MOSAIC permite terceirizar inferência de transformers de 70B para servidores não confiáveis sem vazar dados
MOSAIC é um protocolo que permite terceirizar inferência de modelos de linguagem grandes, testado em 70B parâmetros, para servidores não confiáveis sem revelar dados nem pesos do modelo, usando mascaramento de multiplicação de matrizes com segurança baseada em suposições criptográficas padrão. O sistema tolera pequeno ruído controlado para ganhar desempenho e mantém qualidade comparável a métodos de quantização populares. A proposta aponta um caminho prático para computação confidencial de IA em escala, hoje dominada por enclaves de hardware caros.
Pesquisadores da área de computação confidencial (James Hsin-yu Chiang, Sheila Zingg, Kari Kostiainen e Srdjan Capkun) apresentaram o MOSAIC, um protocolo para terceirizar computação de IA de um cliente confiável mas computacionalmente fraco para um servidor não confiável mas poderoso, sem que o servidor aprenda nem os dados nem o modelo do cliente.
O núcleo técnico é um protocolo de mascaramento de multiplicação de matrizes que escala para matrizes muito maiores que trabalhos anteriores, permitindo inferência de transformers grandes — testado em modelos de 70 bilhões de parâmetros. A segurança se reduz a suposições criptográficas padrão (LWE e LPN decisionais), e o sistema tolera pequena perda de correção, via ruído controlado, para ganhar desempenho, usando um mecanismo de escalonamento de erro baseado em rotações de Hadamard aleatórias para impedir que o ruído se acumule camada após camada em um transformer profundo.
Isso importa porque hoje a 'computação confidencial' de IA em nuvem depende majoritariamente de enclaves de hardware (TEEs) caros ou lentos, ou de esquemas criptográficos que não escalam além de modelos pequenos. O MOSAIC mantém uma base de computação confiável mínima e distribui o grosso do cálculo para aceleradores não confiáveis, mostrando perplexidade comparável a métodos de quantização populares e paridade com inferência em precisão total em benchmarks de código — ou seja, privacidade a um custo de qualidade praticamente nulo.
Isso é relevante para organizações que precisam rodar modelos proprietários ou processar dados sensíveis em nuvens de terceiros, ou entre unidades de negócio que não confiam mutuamente entre si, sem abrir mão de desempenho. Ainda é uma implementação de prova de conceito, mas aponta uma direção concreta para computação confidencial de IA em escala, hoje decidida majoritariamente por enclaves de hardware (SGX, SEV, TDX) com suas limitações conhecidas de desempenho e superfície de ataque.