O2N2: Busca Privada e Eficiente em Bancos de Vetores de IA

O problema

Bancos de dados modernos usam busca por vizinhos mais próximos (ANN) para encontrar informações semelhantes em grandes volumes de dados. Quando esses dados contêm informações médicas ou financeiras sensíveis, os clientes precisam fazer consultas sem revelar o que estão procurando. O uso de ambientes de execução confiável (TEE), que protegem o código e os dados dentro de uma área segura do processador, ajuda a manter o sigilo. No entanto, esses ambientes ainda deixam escapar padrões de acesso à memória que podem expor o conteúdo da consulta. Para bloquear essa brecha, os sistemas precisam da chamada dupla obrigatoriedade, que oculta tanto os acessos externos quanto os internos, mas as soluções tradicionais deixam a busca muito lenta.

O que os pesquisadores fizeram

Os autores criaram o O2N2, uma estrutura que combina árvores de busca espacial (k-d trees) com rotações aleatórias para organizar os dados. Em vez de usar compilações lentas e genéricas para esconder os acessos, o sistema alinha o caminho da busca com uma memória virtual obvia (Circuit ORAM). O ORAM é uma técnica que embaralha os endereços acessados para que o observador nunca saiba qual dado foi lido de fato. O sistema separa nós internos compactos de folhas que guardam vetores de dados. Cada árvore do conjunto é percorrida por um único caminho fixo, do topo até a folha, sem voltar atrás.

O que descobriram

Nos testes realizados com conjuntos de dados reais e até 100 milhões de vetores, o sistema manteve alta precisão na recuperação das informações. Para buscas dos dez ou cem vizinhos mais próximos, o O2N2 foi de 9,8 a 125,9 vezes mais rápido do que as melhores linhas de base duplamente sigilosas existentes. Esse ganho ocorreu porque a estrutura elimina a necessidade de consultas repetidas e custosas a mapas de posição. O sistema consegue responder a consultas em frações de milissegundo, preservando o sigilo completo dos dados e das buscas.

Por que isso importa

A inteligência artificial atual depende muito de buscas por similaridade em grandes coleções de vetores, como em sistemas de recomendação e geração de texto. Se uma empresa terceiriza sua infraestrutura de nuvem, ela corre o risco de que o provedor descubra os segredos dos usuários ao monitorar o hardware. Este trabalho prova que é possível obter buscas rápidas e precisas sem abrir mão da privacidade rigorosa. Isso viabiliza aplicações de IA em áreas altamente reguladas, como diagnósticos médicos e análise de crédito, onde a confidencialidade é obrigatória.

Limites e o que falta

O desempenho do sistema depende de parâmetros ajustados para equilibrar a precisão e a velocidade da busca. Embora seja muito mais rápido que métodos anteriores de dupla obrigatoriedade, a estrutura ainda adiciona uma sobrecarga matemática comparada a buscas sem proteção de privacidade. Além disso, a segurança do sistema confia na integridade física e no projeto do hardware do processador protegido. Falhas de projeto no hardware do processador continuam sendo um risco externo que softwares e algoritmos isolados não conseguem resolver sozinhos.

Na prática

A tecnologia descrita pode aparecer no futuro em serviços de nuvem onde empresas de tecnologia processam dados sigilosos de clientes sem conseguir ler os arquivos ou as perguntas feitas. Imagine uma clínica médica que usa uma inteligência artificial em um servidor externo para comparar exames sem expor o histórico do paciente ao provedor da nuvem. Quando os fabricantes integrarem essas proteções de forma nativa e eficiente, softwares corporativos poderão realizar buscas complexas com segurança máxima. No entanto, a adoção comercial depende de testes de longo prazo e da validação da estabilidade em ambientes de grande escala.