CipherGenome usa criptografia homomórfica para impedir que servidores de inferência de IA reconstruam o DNA processado
Outro estudo do mesmo domínio mostra que terceirizar a inferência de um modelo genômico de 15 bilhões de parâmetros para servidores de GPU não confiáveis permite reconstruir a sequência de DNA original com 99,8% de acurácia a partir de um único especialista comprometido. Como alternativa à computação codificada, os autores propõem criptografia homomórfica baseada em module-LWE que evita o vazamento sem exigir bootstrapping nem aproximação polinomial.
O cenário de ameaça é essencialmente o mesmo do artigo GenomeOcean Anywhere publicado na mesma leva: modelos de fundação genômica do tipo mixture-of-experts cresceram a ponto de seus pesos não caberem mais nas máquinas que detêm os dados sensíveis, forçando o uso de aceleradores alugados de terceiros. Aqui os pesquisadores quantificam o risco de forma ainda mais contundente — um único servidor hospedando apenas um dos especialistas do modelo consegue recuperar os nucleotídeos de entrada com 99,8% de acurácia top-1, ou seja, a inferência terceirizada em texto claro praticamente devolve a sequência genética original ao operador do servidor.
A solução técnica, batizada CipherGenome, mantém no cliente confiável apenas a parte 'barata' do modelo — embedding, atenção e roteamento — e terceiriza para servidores GPU não confiáveis (possivelmente conluiados entre si) 95,8% dos parâmetros, correspondentes às projeções dos especialistas. A viabilidade prática vem de três propriedades estruturais exploradas pelos autores: as camadas de especialista são lineares entre dois portões SwiGLU, os pesos dos especialistas são públicos (não precisam ser protegidos, só a entrada do usuário), e os tensor cores inteiros de GPUs modernas conseguem calcular exatamente um produto cifrado-por-peso módulo 2^48 numa única operação GEMM.
O diferencial frente a abordagens baseadas em MPC (como a computação codificada de Lagrange do artigo irmão) é evitar o custo típico de esquemas homomórficos completos: como o cliente processa a não linearidade em claro e recriptografa com segredos novos a cada camada, o protocolo dispensa bootstrapping e aproximação polinomial das funções de ativação, dois dos maiores gargalos de custo em HE aplicada a redes neurais. O overhead medido é mínimo (divergência KL de 2,54×10⁻⁴ nats por token, dentro do ruído de uma inferência em bf16), e o mesmo ataque de inversão que antes recuperava o DNA com 99,8% de acerto cai ao nível de chance.
Na prática, o trabalho reforça um ponto estrutural para qualquer operador de IA que terceiriza inferência para nuvem de GPU compartilhada: a suposição implícita de que 'a nuvem só vê números, não dados' é falsa quando a arquitetura é conhecida e os especialistas são públicos — a reconstrução do dado original a partir de ativações intermediárias é um ataque prático, não teórico, e passa a exigir controles criptográficos explícitos (HE, MPC ou enclaves) sempre que o dado de entrada for sensível, seja genoma, texto médico ou qualquer outra informação regulada.