Pesquisadores mostram que inferência distribuída de IA em navegadores vaza dados genômicos sensíveis — e propõem defesa por computação codificada

O trabalho parte de um cenário real de infraestrutura de IA: modelos de fundação genômica do tipo mixture-of-experts (MoE) estão ficando grandes demais para rodar em uma única máquina, e uma alternativa atraente é distribuir o processamento de cada 'especialista' entre navegadores de voluntários, evitando o envio do DNA para um datacenter centralizado. Um coordenador confiável cuida da atenção e do roteamento, enquanto cada worker executa apenas a rede feed-forward de um especialista via kernels WebGPU escritos à mão — mantendo desempenho equivalente ao de uma execução nativa local.

O problema de segurança aparece porque, na versão ingênua desse desenho, cada worker recebe o vetor de entrada em texto claro. Os pesquisadores mostram que isso não é privado na prática: um classificador simples recupera o token original a partir de um único vetor intermediário em qualquer profundidade da rede, e, de forma mais grave, um único worker malicioso consegue apontar de qual genoma-fonte vieram os dados com 92% de acurácia observando apenas 300 tokens desordenados — ou seja, mesmo sem saber a ordem das informações, um participante não confiável da rede consegue reidentificar de qual indivíduo ou amostra biológica o dado sensível se originou.

A defesa proposta usa computação codificada de Lagrange com valores reais: em vez de enviar a entrada em claro, cada worker recebe apenas uma parcela (share) mascarada com ruído gaussiano, calcula as operações lineares do especialista sobre essa parcela, e o coordenador só reconstrói o resultado combinando pelo menos duas de três parcelas distribuídas. Isso limita matematicamente quanta informação qualquer worker isolado pode inferir — os autores reportam que um atacante adaptativo treinado especificamente contra esse esquema cai ao nível de simplesmente chutar o token mais frequente, com o vazamento de informação por worker abaixo de 1 bit por passo de inferência.

O ponto que torna isso relevante além do nicho de genômica é o padrão de arquitetura: à medida que mais provedores exploram inferência distribuída ou 'crowdsourced' para modelos grandes (reduzindo custo de GPU terceirizando computação para dispositivos não confiáveis), o mesmo vetor de vazamento — reconstrução de dados de entrada a partir de ativações intermediárias enviadas em claro — se aplica a qualquer domínio com dados sensíveis, não só sequências de DNA. A contribuição prática do artigo é mostrar que a mitigação (codificação com compartilhamento de segredo) é viável sem perda de fidelidade dentro do ruído numérico já existente em BF16, o que reduz o argumento de que privacidade e desempenho seriam necessariamente incompatíveis nesse tipo de sistema.