổ biến trong lĩnh vực này. Bản địa hóa dữ liệu chi phối việc ai có thể chạm tới dữ liệu: đó là câu hỏi về vành đai, được trả lời bằng chỗ các byte nằm ở đâu và ai giữ chìa khóa căn phòng. PPML chi phối việc chính mô hình có thể tiết lộ gì, một câu hỏi về rò rỉ thông tin, được trả lời bằng bốn kỹ thuật ở trên. Chạy mô hình trên máy chủ của chính mình là câu trả lời mạnh cho câu hỏi thứ nhất, và hoàn toàn không phải câu trả lời cho câu hỏi thứ hai.

Nếu câu hỏi bạn đang cân nhắc là có nên tự chạy mô hình hay không, thì mặt chi phí của quyết định đó là một phân tích riêng: xem Tự Host Một LLM Open-Weight vs. Một API: Phép Toán Chi Phí Thực Sự.

Với một kỹ sư nền tảng hay hạ tầng, cách đọc mang tính vận hành là thế này: câu "nó chạy trên máy chủ của chúng tôi" có thể đáp ứng một số yêu cầu về bản địa hóa dữ liệu và kiểm soát truy cập, nhưng tự thân nó không ràng buộc được mô hình có thể tiết lộ những gì. Nếu mô hình hoặc đầu ra của nó có lúc nào đó được chia sẻ, dù giữa các nhóm, với đối tác hay trong một sản phẩm, thì vành đai bạn dựng quanh phần cứng không đi theo mô hình ra khỏi cửa. Các lựa chọn kiến trúc thực sự dịch chuyển được bảo đảm là các lựa chọn PPML: differential privacy trên đầu ra bạn công bố, DP-FL cho việc huấn luyện xuyên các cơ sở không thể tập trung hóa, tính toán dựa trên mã hóa ở nơi dữ liệu không được phơi bày ngay cả với hạ tầng của chính bạn. Triển khai Provably Private Insights của Google đáng học hỏi chính vì nó kết hợp nhiều biện pháp, gồm differential privacy, trusted execution environment và phân tích federated bảo mật, thay vì dựa vào riêng một thứ nào. Bản địa hóa là một phần của kiến trúc thật sự. Nó không phải toàn bộ kiến trúc.

Khi nào nên dùng kỹ thuật PPML nào?

Logic chọn lựa đi theo ràng buộc, không đi theo mốt. Dùng federated learning khi dữ liệu không thể tập trung hóa. Dùng differential privacy khi bạn cần một bảo đảm hình thức về những gì mô hình tiết lộ. Dùng mã hóa đồng cấu khi việc tính toán buộc phải diễn ra trên dữ liệu không bao giờ được giải mã và độ trễ vẫn chấp nhận được. Dùng secure multi-party computation khi nhiều bên phải cùng tính toán mà không chia sẻ đầu vào của mình.

Các kỹ thuật này còn kết hợp được với nhau. DP-FL là ví dụ rõ nhất: hãy chọn biện pháp theo những bảo đảm mà hệ thống cần, thay vì ép bài toán vào một kỹ thuật duy nhất.

Các đánh đổi nhìn thoáng qua:

Những mô tả đó được rút ra từ một bài tổng quan PPML tập trung vào IoT tháng 3 năm 2026, từ các phép đo Concrete ML của Zama, và từ tài liệu về tái định danh.

Bảng này chỉ là điểm khởi đầu. Hệ thống thực tế thường kết hợp nhiều kỹ thuật: một bài toán huấn luyện xuyên cơ sở mà còn cần bảo đảm riêng tư hình thức thì thường là bài toán DP-FL, chứ không phải chuyện chọn giữa federated learning và differential privacy. Người đọc muốn cấu trúc hóa quyết định chặt chẽ hơn có thể đi qua khung hỗ trợ ra quyết định có cấu trúc dành cho lập trình viên , công bố cuối năm 2024.

Về công cụ, TensorFlow Federated cung cấp một framework mã nguồn mở cho federated learning và các phép tính trên dữ liệu phi tập trung. TensorFlow Privacy cung cấp các tiện ích huấn luyện có bảo đảm riêng tư, các thư viện Differential Privacy của Google bao quát thống kê và tổng hợp có bảo đảm riêng tư, còn Concrete ML lo phần FHE. PySyft nay tập trung rộng hơn vào khoa học dữ liệu từ xa bảo toàn quyền riêng tư, nơi các phép tính chạy trên dữ liệu do chủ sở hữu giữ và chỉ những kết quả được duyệt mới chia sẻ ra ngoài. Đó là tên gọi và việc chúng làm. Phần cài đặt thuộc về các hướng dẫn triển khai riêng, không phải ở đây. Bài học lặp đi lặp lại là toán học có thể đúng trong khi phần hiện thực vẫn hỏng. Bảo đảm chỉ có ý nghĩa nếu hệ thống được thiết kế quanh đúng mô hình đe dọa và các tham số riêng tư khớp với rủi ro đang được bảo vệ.

Câu hỏi thường gặp

PPML nghĩa là gì?

Máy học bảo toàn quyền riêng tư là thuật ngữ bao trùm cho các phương pháp làm giảm, hạn chế hoặc đặt giới hạn hình thức lên mức phơi lộ thông tin trong quá trình máy học. Các hướng tiếp cận chính gồm federated learning, differential privacy, mã hóa đồng cấu và secure multi-party computation, nhưng chúng bảo vệ những tài sản khác nhau và đưa ra những loại bảo đảm khác nhau.

Federated learning có đủ để bảo vệ quyền riêng tư không?

Không. Federated learning giữ dữ liệu thô tại nguồn, nhưng các bản cập nhật tham số mà nó chia sẻ có thể bị đảo ngược thành bản ghi huấn luyện qua các cuộc tấn công đảo ngược gradient. Tự thân nó không cung cấp bảo đảm riêng tư hình thức nào. Differential privacy có thể bổ sung một giới hạn rò rỉ hình thức, tạo ra tổ hợp thường được gọi là DP-FL.

Nên dùng giá trị epsilon nào cho differential privacy?

Không có giá trị phổ quát. Epsilon là một trong những tham số chính của sự đánh đổi giữa quyền riêng tư và độ chính xác: giá trị thấp hơn thường nghĩa là riêng tư mạnh hơn và nhiều nhiễu hơn, còn giá trị cao hơn thường nghĩa là riêng tư yếu hơn và ít nhiễu hơn. Thiết lập đúng phụ thuộc vào mức nhạy cảm của dữ liệu và mức rủi ro bạn chấp nhận được. Không có ngưỡng phổ quát nào khiến một giá trị epsilon trở nên "an toàn". Hãy đánh giá epsilon cùng với đơn vị riêng tư, biến thể DP và các tham số bổ sung như delta, phương pháp hợp thành, và mô hình đe dọa của hệ thống.

PPML khác ẩn danh hóa ở chỗ nào?

Ẩn danh hóa loại bỏ các định danh khỏi một tập dữ liệu, nhưng bản ghi đã ẩn danh vẫn có thể bị tái định danh bằng cách liên kết với dữ liệu phụ trợ từ nguồn khác. Một số kỹ thuật PPML cung cấp bảo đảm hình thức mà ẩn danh hóa thông thường không có. Differential privacy có thể giới hạn mức độ dữ liệu của một cá nhân ảnh hưởng đến kết quả được công bố, còn FHE và SMPC cung cấp những dạng bảo mật mật mã khác.

Có thể trích xuất dữ liệu huấn luyện từ một mô hình máy học không?

Có. Các cuộc tấn công suy luận thành viên tiết lộ liệu một bản ghi cụ thể có nằm trong tập huấn luyện hay không, đảo ngược mô hình và rò rỉ gradient có thể dựng lại bản ghi, còn các mô hình ngôn ngữ lớn có thể ghi nhớ và nhả ra nguyên văn dữ liệu huấn luyện. Đây là những cuộc tấn công đã được chứng minh và ghi nhận trong tài liệu an ninh, không phải rủi ro giả định.

Tự vận hành một mô hình có bảo đảm quyền riêng tư dữ liệu không?

Không. Tự vận hành giữ dữ liệu trên hạ tầng bạn kiểm soát, tức là kiểm soát truy cập và bản địa hóa dữ liệu, một thắng lợi thật sự cho việc quản trị ai chạm tới được dữ liệu. Nhưng đó không phải máy học bảo toàn quyền riêng tư, và nó không chặn được suy luận thành viên hay rò rỉ do ghi nhớ. Nó phối hợp tốt với các kỹ thuật PPML nhưng không thay thế chúng.

Có những công cụ mã nguồn mở nào cho máy học bảo toàn quyền riêng tư?

Một số công cụ mã nguồn mở phụ trách những phần khác nhau của PPML. TensorFlow Federated hỗ trợ federated learning và tính toán trên dữ liệu phi tập trung, TensorFlow Privacy cung cấp tiện ích huấn luyện có bảo đảm riêng tư, còn Concrete ML lo phần máy học với FHE. PySyft nay tập trung vào khoa học dữ liệu từ xa bảo toàn quyền riêng tư, nơi các phép tính chạy trên dữ liệu do chủ sở hữu kiểm soát và chỉ những kết quả được duyệt mới chia sẻ ra ngoài.