人工智能有望改變（實(shí)際上已經(jīng)改變）了整個(gè)行業(yè)，從公民計(jì)劃和醫(yī)療保健到網(wǎng)絡(luò)安全。但是，隱私仍然是行業(yè)中尚未解決的挑戰(zhàn)，尤其是在涉及合規(guī)性和法規(guī)方面。
最近的爭(zhēng)議使這個(gè)問(wèn)題大為緩解。倫敦皇家免費(fèi)NHS基金會(huì)信托基金是總部位于倫敦的英國(guó)國(guó)家衛(wèi)生局的一個(gè)部門(mén)，未經(jīng)他們的同意，向Alphabet的DeepMind提供了160萬(wàn)患者的數(shù)據(jù)。去年11月，與Ascension共享健康數(shù)據(jù)的合作伙伴關(guān)系成為谷歌的審查對(duì)象。谷歌放棄了計(jì)劃，發(fā)布關(guān)于胸部X光片包含個(gè)人身份信息的擔(dān)憂的掃描圖。去年夏天，在有人發(fā)現(xiàn)有人不知道他們被包括在內(nèi)之后，微軟悄悄地刪除了一個(gè)數(shù)據(jù)集（MS Celeb），該數(shù)據(jù)集包含超過(guò)1000萬(wàn)個(gè)人的圖像。
另外，包括蘋(píng)果和谷歌在內(nèi)的科技巨頭也受到了報(bào)道的關(guān)注，他們發(fā)現(xiàn)可能會(huì)濫用錄音來(lái)改善Siri和Google Assistant等助手。今年4月，彭博社透露，亞馬遜雇用了合同工來(lái)注釋來(lái)自Alexa供電設(shè)備的數(shù)千小時(shí)音頻，這促使該公司推出了面向用戶的工具，這些工具可以快速刪除云存儲(chǔ)的數(shù)據(jù)。
隱私越來(lái)越不僅僅是一個(gè)哲學(xué)問(wèn)題，而且在業(yè)務(wù)過(guò)程中也至關(guān)重要。州，地方和聯(lián)邦各級(jí)的法律旨在使隱私成為合規(guī)管理的強(qiáng)制性部分。在美國(guó)的50個(gè)州，領(lǐng)地和哥倫比亞特區(qū)，數(shù)百項(xiàng)涉及隱私，網(wǎng)絡(luò)安全和數(shù)據(jù)泄露的法案正在等待或已經(jīng)通過(guò)?？梢哉f(shuō)其中最全面的是《加州消費(fèi)者隱私法》-大約在兩年前簽署成為法律。更不用說(shuō)《健康保險(xiǎn)可移植性和責(zé)任制法案》（HIPAA），該法案要求公司在披露個(gè)人健康信息之前必須尋求授權(quán)。歐盟的《通用隱私數(shù)據(jù)保護(hù)條例》（GDPR）等國(guó)際框架旨在使消費(fèi)者更好地控制個(gè)人數(shù)據(jù)的收集和使用。
過(guò)去，人工智能技術(shù)并不是在考慮隱私的情況下開(kāi)發(fā)的。但是，機(jī)器學(xué)習(xí)的一個(gè)子領(lǐng)域（保護(hù)隱私的機(jī)器學(xué)習(xí)）尋求開(kāi)創(chuàng)可能防止損害個(gè)人身份數(shù)據(jù)的方法。在新興技術(shù)中，聯(lián)合學(xué)習(xí)，差分隱私和同態(tài)加密可能是最有前途的技術(shù)。
神經(jīng)網(wǎng)絡(luò)及其脆弱性
在大多數(shù)AI系統(tǒng)的心臟處，所謂的神經(jīng)網(wǎng)絡(luò)都是由功能（神經(jīng)元）組成，這些功能按層排列，將信號(hào)傳輸?shù)狡渌窠?jīng)元。這些信號(hào)（數(shù)據(jù)或輸入的結(jié)果，輸入到網(wǎng)絡(luò)中）從一層到另一層傳播，并緩慢地“調(diào)整”網(wǎng)絡(luò)，實(shí)際上是在調(diào)整每個(gè)連接的突觸強(qiáng)度（權(quán)重）。隨著時(shí)間的流逝，網(wǎng)絡(luò)從數(shù)據(jù)集中提取特征并識(shí)別交叉樣本趨勢(shì)，最終學(xué)會(huì)進(jìn)行預(yù)測(cè)。
神經(jīng)網(wǎng)絡(luò)不會(huì)攝取原始圖像，視頻，音頻或文本。而是將訓(xùn)練語(yǔ)料庫(kù)的樣本代數(shù)轉(zhuǎn)換為多維數(shù)組，例如標(biāo)量（單個(gè)數(shù)字），向量（標(biāo)量的有序數(shù)組）和矩陣（標(biāo)量排列成一列或多列和一列或多行）。封裝標(biāo)量，向量和矩陣（張量）的第四種實(shí)體類型增加了有效線性變換（或關(guān)系）的描述。
盡管進(jìn)行了這些轉(zhuǎn)換，但通常仍可以從神經(jīng)網(wǎng)絡(luò)的輸出中識(shí)別出潛在的敏感信息。數(shù)據(jù)集本身也容易受到攻擊，因?yàn)樗鼈兺ǔ２粫?huì)被混淆，并且因?yàn)樗鼈兺ǔ４鎯?chǔ)在易于受到數(shù)據(jù)泄露影響的集中式存儲(chǔ)庫(kù)中。
到目前為止，機(jī)器學(xué)習(xí)逆向工程的最常見(jiàn)形式稱為隸屬推理攻擊，其中攻擊者（使用單個(gè)數(shù)據(jù)點(diǎn)或多個(gè)數(shù)據(jù)點(diǎn)）確定其是否屬于訓(xùn)練目標(biāo)模型的語(yǔ)料庫(kù)。事實(shí)證明，從數(shù)據(jù)集中刪除敏感信息并不意味著無(wú)法重新推斷它，因?yàn)锳I非常擅長(zhǎng)重建樣本。除非使用隱私保護(hù)技術(shù)，否則受過(guò)訓(xùn)練的模型會(huì)包含與喂食它們的任何食物有關(guān)的妥協(xié)信息。
在一項(xiàng)研究中，威斯康星大學(xué)和馬什菲爾德診所研究基金會(huì)的研究人員能夠從經(jīng)過(guò)訓(xùn)練可預(yù)測(cè)藥物劑量的機(jī)器學(xué)習(xí)模型中提取患者的基因組信息。在另一項(xiàng)研究中，卡內(nèi)基·梅隆大學(xué)和威斯康星大學(xué)麥迪遜分校的研究科學(xué)家設(shè)法從訓(xùn)練有素的面部識(shí)別模型中重建了特定的頭部圖像。
更為復(fù)雜的數(shù)據(jù)提取攻擊采用了生成對(duì)抗網(wǎng)絡(luò)，即GAN-由兩部分組成的AI系統(tǒng)，該系統(tǒng)由生成樣本的生成器和鑒別器組成，這些鑒別器試圖區(qū)分生成的樣本和真實(shí)樣本。他們受過(guò)訓(xùn)練，可以生成與原始語(yǔ)料庫(kù)中的樣本非常相似的樣本，而無(wú)需訪問(wèn)所述樣本，并通過(guò)與判別性深度神經(jīng)網(wǎng)絡(luò)進(jìn)行交互以了解數(shù)據(jù)的分布。
2017年，研究人員證明，可以訓(xùn)練GAN來(lái)生產(chǎn)私人套裝的原型樣品，從而揭示該套裝的敏感信息。在另一項(xiàng)研究中，一個(gè)團(tuán)隊(duì)使用GAN來(lái)推斷用于訓(xùn)練圖像生成機(jī)器學(xué)習(xí)模型的樣本，在“白盒”設(shè)置中，他們可以訪問(wèn)目標(biāo)模型的參數(shù)，成功率高達(dá)100％（例如，選定的AI技術(shù)用于調(diào)整數(shù)據(jù)的變量）。
幸運(yùn)的是，諸如聯(lián)合學(xué)習(xí)和差異隱私之類的方法形式存在希望。
聯(lián)合學(xué)習(xí)
簡(jiǎn)而言之，聯(lián)合學(xué)習(xí)是一種在不交換數(shù)據(jù)樣本的分散設(shè)備或服務(wù)器（即節(jié)點(diǎn)）上訓(xùn)練AI算法而無(wú)需交換那些樣本的技術(shù)，使多方可以構(gòu)建通用的機(jī)器學(xué)習(xí)模型而無(wú)需自由地共享數(shù)據(jù)。這與經(jīng)典的分散方法相反，后者假定本地?cái)?shù)據(jù)樣本分布廣泛。
中央服務(wù)器可能用于協(xié)調(diào)算法的步驟并充當(dāng)參考時(shí)鐘，或者安排可能是對(duì)等的（在這種情況下，不存在這樣的服務(wù)器）。無(wú)論如何，都對(duì)局部數(shù)據(jù)樣本進(jìn)行局部模型訓(xùn)練，并且以某種頻率在各個(gè)模型之間交換權(quán)重以生成全局模型。
這是一個(gè)迭代過(guò)程，分為多個(gè)交互集，稱為聯(lián)合學(xué)習(xí)回合，其中每個(gè)回合包括將當(dāng)前全局模型狀態(tài)傳輸?shù)絽⑴c節(jié)點(diǎn)。在節(jié)點(diǎn)上訓(xùn)練局部模型，以在每個(gè)節(jié)點(diǎn)上生成一組潛在的模型更新，然后將局部更新聚合并處理為單個(gè)全局更新，并將其應(yīng)用于全局模型。
聯(lián)合學(xué)習(xí)先驅(qū)Google已將聯(lián)合學(xué)習(xí)用于生產(chǎn)。Google將其用于Gboard預(yù)測(cè)鍵盤(pán)中的個(gè)性化設(shè)置，用于“成千上萬(wàn)”的iOS和Android設(shè)備。在Pixel 4推出的同時(shí)，Google推出了“即時(shí)播放”音樂(lè)識(shí)別功能的改進(jìn)版本，該功能以聯(lián)合方式匯總歌曲的播放次數(shù)，從而根據(jù)地區(qū)來(lái)確定最受歡迎的歌曲，以提高識(shí)別度。該公司最近為其TensorFlow機(jī)器學(xué)習(xí)框架推出了一個(gè)名為T(mén)ensorFlow Federated的模塊，該模塊旨在使對(duì)分布式數(shù)據(jù)的深度學(xué)習(xí)和其他計(jì)算的實(shí)驗(yàn)變得更加容易。
當(dāng)然，沒(méi)有任何技術(shù)沒(méi)有缺陷。聯(lián)合學(xué)習(xí)要求在學(xué)習(xí)過(guò)程中節(jié)點(diǎn)之間頻繁交流。切實(shí)地，為了使機(jī)器學(xué)習(xí)模型交換參數(shù)，它們需要大量的處理能力和內(nèi)存。其他挑戰(zhàn)包括無(wú)法檢查訓(xùn)練示例，以及偏見(jiàn)，部分原因是AI模型僅在動(dòng)力和參數(shù)傳輸手段可用時(shí)進(jìn)行訓(xùn)練。
差異隱私
聯(lián)合學(xué)習(xí)與差異性隱私密切相關(guān)，差異性隱私是一種系統(tǒng)，用于通過(guò)描述語(yǔ)料庫(kù)中的組的模式同時(shí)保留有關(guān)個(gè)人的數(shù)據(jù)來(lái)公開(kāi)共享有關(guān)數(shù)據(jù)集的信息。通常，它需要在將原始數(shù)據(jù)饋入本地機(jī)器學(xué)習(xí)模型之前將少量噪聲注入原始數(shù)據(jù)，從而使惡意行為者很難從經(jīng)過(guò)訓(xùn)練的模型中提取原始文件。
直觀地，如果觀察者看到算法的輸出無(wú)法判斷在計(jì)算中是否使用了特定個(gè)人的信息，則可以認(rèn)為該算法是私有的。然后，差分私有聯(lián)合學(xué)習(xí)過(guò)程使節(jié)點(diǎn)能夠共同學(xué)習(xí)模型，同時(shí)隱藏任何節(jié)點(diǎn)持有的數(shù)據(jù)。
開(kāi)源TensorFlow庫(kù)TensorFlow Privacy遵循差異隱私原則。具體來(lái)說(shuō)，它使用修改后的隨機(jī)梯度下降法對(duì)模型進(jìn)行微調(diào)，該方法將訓(xùn)練數(shù)據(jù)示例引起的多個(gè)更新平均在一起，對(duì)每個(gè)更新進(jìn)行剪輯，并將噪聲添加到最終平均值中。這可以防止記住稀有細(xì)節(jié)，并且可以確保無(wú)論是否在訓(xùn)練中使用一個(gè)人的數(shù)據(jù)，這兩種機(jī)器學(xué)習(xí)模型都是無(wú)法區(qū)分的。
自2017年以來(lái)，蘋(píng)果一直在使用某種形式的差異隱私來(lái)識(shí)別流行的表情符號(hào)，Safari中的媒體播放首選項(xiàng)等，并且該公司在最新的移動(dòng)操作系統(tǒng)版本（iOS 13）中將其與聯(lián)合學(xué)習(xí)相結(jié)合。兩種技術(shù)都有助于改善Siri以及Apple的QuickType鍵盤(pán)和iOS的Found In Apps功能等應(yīng)用程序的結(jié)果。后者會(huì)掃描日歷和郵件應(yīng)用程序，以查找未在本地存儲(chǔ)號(hào)碼的聯(lián)系人和呼叫者的姓名。
英偉達(dá)和倫敦國(guó)王學(xué)院的研究人員最近采用聯(lián)合學(xué)習(xí)來(lái)訓(xùn)練神經(jīng)網(wǎng)絡(luò)進(jìn)行腦腫瘤分割，這是英偉達(dá)的一個(gè)里程碑，它聲稱這是醫(yī)學(xué)圖像分析的第一項(xiàng)里程碑。他們的模型使用了來(lái)自285名腦腫瘤患者的BraTS（多模態(tài)腦腫瘤分割）挑戰(zhàn)賽的數(shù)據(jù)集，并且與Google和Apple采取的方法一樣，它利用差分隱私為該語(yǔ)料庫(kù)增加了噪音。
Nvidia高級(jí)研究員Nicola Rieke在上一次采訪中對(duì)VentureBeat表示：“通過(guò)這種方式，[每個(gè)參與節(jié)點(diǎn)]存儲(chǔ)更新并限制了我們?cè)跈C(jī)構(gòu)之間實(shí)際共享的信息的粒度。”“如果您僅看到模型更新的50％或60％，我們是否仍可以通過(guò)全局模型收斂的方式來(lái)合并貢獻(xiàn)？我們發(fā)現(xiàn)“是的，我們可以。”實(shí)際上，這非常令人印象深刻。因此，如果您僅共享模型的10％，甚至可以以某種方式聚合模型。”
當(dāng)然，差異性隱私也不是完美的。注入到基礎(chǔ)數(shù)據(jù)，輸入，輸出或參數(shù)中的任何噪聲都會(huì)影響整體模型的性能。在一項(xiàng)研究中，將噪聲添加到訓(xùn)練數(shù)據(jù)集中后，作者注意到預(yù)測(cè)準(zhǔn)確性從94.4％下降到24.7％。
另一種保護(hù)隱私的機(jī)器學(xué)習(xí)技術(shù)-同態(tài)加密-不受這些缺點(diǎn)的困擾，但距離漏洞還很遠(yuǎn)。
同態(tài)加密
同態(tài)加密并不是什么新鮮事物-IBM研究員Craig Gentry在2009年開(kāi)發(fā)了第一個(gè)方案-但是近年來(lái)，隨著計(jì)算能力和效率的提高，它得到了廣泛的關(guān)注。它基本上是一種加密形式，可以對(duì)使用算法（也稱為密文）加密的純文本（文件內(nèi)容）進(jìn)行計(jì)算，從而使生成的加密結(jié)果與未加密文本上執(zhí)行的操作結(jié)果完全匹配。使用這種技術(shù)，“加密人”（例如，任何可應(yīng)用于加密數(shù)據(jù)的學(xué)習(xí)型神經(jīng)網(wǎng)絡(luò)）都可以對(duì)數(shù)據(jù)執(zhí)行計(jì)算，并將加密結(jié)果返回給某個(gè)客戶端，然后客戶端可以使用加密密鑰（從未共享）公開(kāi)-解密返回的數(shù)據(jù)并獲得實(shí)際結(jié)果。
英特爾物聯(lián)網(wǎng)部門(mén)副總裁喬納森·鮑倫（Jonathan Ballon）在今年早些時(shí)候的一次采訪中表示：“如果我發(fā)送MRI圖像，我希望我的醫(yī)生能夠立即看到它們，但沒(méi)人能看到。”“[同態(tài)]加密提供了這一點(diǎn)，此外，模型本身也已加密。因此，公司……可以將該模型[放在公共云上]，而[云提供商]不知道他們的模型是什么樣。”
實(shí)際上，同態(tài)加密庫(kù)尚未充分利用現(xiàn)代硬件，并且它們至少比傳統(tǒng)模型慢一個(gè)數(shù)量級(jí)。但是較新的項(xiàng)目，例如cuHE（一種加速的加密庫(kù)），聲稱在各種加密任務(wù)上的速度比以前的實(shí)現(xiàn)提高了12到50倍。此外，近幾個(gè)月來(lái)，分別基于Facebook的PyTorch機(jī)器學(xué)習(xí)框架和TensorFlow建立的PySyft和tf-encrypted庫(kù)已經(jīng)取得了長(zhǎng)足的進(jìn)步。因此，也有像HE-Transformer這樣的抽象層，它是nGraph（英特爾的神經(jīng)網(wǎng)絡(luò)編譯器）的后端，可在某些加密網(wǎng)上提供領(lǐng)先的性能。
實(shí)際上，就在幾個(gè)月前，英特爾研究人員提出了nGraph-HE2，它是HE-Transformer的后繼產(chǎn)品，它可以使用其本機(jī)激活功能推斷出標(biāo)準(zhǔn)的，經(jīng)過(guò)預(yù)訓(xùn)練的機(jī)器學(xué)習(xí)模型。他們?cè)谝黄撐闹袌?bào)告說(shuō)，就標(biāo)量編碼（將數(shù)字值編碼為位數(shù)組）而言，運(yùn)行時(shí)的速度提高了3倍至88倍，并且吞吐量提高了一倍，附加的乘法和加法優(yōu)化產(chǎn)生了2.6的速度時(shí)間達(dá)到4.2倍運(yùn)行時(shí)加速。
IBM高級(jí)研究科學(xué)家Flavio Bergamaschi已研究了在邊緣使用硬件來(lái)實(shí)現(xiàn)同態(tài)加密操作的情況。在最近的一項(xiàng)研究中，他和同事們?cè)谂鋫銩I攝像頭的設(shè)備上部署了本地同態(tài)數(shù)據(jù)庫(kù)，從而可以直接在該攝像頭上執(zhí)行搜索。他們報(bào)告說(shuō)，性能“同質(zhì)化快”，每個(gè)數(shù)據(jù)庫(kù)條目?jī)H需要1.28秒的查找時(shí)間，相當(dāng)于在5分鐘內(nèi)進(jìn)行了200條查詢。
他在最近的一次電話采訪中對(duì)VentureBeat表示：“我們正處于績(jī)效的拐點(diǎn)。”“現(xiàn)在，完全同態(tài)加密在性能方面足夠快，足以滿足某些用例。”
在生產(chǎn)方面，Bergamaschi及其團(tuán)隊(duì)與一家美國(guó)銀行客戶合作，使用同態(tài)技術(shù)對(duì)機(jī)器學(xué)習(xí)過(guò)程進(jìn)行加密。該機(jī)器學(xué)習(xí)過(guò)程是一個(gè)線性回歸模型，具有超過(guò)十二個(gè)變量，它分析了來(lái)自經(jīng)常賬戶持有人的24個(gè)月交易數(shù)據(jù)，以預(yù)測(cè)這些賬戶的財(cái)務(wù)狀況，部分是推薦貸款等產(chǎn)品。由于客戶的隱私和合規(guī)性問(wèn)題，IBM團(tuán)隊(duì)對(duì)現(xiàn)有模型和有問(wèn)題的交易數(shù)據(jù)進(jìn)行了加密，并且他們使用加密和未加密的模型進(jìn)行預(yù)測(cè)以比較性能。盡管前者的運(yùn)行速度比后者慢，但準(zhǔn)確性卻是相同的。
“這是重要的一點(diǎn)。我們證明了，如果我們沒(méi)有用于[我們]預(yù)測(cè)的任何模型，我們就可以獲取交易數(shù)據(jù)并進(jìn)行生產(chǎn)中新模型的訓(xùn)練。”Bergamaschi說(shuō)。
對(duì)同態(tài)加密的熱情催生了許多家庭創(chuàng)業(yè)公司，旨在將其引入生產(chǎn)系統(tǒng)。總部位于新澤西州紐瓦克的Duality Technologies最近獲得了英特爾風(fēng)險(xiǎn)投資機(jī)構(gòu)之一的資金支持，將其同態(tài)加密平臺(tái)推向“無(wú)數(shù)”企業(yè)（尤其是那些受管制行業(yè)的企業(yè)）的隱私保護(hù)解決方案。銀行可以在各個(gè)機(jī)構(gòu)之間進(jìn)行增強(qiáng)隱私的金融犯罪調(diào)查，因此公司的銷售策略也可以這樣做，而科學(xué)家可以利用它與有關(guān)病歷的研究進(jìn)行合作。
但是，與聯(lián)合學(xué)習(xí)和差異隱私一樣，同態(tài)加密也無(wú)法提供任何魔咒。甚至領(lǐng)先的技術(shù)也只能計(jì)算多項(xiàng)式函數(shù)-對(duì)于非多項(xiàng)式的機(jī)器學(xué)習(xí)中的許多激活函數(shù)而言，這不是啟動(dòng)器。另外，對(duì)加密數(shù)據(jù)進(jìn)行的運(yùn)算只能涉及整數(shù)的加法和乘法，這在學(xué)習(xí)算法需要浮點(diǎn)計(jì)算的情況下是一個(gè)挑戰(zhàn)。
Ballon說(shuō)：“在您可能需要10秒鐘來(lái)推論的域中，[同態(tài)加密]很好，但是如果您今天需要3毫秒的周轉(zhuǎn)時(shí)間，那就沒(méi)有辦法了。”“計(jì)算量太大，這可以追溯到工程領(lǐng)域。”
自2014年以來(lái)，Bergamaschi及其同事已嘗試使用硬件方法來(lái)加速同構(gòu)運(yùn)算。從歷史上看，帶寬一直是最大的絆腳石-盡管加速器單獨(dú)提供強(qiáng)大的基準(zhǔn)性能，但它們并不能整體帶來(lái)強(qiáng)大的系統(tǒng)性能。這是因?yàn)閳?zhí)行操作所需的數(shù)據(jù)在處理器和加速器之間需要大量帶寬。
解決方案可能在于可以更有效地利用處理器的片上存儲(chǔ)器的技術(shù)。一紙由研究人員在科學(xué)技術(shù)的韓國(guó)高等研究所出版提倡一切正常和安全支持?jǐn)?shù)據(jù)的使用相結(jié)合的緩存，以及用于安全處理器和感知類型的緩存插入模塊內(nèi)存調(diào)度和映射方案。他們說(shuō)，結(jié)合在一起的方法可以將典型的8核和16核安全處理器中的加密性能降級(jí)從25％-34％降低到8％-14％以下，而額外的硬件成本卻降至最低。
還有很長(zhǎng)的路要走
新技術(shù)可能解決了AI和機(jī)器學(xué)習(xí)中固有的一些隱私問(wèn)題，但它們還處于起步階段，并非沒(méi)有缺點(diǎn)。
聯(lián)合學(xué)習(xí)在不分散數(shù)據(jù)邊緣設(shè)備的情況下跨分散的邊緣設(shè)備訓(xùn)練算法，但是它很難檢查并且受能力，計(jì)算和互聯(lián)網(wǎng)波動(dòng)的影響。差異性隱私會(huì)暴露有關(guān)數(shù)據(jù)集的信息，而保留有關(guān)個(gè)人的信息，但由于注入的噪聲而導(dǎo)致準(zhǔn)確性下降。至于同態(tài)加密（一種允許對(duì)加密數(shù)據(jù)進(jìn)行計(jì)算的加密形式），它有點(diǎn)慢且對(duì)計(jì)算的要求很高。
但是，像Ballon這樣的人相信這三種方法都是朝著正確方向邁出的一步。Ballon說(shuō)：“這與從HTTP到HTTPS非常相似。”“我們將有工具和功能來(lái)使[機(jī)器學(xué)習(xí)的私密性]有一天變得無(wú)縫，但是我們還沒(méi)有。”
