Google Research переносит федеративное обучение в TEE: Gboard теперь обучается с внешне проверяемой дифференциальной приватностью

Google Research объявила о создании системы следующего поколения для федеративного обучения (FL), основанной на доверенных средах исполнения (TEE). Исследовательская команда утверждает, что впервые обеспечила внешне проверяемые гарантии центральной дифференциальной приватности (DP) для FL.

Какую проблему решает федеративное обучение на основе TEE?

Google представила федеративное обучение (FL) в 2017 году. Оно используется для предсказания следующего слова и функции Smart Compose в Gboard, предложений ответов в Google Messages и функции Smart Text Selection в Android.

В предыдущих системах существовал пробел в доверии. Устройства загружали данные для немедленного агрегирования, но внешние наблюдатели не могли проверить, что данные никогда не записывались и не просматривались. Безопасное агрегирование добавило криптографическую защиту. Однако оно было несовместимо с современными алгоритмами центральной DP, такими как матричная факторизация DP-FTRL. Кроме того, Google приходилось доверять в вопросе корректного добавления шума DP.

В новой архитектуре вычисление градиентов на клиентах перенесено на сервер. Затем логика сервера делается доступной для аттестации, поэтому оператору больше не нужно доверять.

Как работает система?

Система развивает предыдущие наработки Google в области конфиденциальной федеративной аналитики. Она координирует работу 4 ключевых компонентов:

• Загрузка данных: Устройства локально шифруют обучающие примеры и заранее задают политику доступа. В политике указывается, какие вычисления в TEE могут обрабатывать данные. Политики должны появляться в общедоступном журнале прозрачности.
• KMS и проверка политики: Система управления ключами, построенная на TEE, работающих по протоколу консенсуса RAFT, выдает ключи только рабочим нагрузкам, соответствующим политике.
• Выполнение рабочей нагрузки: Корневая TEE запускает цикл обучения на Python и делегирует подзадачи рабочим TEE. Для оркестрации используется Federated Language, производный от TensorFlow Federated. Выдаются только веса моделей с DP.
• Отказоустойчивое восстановление: После каждого раунда сохраняется зашифрованное KMS состояние восстановления для обработки сбоев корневой или рабочей TEE.

Почему гарантию конфиденциальности можно проверить?

Политики доступа публикуются в Rekor — общедоступном журнале прозрачности Sigstore. Внешние аудиторы могут отслеживать каждую серверную рабочую нагрузку, которой устройство могло бы передать данные. KMS и двоичные файлы обработки данных можно воспроизводимо собрать из исходного кода с открытым доступом.

Политики напрямую описывают обучающую программу на Python. Для защиты проприетарных архитектур моделей TEE поддерживают загрузку сериализованной логики во время выполнения. Вся логика, имеющая отношение к конфиденциальности, должна быть жестко закодирована в аттестуемой программе. Операторы рабочих нагрузок видят только метрики и веса моделей с DP. Зашифрованные данные можно расшифровать только в течение ограниченного времени после загрузки.

Что получил Gboard?

Gboard использовал эту систему для запуска моделей предсказания следующего слова на английском и японском языках с более строгими гарантиями конфиденциальности и повышенной точностью. Основную роль играют два проектных решения:

• Во-первых, все загрузки собираются до начала обучения на стороне сервера. Суточные колебания доступности устройств больше не замедляют обучение. Программа может вычислять оптимальный график участия и настраивать параметры DP. Кривые зависимости конфиденциальности от полезности Google получены в ходе обучения английской модели на протяжении 5000 раундов с когортами из 6500 устройств в обеих системах.
• Во-вторых, узкое место было перенесено на сервер. Ранее обучение каждой модели FL занимало от 1 до 2 месяцев. Теперь обучение выполняется параллельно на разных машинах и ограничивается только доступностью ресурсов TEE. Google сообщает о значительно более высокой скорости вычислений, но не публикует единого показателя ускорения.

Интерактивное объяснение: внутри конвейера FL на основе TEE