Ataque com d+1 consultas quebra confidencialidade de modelos em esquemas de inferência privada híbrida com FHE
Pesquisadores quebram por completo a proteção baseada em permutação e ruído usada em esquemas recentes de inferência híbrida com criptografia homomórfica (FHE), mostrando que bastam d+1 consultas para recuperar exatamente cada camada linear de um modelo, incluindo ResNet-20, CNNs em escala ImageNet e ViT-B/16. O resultado mostra que privacidade diferencial aplicada à entrada do cliente não protege a confidencialidade do modelo do servidor, e que a defesa por embaralhamento é incompatível com a correção que esses sistemas precisam entregar.
Esquemas de inferência híbrida com FHE (fully homomorphic encryption) dividem o trabalho criptográfico entre servidor e cliente: o servidor avalia as camadas lineares de um modelo diretamente sobre dados cifrados, enquanto o cliente descriptografa e aplica as não linearidades, o que melhora bastante a praticidade de inferência privada em comparação com FHE de ponta a ponta. Esquemas recentes tentam ir além e também proteger a confidencialidade do modelo do servidor, devolvendo respostas com ruído e com a ordem de saída permutada, apoiando-se teoricamente em privacidade diferencial no modelo de embaralhamento (shuffle-model DP) para justificar essa proteção.
O artigo mostra que essa proteção falha exatamente no regime de correção que sistemas de FHE híbrida precisam entregar na prática. Para uma camada linear com d entradas, os autores demonstram que d+1 consultas bem escolhidas bastam para recuperar exatamente o resumo invariante à permutação daquela camada, o que equivale a uma distinguibilidade perfeita do modelo. Tecnicamente, o argumento central é que privacidade diferencial de entrada (proteger o que o cliente pergunta) é ortogonal à confidencialidade do modelo (proteger o que o servidor roda), e que a premissa de privacidade diferencial local necessária para a amplificação por embaralhamento não se sustenta quando o sistema precisa respeitar o limite de erro exigido pela correção da inferência — ou seja, não é possível adicionar ruído suficiente para obter uma garantia real de DP sem quebrar a precisão que o serviço promete entregar.
Os resultados experimentais confirmam a quebra na prática: os autores recuperam com erro zero todas as camadas lineares de uma ResNet-20 no estilo SAFHIRE a partir de transcrições reais em TFHE, usando um total de 5.712 consultas diretas (d+1 por camada), e confirmam recuperação exata camada a camada também em CNNs pré-treinadas em escala ImageNet e no ViT-B/16 — ou seja, o ataque generaliza de modelos de brinquedo para arquiteturas de produção.
O caso é relevante porque a proposta de valor central desses sistemas é justamente proteger tanto os dados do cliente quanto a propriedade intelectual do modelo do servidor; este trabalho mostra que, para a defesa específica baseada em permutação e ruído, essa segunda promessa simplesmente não se sustenta. Os espectros vazados por camada permitem fingerprinting do modelo, atribuição de linhagem e ataques de extração por logits ainda mais eficazes, e os próprios autores observam que suprimir esse vazamento (adicionando ruído de fato protetor) destruiria a utilidade da inferência — ou seja, não há um ajuste barato que resolva o problema sem abrir mão da proposta original do sistema.