The Pulse
Google trasferisce l’addestramento di Gboard in enclave verificabili sui server
Google ha implementato un sistema basato su ambienti di esecuzione attendibili per addestrare i modelli di predizione di Gboard in inglese e giapponese. Secondo l’azienda, il sistema rende le tutele della privacy verificabili da soggetti es
AI.info Team · Scritto con l’IA ·
Un modello linguistico di Gboard che in precedenza richiedeva circa due mesi di addestramento è stato addestrato in tre settimane con il nuovo sistema di apprendimento federato di Google. L’azienda afferma inoltre che, in un test sul campo, la versione con le prestazioni migliori ha utilizzato un budget di privacy tre volte inferiore a quello del modello in produzione, senza variazioni nei principali indicatori di digitazione.
Google ha annunciato il sistema il 2 ottobre 2026 e afferma di utilizzarlo già per addestrare modelli di predizione della parola successiva in inglese e giapponese per Gboard. La nuova architettura trasferisce gran parte del lavoro dai telefoni degli utenti all’hardware protetto dei server, dove revisori esterni possono esaminare il codice e le regole che disciplinano l’accesso ai dati caricati.
«Gboard ha implementato questo sistema di apprendimento federato basato su TEE per lanciare modelli di predizione della parola successiva in inglese e giapponese con maggiori garanzie di privacy e una precisione migliore.»
Katharine Daly, ingegnera del software, e Daniel Ramage, direttore della ricerca, Google Research
Il tempo di addestramento dei modelli di Gboard scende a tre settimane
Lo studio sui risultati descrive un test A/B condotto sul campo sul decoder per la digitazione in inglese di Gboard, che supporta la correzione automatica, il completamento delle parole e la predizione della parola successiva. Ogni gruppo del test comprendeva 3,5 milioni di dispositivi. Il gruppo con le prestazioni migliori tra quelli che utilizzavano il nuovo sistema aveva un budget di privacy zCDP di 0,215, contro 0,641 per il modello in produzione dopo l’adeguamento allo stesso metodo di privacy differenziale.
Un budget di privacy più basso implica una garanzia di privacy differenziale più forte. Google riferisce che il nuovo modello ha mantenuto allo stesso livello del modello esistente i principali indicatori di usabilità: la velocità di digitazione e la frequenza con cui le persone modificavano le parole suggerite. L’addestramento è durato tre settimane anziché due mesi.
I caricamenti cifrati trasferiscono l’addestramento nelle enclave sui server
La modifica cambia ciò che inviano i dispositivi. Nel sistema precedente, i telefoni calcolavano i gradienti del modello e li caricavano per l’aggregazione; nella nuova architettura, i dispositivi cifrano gli esempi di addestramento e li caricano affinché siano utilizzati in seguito nell’addestramento sui server. Secondo Google, il gestore del sistema non può accedere ai dati grezzi, che possono essere decifrati soltanto all’interno di ambienti di esecuzione attendibili autorizzati, o TEE.
Prima del caricamento, i dispositivi autorizzano una politica di accesso che specifica quali processi sui server possono elaborare i loro dati. Un cluster di servizi di gestione delle chiavi basati su TEE rilascia le chiavi di decifratura soltanto ai processi conformi a tale politica. Un TEE principale esegue il programma di addestramento e può distribuire i compiti ai TEE ausiliari; i gestori vedono soltanto le metriche e i pesi del modello protetti mediante privacy differenziale.
I registri Rekor consentono ai revisori di controllare il codice autorizzato
Google pubblica le politiche di accesso su Rekor, un registro pubblico di trasparenza, affinché i revisori esterni possano esaminare i processi che possono elaborare i dati caricati. L’azienda afferma che i binari per la gestione delle chiavi e il trattamento dei dati possono essere compilati in modo riproducibile a partire dal codice sorgente presente nel suo repository open source Confidential Federated Compute. Il sistema utilizza inoltre uno stato di ripristino cifrato tra un ciclo di addestramento e l’altro per riprendere il lavoro dopo eventuali guasti.
Raccogliere i dati caricati prima dell’addestramento consente a Google di scegliere quando far partecipare i dispositivi dopo l’arrivo dei dati, invece di dipendere dai momenti in cui i telefoni si trovano a essere disponibili. Secondo lo studio, questa flessibilità migliora il compromesso tra privacy e utilità. L’esperimento confronta il nuovo sistema con quello precedente su 5.000 cicli di addestramento, con gruppi di 6.500 dispositivi.
Le garanzie di privacy dichiarate da Google dipendono ancora dalla sicurezza dei TEE
L’approccio offre ai revisori un modo per controllare quale codice è autorizzato a essere eseguito, ma non elimina la necessità di fidarsi dell’hardware. Nell’annuncio, Google riconosce i limiti dei TEE di generazione attuale, tra cui la possibilità di osservazioni tramite canali laterali. Lo studio afferma che finora il sistema ha addestrato modelli con un massimo di 10 milioni di parametri e indica il supporto delle GPU per i TEE ausiliari come necessario per estenderlo a modelli più grandi.
Google presenta il sistema come un passo avanti verso una dimostrazione rigorosa del fatto che l’elaborazione sui server preserva la privacy, non come una dimostrazione completa della correttezza di ogni componente software. L’azienda afferma di aspettarsi che il futuro hardware TEE e ulteriori studi sui canali laterali rafforzino le tutele; le dimostrazioni complete della correttezza del software per la privacy differenziale restano un obiettivo futuro.